Un inicio de sesión legítimo: una intención maliciosa

La autenticación mediante código de dispositivo tiene una finalidad completamente legítima. Se utiliza cuando una aplicación necesita que el usuario complete el inicio de sesión desde otro equipo, por ejemplo, cuando un dispositivo muestra un código que debe introducirse en el navegador de una computadora o un teléfono.

El problema aparece cuando un atacante manipula este procedimiento.

El proceso suele comenzar con un correo electrónico que parece habitual: una invitación para consultar un documento compartido, revisar una factura, escuchar un mensaje de voz o responder a una solicitud de propuesta.

El empleado sigue las instrucciones y recibe un código de verificación. Después, es dirigido a una página auténtica de inicio de sesión, donde introduce el código y completa la autenticación multifactor.

Todo parece correcto. Sin embargo, hay un detalle que cambia por completo la situación: la solicitud de autenticación no fue iniciada por el empleado, sino por el atacante.

Al introducir el código y aprobar el proceso, el usuario termina autorizando la sesión del ciberdelincuente.

De esta manera, el atacante puede obtener tokens de acceso y actualización que le permiten utilizar los servicios disponibles para la cuenta comprometida, como el correo electrónico, el almacenamiento en la nube y otras aplicaciones empresariales, mientras los tokens continúen siendo válidos.

¿Por qué la autenticación multifactor no siempre es suficiente?

La autenticación multifactor (MFA) representa una capa importante de protección, pero este ataque demuestra que no todos los procesos de autenticación son igualmente resistentes al phishing.

En un ataque tradicional, el usuario suele ser redirigido a una página falsa que intenta imitar un servicio legítimo. La dirección web, el diseño o ciertos detalles del sitio pueden revelar el engaño.

El phishing mediante código de dispositivo elimina buena parte de esas señales de alerta.

La víctima puede:

• Acceder a un dominio legítimo.
• Introducir el código de verificación siguiendo las instrucciones.
• Completar correctamente la autenticación multifactor.
• No proporcionar su contraseña a una página controlada por el atacante.
• Recibir una aprobación normal del sistema de autenticación.

El engaño no está necesariamente en la página que el usuario visita, sino en la solicitud que está autorizando.

Por eso, revisar la URL y completar la MFA no garantizan, por sí solos, que el inicio de sesión sea legítimo. También es necesario comprobar qué aplicación o dispositivo solicita la autorización y por qué se está realizando ese proceso.

De una técnica específica a campañas cada vez más sofisticadas

El phishing mediante código de dispositivo dejó de ser únicamente una técnica experimental.

En febrero de 2025, Microsoft reveló una campaña que utilizaba este mecanismo para capturar tokens de autenticación y obtener acceso a cuentas comprometidas.

A principios de 2026, los atacantes comenzaron a combinar esta técnica con automatización, señuelos generados mediante inteligencia artificial y códigos de dispositivo generados dinámicamente.

Este último elemento representa un avance importante.

Los códigos de dispositivo tienen un periodo de validez limitado. Anteriormente, esto obligaba a los atacantes a convencer a sus víctimas de actuar dentro de una ventana de tiempo relativamente corta.

Con la generación dinámica de códigos, los ciberdelincuentes pueden crear uno nuevo cuando la víctima llega a la etapa final del engaño. Así reducen los obstáculos operativos y facilitan la ejecución de campañas a mayor escala.

La automatización también permite coordinar mejor los diferentes pasos del ataque, desde el primer mensaje hasta la obtención de acceso.

El correo electrónico es el punto de partida, pero no el final del ataque

Para que esta técnica funcione, el atacante necesita una razón convincente para que el empleado complete el proceso de autenticación.

Ahí es donde entra el correo electrónico.

Un mensaje sobre un archivo compartido, una factura pendiente, una solicitud de propuesta o un mensaje de voz puede generar suficiente confianza para que el usuario siga las instrucciones sin cuestionar su origen.

Algunas campañas utilizan enlaces directos. Otras recurren a archivos PDF o HTML y a múltiples redirecciones mediante servicios en la nube legítimos o de buena reputación.

Esto dificulta la detección, porque analizar únicamente el dominio de destino puede dejar fuera información importante sobre el recorrido que llevó al usuario hasta la página de inicio de sesión.

Pero el riesgo no termina cuando el atacante consigue autenticarse.

Una cuenta comprometida puede convertirse en un punto de entrada para explorar aplicaciones conectadas, consultar información confidencial, suplantar la identidad del empleado o intentar avanzar hacia otros recursos de la organización.

