Las empresas han reforzado el acceso a sus cuentas mediante contraseñas más complejas y sistemas de autenticación multifactor.
Sin embargo, los ciberdelincuentes también han adaptado sus técnicas.
En algunos ataques ya no intentan averiguar la contraseña del usuario. Su objetivo es robar la sesión que ya ha sido iniciada correctamente para acceder al correo, los documentos o las aplicaciones corporativas como si fueran el propio empleado.
Esta técnica se conoce como secuestro de sesión y puede afectar a servicios como Microsoft 365, plataformas cloud, aplicaciones de gestión y otras herramientas utilizadas diariamente por las empresas. Es indispensable que las empresas puedan gestionar su propia ciberseguridad o a través de un tercero.
La contraseña no es la única llave de acceso
Cuando un usuario introduce correctamente su contraseña y completa la autenticación, la aplicación genera una sesión.
Esta sesión permite seguir utilizando el servicio sin tener que identificarse de nuevo cada vez que se abre un correo, se consulta un archivo o se cambia de pantalla.
Para mantenerla activa, el navegador o la aplicación utiliza elementos como:
- Cookies de sesión.
- Tokens de acceso.
- Tokens de actualización.
- Identificadores asociados al usuario.
- Información sobre el dispositivo.
Microsoft explica que muchas aplicaciones web utilizan tokens de sesión almacenados mediante cookies para conservar el acceso del usuario después de la autenticación.
Si un atacante consigue copiar alguno de estos elementos y reutilizarlo, puede llegar a asumir temporalmente la identidad digital del empleado.
Idea clave
En un secuestro de sesión, el atacante no necesita descubrir la contraseña si consigue reutilizar una sesión que ya ha sido autenticada.
¿Qué es exactamente un secuestro de sesión?
El secuestro de sesión se produce cuando una persona no autorizada obtiene un identificador válido y lo utiliza para hacerse pasar por el usuario legítimo.
Para la aplicación, la sesión puede parecer correcta porque el proceso de autenticación ya se completó anteriormente.
El sistema reconoce el token o la cookie presentada y permite continuar trabajando sin solicitar necesariamente de nuevo la contraseña.
OWASP define el secuestro de sesión como la toma de control de la sesión activa de otro usuario, lo que permite suplantarlo dentro de la aplicación.
¿Cómo pueden robar una sesión empresarial?
Existen diferentes formas de obtener las cookies o los tokens utilizados por una cuenta.
Phishing con intermediario
En los ataques conocidos como Adversary-in-the-Middle o AiTM, el usuario accede a una página que imita el inicio de sesión de un servicio legítimo.
La página maliciosa actúa como intermediaria entre el empleado y la plataforma real.
El usuario puede introducir su contraseña e incluso aprobar el segundo factor de autenticación. Mientras tanto, el atacante intercepta la comunicación y captura el token generado al finalizar el acceso.
Microsoft ha documentado campañas AiTM capaces de interceptar la autenticación en tiempo real y obtener tokens que proporcionan acceso inmediato a las cuentas.
Malware instalado en el dispositivo
Determinados programas maliciosos pueden buscar información almacenada en el navegador, incluyendo cookies, credenciales y tokens.
El atacante no necesita engañar al usuario durante el inicio de sesión si consigue extraer la información directamente desde un ordenador que ya está conectado.
Microsoft señala que el robo de tokens suele producirse mediante infraestructuras AiTM o mediante malware capaz de copiar las cookies almacenadas en los dispositivos.
Extensiones del navegador no controladas
Las extensiones del navegador pueden solicitar permisos para leer páginas, modificar contenidos o acceder a determinada información.
Una extensión maliciosa o comprometida puede convertirse en un punto de acceso a la actividad del usuario.
Por este motivo, las empresas deberían controlar qué extensiones pueden instalarse en los equipos corporativos y eliminar aquellas que no sean necesarias.
Ordenadores compartidos o desatendidos
Dejar una cuenta abierta en un equipo compartido facilita que otra persona acceda a la información sin introducir ninguna contraseña.
El riesgo también aparece cuando el usuario abandona temporalmente su puesto sin bloquear el ordenador o inicia sesión desde un equipo que no controla.
