Un reciente informe de los investigadores de ciberseguridad de Abnormal Security ha alertado sobre una ola de ataques en los que los piratas están suplantando los servicios de Microsoft Active Directory Federation Services (ADFS) para robar contraseñas y acceder a información sensible.
La táctica comienza con un correo electrónico de phishing que intenta imitar al equipo de IT de la empresa objetivo, indicando que el sistema ha recibido una supuesta actualización y que todos los usuarios deben de volver a identificarse.
El enlace en el correo lleva a una página de phishing que replica a la perfección la página de inicio de sesión real del ADFS de la organización. Esta página fraudulenta solicita tanto las credenciales de inicio de sesión como los códigos de autenticación de múltiples factores (MFA).
Cómo reconocer este intento de phishing
Según el informe, se han utilizado plantillas de phishing diseñadas específicamente para capturar el segundo factor de autenticación, adaptándose a la configuración de MFA utilizada por la organización, incluyendo herramientas populares como Microsoft Authenticator, Duo Security y verificación por SMS.
Una vez que la víctima introduce sus datos, la página de phishing redirige automáticamente a la página de inicio de sesión legítima, manteniendo así la ilusión de seguridad, mientras que en segundo plano, los atacantes inician sesión con los datos robados, accediendo a información sensible, creando nuevas reglas de filtrado de correos electrónicos e intentando lateralmente moverse dentro de la red de la víctima.
La campaña de ataques parece estar dirigida principalmente a organizaciones en los sectores de educación, salud y administraciones públicas, con alrededor de 150 entidades ya afectadas.
Según los expertos, el objetivo de estos ataques no es el espionaje, sino que se orienta hacia fines financieros. Esta situación resalta la necesidad de implementar medidas de seguridad más estrictas y concienciar sobre los riesgos del phishing en el entorno laboral.