Desde abril de 2026, el grupo de hackers O-UNC-066 ha estado abusando del proceso de registro de Passkeys en Microsoft 365 para acceder a datos corporativos mediante voice-phishing. Los ataques se dirigen a grandes empresas de múltiples sectores y demuestran cómo los cibercriminales explotan iniciativas de seguridad legítimas.
En una declaración de experto, Arkadiusz Krowczynski, especialista principal en aceleración de productos de Okta, analiza una oleada de ataques que afecta a todos los sectores:
La introducción de los Passkeys como método de autenticación sin contraseña tiene como objetivo aumentar la seguridad de las cuentas corporativas. Sin embargo, los patrones de ataque actuales muestran que los cibercriminales pueden explotar esta tecnología como punto de entrada.
Desde abril de 2026, el grupo conocido como O-UNC-066 ha estado llevando a cabo ataques dirigidos contra clientes de Microsoft 365. Los objetivos son grandes empresas de los sectores de alimentación, tecnología, salud, automoción, construcción y aviación. El objetivo principal de estas campañas es el robo de datos y la posterior extorsión de las organizaciones afectadas.
El vector de ataque se basa en la explotación de iniciativas de seguridad legítimas. Desde mayo de 2026, los administradores en los entornos de TI correspondientes pueden activar las llamadas campañas de «nudge» que solicitan a los usuarios configurar un Passkey durante el inicio de sesión regular. Los atacantes registran dominios maliciosos que contienen la palabra «Passkey» y llaman directamente a las personas objetivo. Por teléfono, se hacen pasar por soporte técnico interno y convencen a las víctimas de que se requiere un registro urgente de Passkey.
Cuando los usuarios son dirigidos a los enlaces preparados, llegan a subdominios específicos del grupo objetivo que replican convincentemente las páginas de inicio de sesión familiares, incluyendo los logotipos correctos de la empresa y las imágenes de fondo. El kit de phishing utilizado se basa en un panel PHP controlado manualmente. A través de un mecanismo de sondeo de heartbeat, el atacante guía a la víctima casi en tiempo real a través de las diversas fases de autenticación.
Esta infraestructura permite la adaptación dinámica del sitio web falso a los requisitos individuales de autenticación multifactor de la víctima. Ya sean contraseñas de un solo uso basadas en tiempo, códigos SMS o notificaciones push con coincidencia de números, el sistema presenta exactamente la máscara de entrada que el atacante necesita en segundo plano para el intento de inicio de sesión real. Mientras el llamante instruye a la víctima, los datos ingresados se hacen visibles en el panel del atacante y se introducen simultáneamente en el portal corporativo real.
La parte más crítica del ataque es el registro. El kit de phishing explota la falta de familiaridad de los usuarios finales con el proceso de inscripción de Passkeys a nivel del sistema. En lugar de invocar un diálogo del sistema genuino, el kit presenta una página falsa que solicita al usuario guardar una «clave de recuperación». Genera una lista de palabras BIP-39 y hace que la víctima las anote. Para confirmar, la última palabra debe ingresarse manualmente. Estas frases no tienen relevancia para el proceso de registro regular; sirven exclusivamente como distracción. Mientras la víctima está ocupada, el atacante registra de forma inadvertida su propio Passkey controlado en la cuenta real de la víctima. La víctima cree que ha configurado un Passkey seguro, mientras que el atacante ha construido una puerta trasera persistente en la red corporativa que no requiere ni la contraseña original ni el dispositivo MFA del usuario.
Los expertos en seguridad recomiendan que las empresas establezcan procesos de inscripción restrictivos. El registro de nuevos Passkeys o métodos MFA nunca debe ser posible sin verificación adicional y desde redes desconocidas. La configuración debe restringirse a entornos de confianza o a endpoints gestionados y verificados. Como alternativa, es necesario un código de acceso temporal emitido por el soporte para agregar nuevos factores.
Además, es esencial un monitoreo cercano que active alertas para registros de inicio de sesión en condiciones inusuales. Igualmente crítica es la concienciación del personal sobre las tácticas de vishing: los empleados deben saber cómo se ven los diálogos del sistema genuinos y que el soporte de TI nunca llama de forma no solicitada para asistir en procesos de inicio de sesión. También se requieren directrices estrictas de helpdesk, donde las solicitudes de soporte se manejen exclusivamente a través de sistemas de tickets definidos y las identidades de los usuarios se verifiquen siempre por teléfono mediante rutinas de devolución de llamada seguras.
La ola de ataques de O-UNC-066 subraya que la introducción de métodos de autenticación modernos por sí sola es insuficiente. Las empresas deben asegurar adicionalmente el proceso de registro y sensibilizar específicamente a sus empleados sobre el voice-phishing.
El Dr. Jakob Jung es redactor jefe de Security Storage y Channel Germany. Lleva más de 20 años trabajando en el periodismo especializado en TI. A lo largo de su carrera ha colaborado con Computer Reseller News, Heise Resale, Informationweek, Techtarget (almacenamiento y centros de datos) y ChannelBiz. Además, colabora como freelance con numerosas publicaciones del sector de las TI, entre las que se incluyen Computerwoche, Channelpartner, IT-Business, Storage-Insider y ZDnet. Sus temas principales son el canal, el almacenamiento, la seguridad, los centros de datos, los sistemas ERP y CRM.
Contacto – Contacto por correo electrónico: jakob.jung@security-storage-und-channel-germany.de