{"id":180455,"date":"2026-09-09T15:46:37","date_gmt":"2026-09-09T18:46:37","guid":{"rendered":"https:\/\/www.itsitio.com\/ch\/?p=180455"},"modified":"2026-09-09T15:46:37","modified_gmt":"2026-09-09T18:46:37","slug":"anci-alerta-por-una-tecnica-de-phishing-que-puede-comprometer-cuentas-de-microsoft-entra-id","status":"publish","type":"post","link":"https:\/\/www.itsitio.com\/ch\/seguridad\/anci-alerta-por-una-tecnica-de-phishing-que-puede-comprometer-cuentas-de-microsoft-entra-id\/","title":{"rendered":"ANCI alerta por una t\u00e9cnica de phishing que puede comprometer cuentas de Microsoft Entra ID"},"content":{"rendered":"

La Agencia Nacional de Ciberseguridad de Chile (ANCI)<\/strong> alert\u00f3 sobre el abuso de OAuth Device Code Flow<\/strong><\/a>, un mecanismo leg\u00edtimo de autenticaci\u00f3n que puede ser utilizado por ciberdelincuentes para comprometer cuentas de Microsoft Entra ID y Microsoft 365<\/strong> sin necesidad de robar directamente la contrase\u00f1a de la v\u00edctima.<\/p>\n

La t\u00e9cnica resulta especialmente peligrosa porque el usuario puede realizar todo el proceso dentro de una p\u00e1gina oficial de Microsoft. El dominio es aut\u00e9ntico, el certificado es v\u00e1lido y la pantalla de autenticaci\u00f3n tambi\u00e9n. Sin embargo, la solicitud de acceso fue iniciada previamente por un atacante.<\/p>\n

El enga\u00f1o comienza cuando el ciberdelincuente genera un c\u00f3digo de dispositivo y luego intenta convencer a la v\u00edctima de ingresarlo<\/strong>. Puede enviarlo mediante correo electr\u00f3nico, Microsoft Teams, WhatsApp u otro canal y presentarlo como requisito para acceder a una reuni\u00f3n, abrir un documento protegido, escuchar un mensaje de voz o completar una supuesta validaci\u00f3n de seguridad.<\/p>\n

Si la persona introduce ese c\u00f3digo y finaliza la autenticaci\u00f3n, puede estar autorizando una sesi\u00f3n que se encuentra bajo control del atacante.<\/p>\n

\"La
La v\u00edctima puede completar la autenticaci\u00f3n en un sitio leg\u00edtimo de Microsoft sin advertir que el proceso fue iniciado previamente por un atacante.<\/figcaption><\/figure>\n

Qu\u00e9 es OAuth Device Code Flow<\/span><\/h2>\n

Device Code Flow<\/strong> fue dise\u00f1ado para permitir el inicio de sesi\u00f3n desde equipos donde utilizar un navegador tradicional o introducir credenciales directamente resulta dif\u00edcil.<\/p>\n

Puede emplearse, por ejemplo, en televisores inteligentes, determinados dispositivos compartidos, equipos de Microsoft Teams, aplicaciones antiguas o herramientas de l\u00ednea de comandos.<\/p>\n

El mecanismo separa el dispositivo que solicita el acceso del equipo utilizado por la persona para autenticarse. Esa caracter\u00edstica permite que el usuario complete la validaci\u00f3n desde otro dispositivo, pero tambi\u00e9n abre una oportunidad para los atacantes.<\/p>\n

En una campa\u00f1a maliciosa, el ciberdelincuente inicia la solicitud y obtiene un c\u00f3digo v\u00e1lido. Despu\u00e9s se lo entrega a la v\u00edctima mediante ingenier\u00eda social.<\/p>\n

La persona puede comprobar que est\u00e1 ingresando a un sitio verdadero de Microsoft y, aun as\u00ed, terminar concediendo acceso a un dispositivo o aplicaci\u00f3n que no reconoce.<\/p>\n

