--- id: CP-004 slug: ataque-aitm-robo-token-mfa lang: es title: Ataque AiTM y robo de token MFA description: Un sitio de inicio de sesión falso retransmite en directo su contraseña y su código MFA, y el atacante roba la sesión. Cómo funciona y cómo protegerse. canonical_url: https://startbrain.io/cyberpedia/es/articles/ataque-aitm-robo-token-mfa/ markdown_url: https://startbrain.io/cyberpedia/es/articles/ataque-aitm-robo-token-mfa.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Ataque AiTM y robo de token MFA», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/ataque-aitm-robo-token-mfa/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-004 schema: G1 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/ataque-aitm-robo-token-mfa/ fr: https://startbrain.io/cyberpedia/fr/articles/attaque-aitm-vol-jeton-mfa/ en: https://startbrain.io/cyberpedia/en/articles/aitm-attack-mfa-token-theft/ de: https://startbrain.io/cyberpedia/de/articles/aitm-angriff-mfa-token-diebstahl/ it: https://startbrain.io/cyberpedia/it/articles/attacco-aitm-furto-token-mfa/ sources: - "n": 1 title: "From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud" publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/ published: "2022-07-12" accessed: "2026-11-03" - "n": 2 title: "Use Alternate Authentication Material: Web Session Cookie, Sub-technique T1550.004 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1550/004/ accessed: "2026-11-03" - "n": 3 title: Implementing Phishing-Resistant MFA publisher: CISA url: https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf accessed: "2026-11-03" - "n": 4 title: Passkeys (FIDO2) authentication method in Microsoft Entra ID publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passkeys-fido2 accessed: "2026-11-03" - "n": 5 title: Adversary-in-the-Middle, Technique T1557 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1557/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: Steal Web Session Cookie, Technique T1539 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1539/ accessed: "2026-11-03" - "n": 8 title: Multi-factor authentication for your corporate online services publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services published: "2024-09-26" accessed: "2026-11-03" --- # Ataque AiTM y robo de token MFA Usted escribe su contraseña, valida el código de su aplicación de autenticación y su correo se abre como siempre. Sin embargo, la página de inicio de sesión era falsa. En un ataque llamado «adversary-in-the-middle» (AiTM, el atacante en medio), un servidor situado entre usted y el servicio real lo transmite todo en directo, y el atacante se queda por el camino con la prueba de su inicio de sesión. Esa prueba es la cookie de sesión, el pequeño archivo que el servicio entrega al navegador cuando la identificación ha tenido éxito. Con ella, el atacante entra en su cuenta sin que el servicio le vuelva a pedir nada. ## En 30 segundos - Dónde ocurre: en una página de inicio de sesión de un servicio en línea (correo, ofimática en línea), a la que se llega desde un enlace o un archivo adjunto recibidos por correo electrónico [1]. - Qué quiere el atacante: la contraseña y, sobre todo, la cookie de sesión, para iniciar sesión en su lugar a pesar de la autenticación multifactor (MFA) [1]. - El reflejo: no abra la página de inicio de sesión desde un mensaje; use su marcador o la dirección que escriba usted mismo, y avise de cualquier mensaje que le envíe allí. - Si ya ha ocurrido: avise enseguida al servicio informático, porque un atacante puede actuar en el buzón unos minutos después del robo [1]. ## Preguntas directas ### ¿No protege la MFA contra el robo de cuentas? Detiene muchas amenazas. Microsoft escribe que el AiTM no es un fallo de la MFA: como se roba la cookie de sesión, el atacante queda autenticado en lugar del usuario, sea cual sea el método de inicio de sesión de este [1]. MITRE señala igualmente que el uso de una cookie de sesión robada elude algunos protocolos MFA, ya que la sesión ya está autenticada [2]. ### ¿Qué aspecto tiene la página trampa? El de la real. El servidor del atacante retransmite cada intercambio hacia el sitio imitado: la página es visualmente idéntica a la original, y la dirección es la única diferencia visible [1]. Si la organización ha personalizado su página de inicio de sesión de Azure AD, la página falsa reproduce la misma personalización [1]. ### ¿Basta un código de seis cifras para protegerme? No. CISA describe una técnica de phishing habitual: el mensaje lleva a un sitio que imita el portal de inicio de sesión de una empresa, y el usuario introduce allí su identificador, su contraseña y el código de 6 cifras de su aplicación de autenticación [3]. ### ¿Qué protección resiste de verdad? Las llaves y passkeys FIDO2. Microsoft explica que protegen contra la suplantación del verificador: el autenticador solo entrega sus secretos al servicio en el que se registró la llave, no a un atacante que se hace pasar por él [4]. CISA incluye FIDO/WebAuthn y la autenticación mediante infraestructura de clave pública (PKI) entre las MFA resistentes al phishing [3]. ## En la piel del atacante El atacante no tiene que fabricar un sitio falso: instala un servidor web que hace pasar los paquetes HTTP entre la víctima y el servicio objetivo, en los dos sentidos [1]. La página contiene dos sesiones TLS distintas, una con la víctima y otra con el sitio real, lo que le permite extraer de las solicitudes las contraseñas y, más importante, las cookies de sesión [1]. Este trabajo se puede automatizar con kits de código abierto. Microsoft cita Evilginx2, Modlishka y Muraena [1]. MITRE precisa que Evilginx2 puede servir de relé AiTM entre un sitio legítimo y una persona víctima de phishing para capturar credenciales, tokens de autenticación y cookies de sesión [5]. Una vez obtenida la cookie, el atacante la inyecta en su propio