Por eso, los equipos de seguridad necesitan observar lo que ocurre antes, durante y después de la autenticación.

Entre las señales que conviene investigar se encuentran:

• ¿Quién envió el mensaje original y qué contexto utilizó para generar confianza?
• ¿Qué enlaces, archivos adjuntos y redirecciones llevaron al empleado hasta la página de inicio de sesión?
• ¿Qué aplicación o dispositivo se estaba solicitando autorizar?
• ¿La actividad posterior corresponde al comportamiento habitual del usuario?
• ¿A qué aplicaciones, recursos o información accedió la cuenta?
• ¿Aparecieron nuevas reglas en el correo, permisos de aplicaciones o registros de dispositivos inesperados?

Conectar las señales del correo electrónico, la identidad, las aplicaciones en la nube y los dispositivos permite comprender mejor el alcance de una posible vulneración y responder antes de que una cuenta comprometida se convierta en un incidente de mayor impacto.

¿Cómo puede una organización reducir este riesgo?

La protección frente al phishing mediante código de dispositivo requiere una estrategia que vaya más allá del filtrado de correos o de la implementación de MFA.

Las organizaciones deben considerar medidas específicas en sus sistemas de identidad, políticas de acceso y herramientas de detección.

• Bloquear la autenticación mediante código de dispositivo cuando no sea necesaria.

Si la organización no tiene una necesidad empresarial legítima para utilizar este mecanismo, deshabilitarlo ayuda a reducir la superficie de ataque.

• Restringir su utilización cuando sea indispensable.

Las políticas de acceso condicional permiten establecer controles sobre cuándo y bajo qué circunstancias puede utilizarse este flujo de autenticación.

• Implementar autenticación resistente al phishing.

Las claves de seguridad y las credenciales FIDO2 ofrecen una protección más sólida frente a técnicas de phishing y robo de credenciales.

• Capacitar a los empleados para verificar lo que autorizan.

No basta con revisar la dirección del sitio web. Los usuarios deben aprender a identificar qué aplicación y dispositivo están solicitando la autorización, y cuestionar cualquier proceso que no hayan iniciado.

• Supervisar los eventos de autenticación y la actividad posterior.

Es importante detectar inicios de sesión inusuales mediante códigos de dispositivo, actividad sospechosa de tokens, registros inesperados de dispositivos, accesos anómalos a Microsoft Graph y nuevas reglas de bandeja de entrada.

• Actuar rápidamente ante una posible intrusión.

Cuando se identifica actividad maliciosa, los equipos de seguridad deben revocar los tokens de actualización y aplicar las medidas de contención correspondientes para impedir que el atacante conserve el acceso.

• Analizar el recorrido completo del correo electrónico.

Evaluar al remitente, el contexto del mensaje, los archivos adjuntos, las redirecciones y la solicitud de autenticación permite identificar señales que podrían pasar desapercibidas al revisar únicamente la página de destino.

Una página legítima no garantiza un acceso seguro

Justo ahí se encuentra el problema

Los ciberdelincuentes están aprovechando la familiaridad de los CAPTCHA para construir campañas de phishing más convincentes. En lugar de limitarse a presentar una página falsa para robar contraseñas, ahora pueden utilizar estas supuestas verificaciones como parte de una cadena de ataque diseñada para engañar al usuario, ocultar contenido malicioso y facilitar la instalación de malware.

El peligro no está en el CAPTCHA legítimo, sino en lo que puede esconder una página diseñada para imitarlo.

De acuerdo con un análisis de Barracuda, el abuso de CAPTCHA apareció en el 43 % de los ataques con kits de phishing examinados durante 2025. Este dato refleja cómo una herramienta asociada con la seguridad puede convertirse en un recurso para aumentar la credibilidad de los engaños digitales.

Y hay algo todavía más preocupante: algunas campañas ya no esperan que la víctima introduzca su contraseña. Buscan que ella misma realice las acciones necesarias para poner en marcha la infección.

De una verificación aparentemente inofensiva a una trampa digital

El funcionamiento de un ataque puede comenzar con un correo electrónico que parece formar parte de la rutina laboral. El mensaje solicita revisar una factura, consultar un contrato, abrir un documento compartido o acceder a un archivo supuestamente protegido.

El usuario hace clic en el enlace y llega a una página que presenta una verificación CAPTCHA. Todo parece normal: una casilla, una instrucción breve y la promesa de continuar hacia el documento solicitado.

Sin embargo, esa pantalla puede formar parte de una infraestructura de phishing.