Microsoft considera Device Code Flow un flujo de autenticaci\u00f3n de alto riesgo<\/strong> y recomienda bloquearlo siempre que sea posible cuando la organizaci\u00f3n no tenga una necesidad operacional concreta para utilizarlo.<\/p>\n

\"Los
Los administradores pueden revisar los registros de Microsoft Entra ID para identificar autenticaciones realizadas mediante Device Code Flow y analizar usuario, aplicaci\u00f3n, direcci\u00f3n IP y dispositivo.<\/figcaption><\/figure>\n

Por qu\u00e9 el MFA puede no ser suficiente<\/span><\/h2>\n

Uno de los aspectos m\u00e1s relevantes de la advertencia de ANCI es que la autenticaci\u00f3n multifactor (MFA)<\/strong> contin\u00faa siendo una protecci\u00f3n indispensable, pero no evita por s\u00ed sola este tipo de ataque.<\/p>\n

A diferencia de otros m\u00e9todos de phishing<\/strong><\/a>, el atacante no necesariamente necesita interceptar el segundo factor ni conseguir que el usuario escriba su contrase\u00f1a en una p\u00e1gina fraudulenta.<\/p>\n

La v\u00edctima puede completar correctamente todo el proceso de autenticaci\u00f3n, incluyendo el MFA.<\/p>\n

Si introduce el c\u00f3digo generado previamente por el atacante y aprueba la solicitud, Microsoft puede considerar que el proceso fue realizado correctamente y emitir tokens v\u00e1lidos para la sesi\u00f3n iniciada por el ciberdelincuente.<\/p>\n

Con esos tokens, el actor malicioso podr\u00eda intentar acceder a servicios vinculados con la cuenta, como Outlook, Microsoft Graph, OneDrive, SharePoint o Teams<\/strong>.<\/p>\n

De esta forma, el incidente deja de ser \u00fanicamente un intento de phishing y pasa a convertirse en un compromiso de identidad y sesi\u00f3n<\/strong>.<\/p>\n

C\u00f3mo detectar si una organizaci\u00f3n utiliza Device Code Flow<\/span><\/h2>\n

Antes de bloquear este mecanismo, ANCI recomienda identificar si existen aplicaciones o dispositivos que lo utilizan leg\u00edtimamente.<\/p>\n

Los administradores pueden ingresar al Centro de administraci\u00f3n de Microsoft Entra<\/strong>, acceder a los registros de inicio de sesi\u00f3n y utilizar el filtro Protocolo de autenticaci\u00f3n<\/strong> para localizar eventos asociados con Device Code Flow.<\/p>\n

Entre los datos que deber\u00edan revisarse se encuentran el usuario, la aplicaci\u00f3n, el recurso solicitado, la direcci\u00f3n IP, la ubicaci\u00f3n y el dispositivo relacionados con cada inicio de sesi\u00f3n.<\/p>\n

La investigaci\u00f3n tampoco deber\u00eda limitarse \u00fanicamente al campo de protocolo de autenticaci\u00f3n.<\/p>\n

ANCI recomienda observar adem\u00e1s Original transfer method<\/strong>, ya que una sesi\u00f3n iniciada mediante Device Code Flow puede continuar vinculada con este mecanismo durante posteriores renovaciones del token.<\/p>\n

La revisi\u00f3n puede revelar distintos escenarios. Si no existe ning\u00fan uso leg\u00edtimo, la recomendaci\u00f3n es bloquear el flujo. Si determinados dispositivos de Teams lo necesitan, pueden crearse excepciones espec\u00edficas. Y si el mecanismo est\u00e1 siendo utilizado por herramientas antiguas o administrativas, la organizaci\u00f3n deber\u00eda planificar su migraci\u00f3n hacia m\u00e9todos de autenticaci\u00f3n m\u00e1s seguros.<\/p>\n

\"
Las nuevas t\u00e9cnicas de phishing buscan aprovechar mecanismos leg\u00edtimos de autenticaci\u00f3n para enga\u00f1ar a los usuarios.<\/figcaption><\/figure>\n

