La Trampa de las Compras: Una Campaña Global de Phishing Bypass el MFA y Roba Sesiones de Microsoft 365

¿Qué es la campaña "The Procurement Trap"?

El 22 de julio de 2026, Infoblox Threat Intelligence publicó un informe detallado sobre una campaña global de phishing de tipo adversary-in-the-middle (AiTM) a la que llama "The Procurement Trap" (La Trampa de las Compras) . La campaña utiliza señuelos de correo electrónico con temática de adquisiciones y compras —como documentos falsos de solicitud de información (RFI), invitaciones a licitaciones y archivos de proyectos— enviados desde buzones de Outlook previamente comprometidos . Cuando los destinatarios hacen clic en estos enlaces, llegan a páginas de phishing con proxy inverso que capturan las cookies de sesión de Microsoft 365 inmediatamente después de que la víctima se autentica, evitando por completo la autenticación multifactor (MFA) .

Características clave de la campaña:

• Vector de ataque: Los atacantes comprometen sitios web legítimos de pequeñas empresas y cuentas de Outlook para alojar y distribuir enlaces de phishing, enrutando los ataques a través de una infraestructura que parece confiable .
• Objetivos: La campaña apunta explícitamente a universidades, empresas e instituciones multinacionales, incluyendo agencias de la Unión Europea y las Naciones Unidas .
• Múltiples kits AiTM en uso: Los actores de amenazas rotan entre varios kits de phishing-como-servicio (PhaaS):
  • EvilProxy – un kit PhaaS que intercepta cookies de sesión para evitar códigos SMS, aplicaciones de autenticación y notificaciones push .
  • FlowerStorm – una operación PhaaS ampliamente activa que recientemente adoptó ofuscación de máquina virtual basada en navegador para evadir las defensas de correo electrónico .
  • Kali365 – una plataforma PhaaS vista por primera vez en abril de 2026, distribuida a través de Telegram, que utiliza phishing de código de dispositivo para capturar tokens de sesión sin necesidad de contraseñas o códigos MFA .
• Dominios algorítmicos registrados por lotes (RDGAs): Se utilizan para crear una gran cantidad de URL de phishing que rotan rápidamente, lo que dificulta su inclusión en listas de bloqueo .

Cómo Funciona el Ataque (Mecanismo Técnico)

El atacante configura un sitio de phishing intermedio que actúa como un proxy inverso en vivo entre la víctima y los servicios de autenticación legítimos de Microsoft 365 . Cuando una víctima ingresa sus credenciales y completa el MFA, el proxy captura la cookie de sesión resultante antes de que llegue al navegador de la víctima. Luego, el atacante importa esa cookie a su propio navegador y obtiene acceso completo al Exchange Online, SharePoint, OneDrive de la víctima y cualquier aplicación federada .

Múltiples fuentes describen el mismo mecanismo central: el proxy crea comunicación bidireccional en tiempo real, mientras que el phishing tradicional simplemente clona páginas de inicio de sesión y roba credenciales . Debido a que el token de sesión demuestra que el usuario ya pasó el MFA, el atacante nunca necesita descifrar el MFA en sí .

Por Qué el MFA Estándar No es Suficiente

La propia documentación de Microsoft advierte que el phishing AiTM derrota los métodos comunes de MFA, como los códigos SMS, las notificaciones push de aplicaciones de autenticación y los tokens TOTP . La cookie de sesión emitida después de completar el MFA es el premio: si es robada, puede reproducirse desde cualquier dispositivo, en cualquier lugar, hasta que el token expire o sea revocado administrativamente.

El informe de Infoblox enfatiza que el MFA tradicional es insuficiente porque los proxies AiTM roban el token de sesión emitido después de que el MFA se completa . El problema subyacente es arquitectónico: el proxy se sienta entre el usuario y el punto final de autenticación real de una manera que el MFA clásico no puede detectar.

Defensas Más Allá del MFA Recomendadas por Infoblox

Infoblox recomienda una estrategia de defensa en capas que no dependa del MFA como un único punto de fallo. Sus recomendaciones principales incluyen:

1. Seguridad en la capa de DNS – Bloquear dominios maliciosos conocidos y dominios algorítmicos recién registrados (RDGAs) a nivel de DNS para interrumpir la infraestructura de phishing antes de que los usuarios puedan alcanzarla .
2. Credenciales resistentes al phishing – Implementar claves de seguridad de hardware FIDO2/WebAuthn o Windows Hello for Business. Estas utilizan criptografía de clave pública vinculada a un origen específico. Un proxy AiTM no puede reenviar los desafíos FIDO2 porque la aserción criptográfica está vinculada al dominio del sitio legítimo, no al del proxy.
3. Políticas de Acceso Condicional – Aplicar políticas estrictas de riesgo de inicio de sesión en Microsoft Entra ID, como requerir enlace de tokens (token binding), bloquear inicios de sesión desde ubicaciones o dispositivos inusuales y acortar la duración de las sesiones para reducir la ventana de reproducción de cookies.
4. Gestión de exposición y monitoreo de marca – Detectar proactivamente los dominios de phishing que suplantan a la organización y desmantelar la infraestructura antes de que los usuarios encuentren los señuelos .
5. Concientización y denuncia de seguridad – Capacitar a los usuarios para reconocer los señuelos de phishing con temática de compras y para denunciar correos electrónicos sospechosos, lo que permite una respuesta más rápida del SOC.

El FBI también ha advertido específicamente sobre Kali365, aconsejando a las organizaciones auditar sus métodos de MFA, revisar los registros de inicio de sesión en busca de flujos de código de dispositivo anómalos y considerar bloquear la autenticación de código de dispositivo para todos los usuarios, excepto las aplicaciones de confianza .

Limitaciones de la Evidencia y Alcance

El informe de Infoblox es la fuente principal del nombre de la campaña, la orientación a instituciones de la UE/ONU y el uso de buzones de Outlook y sitios de pequeñas empresas comprometidos. Informes secundarios confirman de forma independiente los objetivos y la rotación de kits.

El componente Kali365 está confirmado de forma independiente por el PSA del FBI y por los proveedores de seguridad Huntress y Paubox , pero el informe de Infoblox lo agrupa junto con EvilProxy y FlowerStorm bajo la misma infraestructura temática de compras.

Las recomendaciones defensivas combinan declaraciones directas del informe de Infoblox con las mejores prácticas de la industria bien establecidas y documentadas en múltiples fuentes . Ningún párrafo individual en las fuentes enumera cada elemento defensivo en formato de viñetas; la lista anterior sintetiza la guía encontrada en todo el material citado.

El Resultado Final

"The Procurement Trap" ilustra una tendencia creciente: los actores de amenazas no están tratando de descifrar el MFA, sino que lo están evitando por completo al robar las cookies de sesión emitidas después de una autenticación exitosa. Las contramedidas técnicas como las claves de hardware FIDO2 y el bloqueo de dominios a nivel de DNS pueden reducir significativamente la exposición, pero la primera línea de defensa sigue siendo la vigilancia del usuario. Las organizaciones que utilizan Microsoft 365 deben revisar sus registros de autenticación en busca de patrones inesperados de código de dispositivo o AiTM e implementar credenciales resistentes al phishing como una prioridad.