Después de completar la supuesta verificación, la víctima podría ser redirigida a una página de inicio de sesión falsa, diseñada para capturar sus credenciales. En otros casos, el proceso puede conducir a descargas maliciosas o solicitudes para habilitar notificaciones del navegador que después se utilizan para distribuir contenido engañoso.

La trampa funciona porque el atacante no necesita que el usuario confíe ciegamente en un correo sospechoso. Le basta con construir una secuencia de pasos que parezcan razonables y familiares.

Además, algunos CAPTCHA falsos se utilizan para dificultar el análisis automatizado. Los sistemas de seguridad pueden encontrar obstáculos para avanzar por la página, mientras que una persona que completa la prueba sí consigue llegar al siguiente paso del ataque.

Así, una verificación aparentemente sencilla puede servir para filtrar visitantes, ocultar el contenido malicioso y aumentar las probabilidades de que el engaño tenga éxito.

ClickFix: cuando la víctima termina ejecutando el ataque

Entre las variantes más preocupantes se encuentra la combinación de CAPTCHA falsos con una técnica conocida como ClickFix.

En este tipo de ataque, la página no se limita a solicitar que el usuario marque una casilla. En su lugar, le presenta un supuesto problema técnico y le ofrece instrucciones para solucionarlo.

Por ejemplo, podría mostrar un mensaje que simula un error al abrir un documento, un fallo del navegador o un problema con una actualización. A continuación, indica que es necesario seguir determinados pasos para completar la verificación o recuperar el acceso.

El engaño puede incluir instrucciones para abrir una herramienta del sistema, pegar contenido del portapapeles y ejecutarlo. En algunas variantes, una interacción con la página copia un comando malicioso sin que el usuario lo advierta.

Si la víctima sigue las instrucciones, puede terminar ejecutando el código que inicia la infección del dispositivo.

El cambio es importante: el atacante ya no intenta únicamente convencerte de que reveles información; intenta convencerte de que hagas el trabajo por él.

Esta técnica aprovecha la confianza en las instrucciones que aparecen en pantalla y la tendencia a resolver rápidamente los problemas que interrumpen una tarea laboral.

Por eso, la concientización en ciberseguridad debe ir más allá de enseñar a reconocer correos sospechosos. También es necesario explicar por qué nunca se deben ejecutar comandos, pegar instrucciones desconocidas en herramientas del sistema o instalar programas únicamente porque una página web lo solicita.

Los ataques son cada vez más convincentes y personalizados

Los CAPTCHA falsos forman parte de una evolución más amplia del phishing: campañas que combinan diferentes técnicas para que cada etapa parezca legítima.

Las herramientas de inteligencia artificial y las plataformas de desarrollo accesibles facilitan la creación de páginas visualmente convincentes, formularios de inicio de sesión y recorridos de navegación adaptados a distintos usuarios.

En algunos escenarios, los atacantes encadenan referencias a varias marcas conocidas. La víctima puede recibir un mensaje sobre un documento compartido, completar una supuesta verificación, visualizar una pantalla que imita un servicio de documentos y terminar frente a una página falsa de inicio de sesión corporativo.

Cada paso refuerza la credibilidad del siguiente.

El usuario puede interpretar toda la secuencia como un procedimiento habitual de trabajo, especialmente cuando los mensajes utilizan nombres, diseños o referencias relacionados con su organización.

También existen páginas que modifican su comportamiento según el dispositivo, la ubicación, la actividad del visitante o el momento en que se accede. Algunas permanecen disponibles durante poco tiempo, lo que dificulta que los equipos de seguridad puedan examinarlas después.

Esto significa que reconocer una amenaza únicamente por su apariencia resulta cada vez menos fiable. Una página puede parecer profesional y utilizar elementos visuales familiares sin ser segura.

Las señales que no debes ignorar

Aunque estos ataques se perfeccionan, hay comportamientos que deberían despertar sospechas.

Un CAPTCHA legítimo no debería exigirte ejecutar comandos en tu computadora. Tampoco debería pedirte instalar software inesperado, habilitar notificaciones del navegador como condición sospechosa para continuar o introducir contraseñas y códigos de autenticación dentro de la propia verificación.