navegador para saltarse la autenticación, aunque la MFA del objetivo esté activada [1]. ## Lo que ve en la pantalla Al principio hay un mensaje. MITRE describe el correo con enlace malicioso, que sirve, entre otras cosas, para evitar las defensas que inspeccionan los archivos adjuntos [6]. En la campaña estudiada por Microsoft, el correo llevaba un archivo adjunto HTML y anunciaba un mensaje de voz [1]. La página mostraba una barra de descarga del mensaje, pero la barra estaba escrita directamente en el archivo: no se descargaba ningún archivo de audio [1]. Después se redirigía a la víctima a una página que rellenaba previamente su dirección de correo, lo que reforzaba la credibilidad de la trampa [1]. Luego viene la página de inicio de sesión, copia del portal de Microsoft. Una vez introducidas las credenciales y superada la autenticación, la víctima llegaba a la página real de office.com [1]. Nada señala la interceptación: en segundo plano, el atacante ya había interceptado las credenciales y abierto a su vez una sesión [1]. Esta es una ilustración neutralizada de la forma de una dirección así, para mostrar que solo la dirección delata la trampa: ```text Ilustración (dirección neutralizada, inventada para el ejemplo): hxxps://login[.]exemple-portail[.]invalid/[identificador de la víctima] Página mostrada: [copia del formulario de inicio de sesión de Microsoft] Dirección esperada: [la dirección oficial del servicio, escrita o guardada por usted] ``` ## Bajo el capó Un servicio web abre una sesión tras la autenticación, para no volver a pedir la identidad en cada página. Esa sesión se apoya en una cookie facilitada por el servicio de autenticación, que demuestra al servidor que el usuario ha iniciado sesión [1]. MITRE señala que estas cookies suelen seguir siendo válidas mucho tiempo, incluso cuando la aplicación no se usa activamente [7]. Un atacante que posea una puede importarla en un navegador que controle e iniciar sesión en la aplicación [2]. En la campaña de 2022, las cookies llevaban una declaración MFA: el atacante las usaba, por tanto, para acceder a la cuenta a pesar de la política MFA de la organización [1]. MITRE cita también un caso en que APT29 usó cookies robadas para acceder a recursos en la nube, y una cookie duo-sid falsificada para eludir la MFA de una cuenta de correo, durante el compromiso de SolarWinds [2]. En cuanto a la defensa, CISA clasifica las formas de MFA de la más fuerte a la más débil. Los códigos de un solo uso de una aplicación son vulnerables al phishing, igual que los SMS y las llamadas de voz [3]. Las notificaciones push con introducción de un número resisten el «push bombing», pero no el phishing [3]. Solo FIDO/WebAuthn es, según CISA, la autenticación resistente al phishing ampliamente disponible [3]. El NCSC británico dedica una guía a los métodos de MFA más sólidos [8]. Microsoft recomienda además políticas de acceso condicional, evaluadas en cada intento de uso de una cookie robada (dispositivo conforme, dirección IP de confianza) [1]. ## Autopsias ### Julio de 2022: una campaña dirigida a más de 10 000 organizaciones El 12 de julio de 2022, Microsoft publica el análisis de una campaña de phishing AiTM a gran escala. Robó contraseñas, secuestró sesiones y pasó por alto la autenticación incluso con la MFA activada. Según los datos de Microsoft, intentó atacar a más de 10 000 organizaciones desde septiembre de 2021 [1]. Los atacantes imitaban la página de autenticación en línea de Office, con el kit Evilginx2 [1]. ### Después del robo: el fraude de transferencias Los atacantes usaban después las credenciales y las cookies robadas para acceder a buzones de correo y lanzar fraudes de transferencias (BEC) contra otros objetivos [1]. Microsoft observó que podían bastar cinco minutos entre el robo y el inicio del fraude [1]. Durante los días siguientes, el atacante consultaba cada pocas horas los correos y archivos adjuntos financieros, buscaba conversaciones en curso y luego borraba el correo de phishing inicial [1]. A continuación creaba una regla de bandeja de entrada que movía a «Archivo», marcados como leídos, los mensajes procedentes del dominio del objetivo del fraude, para que el titular no viera nada [1]. Por último, respondía a los hilos sobre pagos y facturas y luego eliminaba sus respuestas de los elementos enviados [1]. En una ocasión llevó a cabo varios intentos en paralelo desde el mismo buzón [1]. ## Fuentes 1. Microsoft, «From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud», 12 de julio de 2022. https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/ (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Use Alternate Authentication Material: Web Session Cookie, Sub-technique T1550.004 - Enterprise». https://attack.mitre.org/techniques/T1550/004/ (consultado el 3 de noviembre de 2026) 3. CISA, «Implementing Phishing-Resistant MFA». https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf (consultado el 3 de noviembre de 2026) 4. Microsoft, «Passkeys (FIDO2) authentication method in Microsoft Entra ID». https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-passkeys-fido2 (consultado el 3 de noviembre de 2026) 5. MITRE ATT&CK, «Adversary-in-the-Middle, Technique T1557 - Enterprise». https://attack.mitre.org/techniques/T1557/ (consultado el 3 de noviembre de 2026) 6. MITRE ATT&CK, «Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise». https://attack.mitre.org/techniques/T1566/002/ (consultado el 3 de noviembre de 2026) 7. MITRE ATT&CK, «Steal Web Session Cookie, Technique T1539 - Enterprise». https://attack.mitre.org/techniques/T1539/ (consultado el 3 de noviembre de 2026) 8. NCSC (Royaume-Uni), «Multi-factor authentication for your corporate online services», 26 de septiembre de 2024. https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/ataque-aitm-robo-token-mfa/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.