Aplicaciones vulnerables
Una gestión incorrecta de las sesiones dentro de una aplicación puede facilitar que los identificadores sean predecibles, permanezcan activos demasiado tiempo o no se invaliden correctamente después de cerrar sesión.
OWASP recomienda renovar los identificadores después de determinados cambios, limitar su duración y finalizar las sesiones cuando se detecten anomalías.
¿Por qué la autenticación multifactor puede no ser suficiente?
La autenticación multifactor continúa siendo una medida fundamental para proteger las cuentas.
Sin embargo, algunos ataques AiTM buscan interceptar la sesión después de que el usuario haya completado correctamente el segundo factor.
En este escenario, el atacante no intenta saltarse directamente la autenticación. Espera a que el empleado la complete y después reutiliza el token obtenido.
Por tanto, los sistemas basados únicamente en códigos, mensajes o aprobaciones desde una aplicación pueden no detener todos los ataques avanzados de intermediario.
Microsoft recomienda métodos resistentes al phishing, como las llaves de seguridad FIDO2, Windows Hello para empresas o la autenticación basada en certificados, para reducir la exposición frente al robo de tokens mediante AiTM.
La clave para las empresas
La autenticación multifactor mejora considerablemente la protección, pero debe acompañarse de controles sobre dispositivos, sesiones, accesos y métodos resistentes al phishing.
¿Qué puede hacer un atacante con una sesión robada?
Las acciones disponibles dependen de la cuenta comprometida y de los permisos que tenga asignados.
Una sesión de Microsoft 365, por ejemplo, puede facilitar el acceso a:
- Correos electrónicos.
- Archivos almacenados en la nube.
- Conversaciones empresariales.
- Calendarios y contactos.
- Información compartida.
- Aplicaciones conectadas.
- Datos de clientes o proveedores.
El atacante también puede utilizar la cuenta para enviar mensajes haciéndose pasar por el empleado.
Esto puede dar lugar a fraudes, solicitudes de transferencias, cambios de cuentas bancarias, envío de documentación falsa o nuevos intentos de phishing dirigidos a compañeros y clientes.
Diferencias entre algunos tipos de acceso
| Elemento | Función | Riesgo principal |
|---|---|---|
| Contraseña | Identificar inicialmente al usuario | Robo, filtración o reutilización |
| Segundo factor | Confirmar el inicio de sesión | Aprobaciones engañosas o interceptación |
| Cookie de sesión | Mantener abierta la sesión | Copia y reutilización por un atacante |
| Token de actualización | Obtener nuevos accesos sin identificarse otra vez | Prolongación del acceso no autorizado |
Señales que pueden indicar una sesión comprometida
El secuestro de sesión no siempre genera una alerta inmediata.
Algunas señales que deberían investigarse son:
- Inicios de sesión desde ubicaciones desconocidas.
- Accesos desde dispositivos no registrados.
- Cambios repentinos de dirección IP.
- Envío de correos que el usuario no reconoce.
- Creación de reglas automáticas en el buzón.
- Descargas de numerosos documentos.
- Modificación de los métodos de autenticación.
- Actividad fuera del horario habitual.
- Solicitudes de pago realizadas desde una cuenta legítima.
- Sesiones simultáneas desde lugares incompatibles.
OWASP considera que los cambios inesperados en las características de una sesión pueden utilizarse para identificar intentos de manipulación o secuestro.
Ibis Computer: protección de identidades y sesiones empresariales
En Ibis Computer ayudamos a las empresas a reforzar la protección de las cuentas utilizadas por sus empleados.
Nuestro servicio de ciberseguridad puede incluir:
- Revisión de accesos e identidades.
- Configuración de autenticación multifactor.
- Implantación de métodos resistentes al phishing.
- Políticas de acceso condicional.
- Supervisión de inicios de sesión.
- Protección de dispositivos.
- Revisión de sesiones comprometidas.
- Respuesta ante incidentes.
- Formación de usuarios.
El objetivo no es proteger únicamente las contraseñas, sino controlar todo el proceso que permite acceder a la información empresarial.