Presta atención a estas señales:

• Solicitudes inesperadas: un correo te pide abrir urgentemente una factura, contrato o documento que no esperabas recibir.
• Direcciones web sospechosas: el dominio contiene errores ortográficos, subdominios extraños o no guarda relación clara con el servicio que supuestamente estás utilizando.
• Instrucciones fuera de lo normal: una página te pide abrir herramientas del sistema, pegar contenido del portapapeles o ejecutar comandos.
• Descargas inesperadas: la supuesta verificación inicia la descarga de archivos o solicita instalar programas sin una razón clara.
• Presión para actuar de inmediato: aparecen advertencias sobre la suspensión de una cuenta, la pérdida de información o un supuesto fallo que debes resolver cuanto antes.
• Solicitudes de información sensible: la página exige credenciales o códigos de un solo uso como parte de una verificación que debería ser sencilla.

Un punto importante: el hecho de que una página utilice HTTPS o muestre un candado en el navegador no garantiza que sea legítima. El cifrado protege la conexión, pero no demuestra que el sitio pertenezca a la empresa que afirma representar.

Ante cualquier duda, evita continuar desde el enlace recibido y verifica la solicitud mediante un canal independiente y confiable.

¿Cómo pueden protegerse las empresas frente a esta amenaza?

Combatir el phishing basado en CAPTCHA requiere una estrategia que combine tecnología, procedimientos y capacitación. Confiar únicamente en que los empleados identifiquen cada engaño no es suficiente, especialmente cuando las campañas están diseñadas para imitar procesos cotidianos.

Estas son algunas medidas que pueden ayudar a reducir el riesgo:

1.  Reforzar la seguridad del correo electrónico. Las soluciones de protección deben analizar mensajes, enlaces, archivos adjuntos y redirecciones sospechosas para identificar amenazas antes de que lleguen al usuario o provoquen un incidente.
2. Proteger los dispositivos y detectar comportamientos maliciosos. La seguridad de endpoints ayuda a identificar actividades sospechosas, intentos de ejecución de malware y otros indicadores de compromiso. Esto resulta especialmente importante cuando un usuario interactúa con una página maliciosa.
3. Capacitar a los colaboradores con ejemplos reales. Los usuarios deben aprender a reconocer no solo los correos fraudulentos, sino también las instrucciones sospechosas que pueden aparecer después de abrir un enlace.
4. Fortalecer la protección de las identidades. La autenticación multifactor sigue siendo una medida esencial para reducir el impacto del robo de contraseñas. Sin embargo, debe complementarse con controles de acceso, supervisión de sesiones y mecanismos para detectar actividades anómalas.
5. Mantener una estrategia de defensa por capas. La combinación de protección del correo, análisis de URL, inteligencia de amenazas, seguridad de endpoints y supervisión de actividad permite abordar diferentes etapas de un ataque, en lugar de depender de una única barrera.
6. Definir un procedimiento de respuesta. Si un usuario sospecha que ha seguido instrucciones maliciosas, debe informar inmediatamente al equipo de TI o de seguridad. La organización podrá evaluar si es necesario aislar el dispositivo, investigar la actividad, revocar sesiones o credenciales comprometidas y determinar el alcance del incidente.

La velocidad de respuesta importa. Cuanto antes se identifique un comportamiento sospechoso, mayores serán las posibilidades de contener el problema antes de que afecte a otros sistemas o usuarios.

La seguridad comienza antes de hacer clic en “Verificar”

Los CAPTCHA falsos demuestran que las amenazas digitales no siempre llegan con archivos adjuntos sospechosos o mensajes evidentemente fraudulentos. En ocasiones, se presentan como una parte normal de la experiencia de navegación.

El verdadero riesgo aparece cuando esa familiaridad se utiliza para manipular al usuario, robar sus credenciales o inducirlo a ejecutar acciones que comprometen su propio dispositivo.

Para las empresas, el desafío consiste en anticiparse a estas técnicas y proteger cada etapa del proceso: desde la recepción de un correo hasta la navegación, el acceso a las aplicaciones y la actividad que ocurre en los dispositivos.

Porque una estrategia de seguridad efectiva no debe depender únicamente de que un usuario sepa distinguir una página falsa de una verdadera. También necesita herramientas capaces de detectar amenazas, reducir las oportunidades de ataque y facilitar una respuesta oportuna.

La próxima vez que una página te pida demostrar que no eres un robot, recuerda algo: superar una verificación no significa que el sitio sea seguro.

Nueva superficie de ataque

Los datos recientes sobre vulnerabilidades relacionadas con software de inteligencia artificial muestran que este riesgo ya no es una posibilidad futura. Es un desafío que las organizaciones necesitan comenzar a gestionar desde ahora.