Microsoft Entra ID permite bloquear este mecanismo<\/span><\/h2>\n

Las organizaciones pueden utilizar las pol\u00edticas de Acceso Condicional de Microsoft Entra ID<\/strong> para impedir este tipo de autenticaci\u00f3n.<\/p>\n

Antes de crear una nueva pol\u00edtica, ANCI recomienda comprobar si el tenant ya dispone de la pol\u00edtica administrada por Microsoft denominada Block device code flow<\/strong>.<\/p>\n

Si la pol\u00edtica est\u00e1 activa, el administrador deber\u00eda revisar especialmente sus exclusiones para asegurarse de que no sean demasiado amplias.<\/p>\n

Si se encuentra configurada como Solo informe<\/strong>, es posible evaluar qu\u00e9 accesos habr\u00eda bloqueado sin interrumpir todav\u00eda las operaciones.<\/p>\n

Sin embargo, ANCI advierte que este modo debe utilizarse \u00fanicamente como etapa de validaci\u00f3n. Mientras una pol\u00edtica permanezca en Solo informe, los accesos contin\u00faan siendo permitidos.<\/p>\n

Cuando sea necesario crear una configuraci\u00f3n personalizada, la organizaci\u00f3n puede establecer una pol\u00edtica que incluya a los usuarios correspondientes, aplique a los recursos necesarios, seleccione Device code flow<\/strong> como condici\u00f3n y configure Bloquear acceso<\/strong> como control.<\/p>\n

Las excepciones deber\u00edan reducirse al m\u00ednimo y mantenerse documentadas.<\/p>\n

Qu\u00e9 ocurre con los dispositivos de Microsoft Teams<\/span><\/h2>\n

Algunos Teams Rooms, tel\u00e9fonos Teams, paneles y otros dispositivos compartidos<\/strong> pueden utilizar Device Code Flow durante procesos de registro, reprovisi\u00f3n o reautenticaci\u00f3n.<\/p>\n

En estos casos, la recomendaci\u00f3n no es permitir el mecanismo para toda la organizaci\u00f3n, sino mantener el bloqueo general y crear excepciones espec\u00edficas para las cuentas que realmente lo necesiten.<\/p>\n

Estas cuentas deber\u00edan incluirse en grupos dedicados, contar con un responsable identificado y tener una justificaci\u00f3n clara.<\/p>\n

ANCI tambi\u00e9n advierte que una excepci\u00f3n se aplica a la cuenta y no exclusivamente al dispositivo que origin\u00f3 la necesidad. Por ese motivo, incluir usuarios personales, administradores o grupos demasiado amplios puede incrementar innecesariamente la superficie de ataque.<\/p>\n

\"Los
Los ataques de phishing aprovechan emociones como la urgencia o la euforia para enga\u00f1ar a los usuarios durante fechas promocionales.<\/figcaption><\/figure>\n

Qu\u00e9 hacer si un usuario ingres\u00f3 un c\u00f3digo sospechoso<\/span><\/h2>\n

Si una persona confirma que ingres\u00f3 un c\u00f3digo recibido por correo, chat o mensajer\u00eda sin haber iniciado previamente la autenticaci\u00f3n, la organizaci\u00f3n deber\u00eda actuar de inmediato.<\/p>\n

Entre las medidas recomendadas se encuentran bloquear temporalmente el inicio de sesi\u00f3n, revocar las sesiones activas y refresh tokens, restablecer la contrase\u00f1a de manera segura y revisar los m\u00e9todos de MFA registrados<\/strong>.<\/p>\n

Tambi\u00e9n resulta necesario examinar dispositivos agregados recientemente, consentimientos OAuth, nuevas aplicaciones, reglas de correo, reenv\u00edos y delegaciones no autorizadas.<\/p>\n

La investigaci\u00f3n deber\u00eda extenderse a la actividad registrada en Microsoft Graph, Exchange Online, SharePoint, OneDrive y Teams, adem\u00e1s de identificar posibles mensajes enviados desde la cuenta comprometida hacia otros usuarios.<\/p>\n

Cambiar \u00fanicamente la contrase\u00f1a puede no ser suficiente si contin\u00faan activos tokens, sesiones, permisos OAuth o configuraciones creadas por el atacante.<\/p>\n

