Una nueva ola de ciberataques está poniendo en entredichos los mecanismos de seguridad más avanzados. La plataforma de phishing como servicio (PhaaS) EvilTokens, lanzada en febrero de 2026, logró comprometer más de 340 organizaciones de Microsoft 365 en cinco países diferentes en apenas cinco semanas, aprovechando una vulnerabilidad en el flujo de consentimiento OAuth que permite eludir la autenticación multifactor (MFA).

El vector de ataque se diferencia de los métodos tradicionales de phishing al no robar credenciales directamente. En su lugar, los atacantes envían mensajes a los usuarios solicitándoles que ingresen un código en microsoft.com/devicelogin y completen su desafío MFA habitual. Los usuarios, creyendo que están verificando una transacción legítima, autorizan sin darse cuenta aplicaciones maliciosas que obtienen permisos prolongados sobre sus cuentas corporativas.

Este enfoque representa una evolución significativa en las tácticas de phishing. Mientras que los ataques convencionales dependen de engañar a los usuarios para que revelen sus contraseñas, los ataques OAuth basados en consentimiento explotan la confianza inherente en los flujos de autorización estándar. El problema radica en que los usuarios ven el proceso como una verificación de seguridad adicional, no como una autorización de acceso a aplicaciones externas.

Para los equipos de seguridad, esta tendencia plantea desafíos complejos. Las soluciones tradicionales de detección de phishing basadas en URLs sospechosas o credenciales robadas resultan menos efectivas contra estos ataques. La autenticación multifactor, considerada un pilar fundamental de la ciberseguridad moderna, se convierte en parte del problema cuando los usuarios la asocian erróneamente con procesos de verificación legítimos.

La respuesta de la industria ya está en marcha. Microsoft y otros proveedores de identidad han comenzado a implementar medidas adicionales de verificación de aplicaciones y a revisar sus flujos de consentimiento OAuth. Sin embargo, la velocidad con la que se despliegan estas plataformas PhaaS como EvilTokens sugiere que los atacantes están un paso adelante en esta carrera armamentista.

Para los profesionales tecnológicos hispanohablantes, esta noticia resalta la importancia de una educación continua en seguridad. Las organizaciones deben revisar sus políticas de autorización de aplicaciones, implementar revisiones periódicas de consentimientos OAuth y reforzar la concienciación sobre los riesgos de autorizar aplicaciones desconocidas, incluso cuando el proceso parezca legítimo.

El caso EvilTokens también ilustra cómo el modelo de negocio del crimen cibernético evoluciona hacia servicios especializados y escalables. Al convertir el phishing en una commodity accesible, estas plataformas están democratizando el acceso a tácticas sofisticadas que anteriormente requerían recursos y conocimientos avanzados.

Esta tendencia obliga a reconsiderar las estrategias de defensa. Las soluciones pasivas basadas en detección de amenazas ya no son suficientes. Se requiere un enfoque proactivo que incluya arquitectura de confianza cero, monitoreo continuo de actividades sospechosas y una cultura organizacional donde la verificación de aplicaciones externas sea parte del flujo de trabajo estándar, no un proceso opcional.

El mensaje es claro: en la era del phishing OAuth, la mejor defensa es entender que cada autorización es una decisión de seguridad que requiere la misma atención que cualquier otra operación crítica en el entorno corporativo.