Así funciona en realidad la nueva ola de kits de phishing que sortean el MFA

2. Extensión de Navegador ForgCookie — Acceso Persistente

Una extensión de navegador complementaria, ForgCookie, es compatible con Chrome, Edge y Brave . Una vez que se capturan los tokens de sesión o las cookies de la víctima, ForgCookie renueva automáticamente las cookies de sesión robadas, lo que permite al atacante mantener el acceso a los servicios de Microsoft 365 (Outlook, Teams, OneDrive, SharePoint) sin necesidad de reautenticarse, incluso después de que la víctima cambie su contraseña . Esto convierte una captura única de token en un compromiso persistente a largo plazo.

3. Jalisco — Kit de Phishing de Código de Dispositivo

Divulgado por ReliaQuest y BleepingComputer el 14 de julio de 2026, Jalisco es un kit de phishing de código de dispositivo activamente utilizado contra cuentas de Microsoft 365 . Funciona de la siguiente manera:

• Envía correos electrónicos que dirigen a la víctima a introducir un código de dispositivo en la página de inicio de sesión legítima de Microsoft.
• El código pertenece a una aplicación OAuth controlada por el atacante.
• La víctima completa el MFA real en los propios servidores de Microsoft, pero los tokens OAuth resultantes se emiten para el cliente de sondeo del atacante, no para la víctima .

Esto significa que el MFA no se "rompe", sino que se "arma".

4. OmegaLord — Cosechador de Credenciales Falso Lector PDF

También reportado el 14 de julio de 2026, OmegaLord adopta un enfoque diferente: se hace pasar por una página de navegador de un lector PDF falso . Cuando las víctimas llegan a la página:

• Se les pide que "inicien sesión para ver este documento protegido".
• El formulario de inicio de sesión captura las credenciales y los códigos de contraseña de un solo uso (OTP) asociados en tiempo real.
• Los atacantes utilizan las credenciales robadas + el OTP para autenticarse inmediatamente, antes de que el OTP expire .

5. Auge General de la Suplantación de OAuth y el Código de Dispositivo

Múltiples fuentes confirman una tendencia más amplia en la industria:

• Microsoft documentó el abuso de redireccionamiento OAuth contra organizaciones gubernamentales y del sector público en marzo de 2026, utilizando flujos OAuth silenciosos y ámbitos no válidos .
• Kits de phishing de código de dispositivo como Kali365, EvilTokens, Ghost Hub, Cyb3r y Tycoon2FA han sido observados atacando activamente Microsoft 365 en 2026, siendo mayo de 2026 el mes pico .
• El FBI emitió un Anuncio de Servicio Público (PSA I-052126) en mayo de 2026 advirtiendo específicamente sobre Kali365, una plataforma PhaaS que secuestra cuentas de M365 sin contraseñas abusando del flujo de concesión de autorización de dispositivo OAuth .

Cómo Funciona Realmente la Evasión del MFA

La visión crítica en todas estas amenazas es que el MFA no se derrota técnicamente, sino que se cooptan:

Por eso, el MFA tradicional por sí solo ya no es una defensa suficiente .

Recomendaciones de Seguridad de los Investigadores

Basándose en múltiples avisos, se recomiendan encarecidamente las siguientes mitigaciones:

• Deshabilitar los flujos de código de dispositivo OAuth para su inquilino si su organización no los utiliza (por ejemplo, mediante políticas de Acceso Condicional para bloquear la autenticación devicecode).
• Imponer políticas de Acceso Condicional que requieran dispositivos conformes, ubicaciones de confianza y comprobaciones de riesgo de sesión, no solo MFA.
• Supervisar las concesiones de aplicaciones OAuth anómalas, especialmente las aplicaciones que soliciten permisos de offline_access, Mail.Read o Files.ReadWrite.All.
• Bloquear la autenticación heredada y exigir la autenticación moderna con enlace de tokens siempre que sea posible.
• Utilizar la protección de tokens / enlace de tokens (las funciones de "protección contra robo de tokens" de Microsoft) para vincular los tokens a dispositivos específicos.
• Implementar MFA resistente al phishing (claves de seguridad FIDO2 o Windows Hello for Business) que no pueda ser suplantada por proxy.
• Formar a los usuarios para que reconozcan los señuelos de phishing de código de dispositivo que les piden que "introduzcan este código para verificar su cuenta" en URL legítimas de Microsoft.
• Auditar los registros de inicio de sesión para detectar autenticaciones desde IP inesperadas, agentes de usuario inusuales e inicios de sesión con código de dispositivo desde dispositivos no corporativos.

Estas recomendaciones proceden del PSA del FBI , el blog de seguridad de Microsoft , BleepingComputer y el análisis de amenazas de ReliaQuest .

Resumen

La oleada de 2026 de phishing contra Microsoft 365 —liderada por Forg365 (con su extensión de persistencia ForgCookie), Jalisco, OmegaLord y el ecosistema más amplio de kits de código de dispositivo y AiTM— representa un cambio de paradigma. Los atacantes ya no necesitan robar contraseñas ni romper el MFA. En su lugar, abusan del modelo de confianza de OAuth para que la propia autenticación de la víctima autorice una sesión controlada por el atacante. La recomendación unánime de la comunidad de seguridad es adoptar una postura de confianza cero: deshabilitar los flujos de autenticación no utilizados, imponer el Acceso Condicional, supervisar las concesiones de tokens y avanzar hacia un MFA resistente al phishing .