La se\u00f1al de alerta no siempre est\u00e1 en la p\u00e1gina web<\/span><\/h2>\n

La campa\u00f1a pone en evidencia una evoluci\u00f3n importante de las t\u00e9cnicas de phishing.<\/p>\n

Comprobar que el dominio pertenece realmente a Microsoft contin\u00faa siendo una buena pr\u00e1ctica, pero ya no alcanza para determinar si una solicitud es leg\u00edtima.<\/p>\n

Para los usuarios, la recomendaci\u00f3n central de ANCI es clara: nunca ingresar c\u00f3digos recibidos por correo, chat o llamada cuando la propia persona no haya iniciado previamente el proceso de autenticaci\u00f3n en un dispositivo reconocido<\/strong>.<\/p>\n

Si aparece una solicitud inesperada para introducir un c\u00f3digo con el objetivo de acceder a una reuni\u00f3n, descargar un archivo, escuchar un mensaje o completar una supuesta verificaci\u00f3n, lo recomendable es detener el proceso y consultar con el equipo de TI o seguridad.<\/p>\n

En este escenario, la pregunta m\u00e1s importante no es solamente si la p\u00e1gina que aparece en pantalla es leg\u00edtima, sino algo todav\u00eda m\u00e1s b\u00e1sico: \u00bfqui\u00e9n inici\u00f3 realmente esa autenticaci\u00f3n?<\/strong><\/p>\n

Preguntas frecuentes<\/span><\/h2>\n
    \n
  1. \u00bfQu\u00e9 es un ataque de OAuth Device Code Flow? <\/strong>Es una t\u00e9cnica de phishing que aprovecha un mecanismo leg\u00edtimo de autenticaci\u00f3n de Microsoft. El atacante genera un c\u00f3digo y convence a la v\u00edctima de ingresarlo en una p\u00e1gina oficial. Si la persona completa el proceso, puede autorizar una sesi\u00f3n controlada por el ciberdelincuente.<\/li>\n
  2. \u00bfLa autenticaci\u00f3n multifactor protege contra este ataque? <\/strong>No completamente. MFA sigue siendo fundamental, pero en este caso la v\u00edctima puede aprobar voluntariamente una autenticaci\u00f3n leg\u00edtima iniciada por el atacante. Al completar el proceso, pueden generarse tokens v\u00e1lidos para la sesi\u00f3n maliciosa.<\/li>\n
  3. \u00bfC\u00f3mo proteger Microsoft Entra ID de ataques con Device Code Flow? <\/strong>Microsoft y ANCI recomiendan bloquear Device Code Flow mediante pol\u00edticas de Acceso Condicional cuando la organizaci\u00f3n no tenga una necesidad operacional para utilizarlo. Tambi\u00e9n es importante revisar registros de inicio de sesi\u00f3n, limitar las excepciones y capacitar a los usuarios para que no ingresen c\u00f3digos que no hayan solicitado personalmente.<\/li>\n<\/ol>\n","protected":false},"excerpt":{"rendered":"

    El CSIRT Nacional advirti\u00f3 sobre una campa\u00f1a que aprovecha un flujo leg\u00edtimo de autenticaci\u00f3n de Microsoft para secuestrar sesiones. El riesgo puede persistir incluso con MFA y exige revisar pol\u00edticas de Acceso Condicional.<\/p>\n","protected":false},"author":229,"featured_media":180465,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"default","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"set","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[34],"tags":[221,119],"class_list":["post-180455","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-seguridad","tag-anci","tag-microsoft"],"_links":{"self":[{"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/posts\/180455","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/users\/229"}],"replies":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/comments?post=180455"}],"version-history":[{"count":3,"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/posts\/180455\/revisions"}],"predecessor-version":[{"id":180468,"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/posts\/180455\/revisions\/180468"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/media\/180465"}],"wp:attachment":[{"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/media?parent=180455"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/categories?post=180455"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.itsitio.com\/ch\/wp-json\/wp\/v2\/tags?post=180455"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}