Más IA también significa más vulnerabilidades

Durante 2025 se identificaron cientos de vulnerabilidades asociadas con software relacionado con inteligencia artificial. Y durante los primeros meses de 2026, la cantidad registrada ya había superado ampliamente la cifra del año anterior.

Pero el número por sí solo no es lo más preocupante.

Una parte importante de estas vulnerabilidades alcanza niveles de severidad High o Critical, lo que significa que algunas pueden representar un impacto considerable cuando son explotadas.

Esto cambia la conversación.

El problema ya no consiste únicamente en preguntarnos qué tan poderosa es una IA, sino también qué tan segura es la infraestructura que permite que esa IA funcione.

¿Cuál es la amenaza?

La vulnerabilidad CVE-2026-0257 es un fallo de seguridad en la función VPN GlobalProtect de los firewalls de Palo Alto Networks y Prisma Access. Afecta a los sistemas donde están habilitadas las cookies de anulación de autenticación y dichas cookies utilizan el mismo certificado que la interfaz web principal (HTTPS) de GlobalProtect.

Estas cookies son pequeños fragmentos de datos que se generan tras un inicio de sesión exitoso. Permiten a los usuarios volver a conectarse sin tener que introducir de nuevo su contraseña ni sus credenciales de autenticación multifactor. Debido a un fallo de diseño, el cortafuegos confía en cualquier cookie que pueda descifrar correctamente. No verifica que haya sido él quien la generó originalmente.

Un atacante puede conectarse al sitio web de GlobalProtect y obtener el certificado público que utiliza el servicio. A continuación, puede usar esa información para generar una cookie falsificada que parezca pertenecer a un usuario legítimo. Cuando el atacante envía la cookie falsificada al portal o puerta de enlace de GlobalProtect, el firewall podría autenticarlo erróneamente como un usuario legítimo. En algunos casos, podría tratarse de una cuenta de administrador local. No se requieren credenciales válidas.

Si el ataque tiene éxito, puede establecer una sesión VPN completa en la red de la organización y acceder a los sistemas internos como si fuera un usuario remoto legítimo. Proveedores de seguridad como Rapid7 y Palo Alto Networks han detectado esta técnica en ataques reales. Los informes indican que los atacantes utilizan proveedores de alojamiento en la nube de bajo costo para buscar y explotar dispositivos GlobalProtect vulnerables.

¿Por qué es digno de mención?

Esta vulnerabilidad es particularmente importante porque afecta a las puertas de enlace VPN en el perímetro de la red. Estos sistemas suelen ser el método principal que utilizan los usuarios y administradores remotos para acceder a los recursos de la organización.

Si se explota, los atacantes pueden eludir los controles de autenticación habituales y obtener acceso desde internet haciéndose pasar por usuarios de VPN de confianza. Palo Alto Networks, Rapid7 y CISA han confirmado la explotación activa de esta vulnerabilidad en entornos reales.

Inicialmente, la vulnerabilidad recibió una calificación de gravedad media. Posteriormente, se reevaluó debido a que su impacto en el mundo real resultó ser más grave de lo estimado originalmente.

La CISA añadió la vulnerabilidad CVE-2026-0257 al catálogo KEV. Asimismo, exigió a las agencias federales estadounidenses que solucionaran el problema con prontitud. Estas medidas ponen de manifiesto la gravedad de la amenaza.

¿Cuál es la exposición o el riesgo?

La explotación exitosa permite a los atacantes autenticarse a través de GlobalProtect sin un nombre de usuario, contraseña o verificación multifactor (MFA) válidos. Como resultado, pueden obtener acceso remoto a redes internas desde internet haciéndose pasar por usuarios legítimos de VPN.

El nivel de acceso depende de la configuración de la VPN y de la cuenta que se está suplantando. En muchos entornos, esto podría proporcionar acceso a sistemas internos críticos, recursos compartidos de archivos y herramientas administrativas.

Palo Alto Networks y Rapid7 no han informado públicamente sobre evidencia de actividad posterior a la intrusión en los incidentes observados. Sin embargo, los atacantes aún podrían usar el acceso para profundizar en el entorno.

Las posibles actividades posteriores pueden incluir el robo de datos, la obtención de credenciales, la implementación de malware o el establecimiento de persistencia para futuros ataques. Dado que los ciberdelincuentes escanean activamente internet y atacan los sistemas GlobalProtect vulnerables, cualquier implementación sin parchear o mal configurada se enfrenta a un mayor riesgo de vulneración. Las organizaciones que dependen en gran medida de GlobalProtect para la conectividad remota deben extremar las precauciones. Una puerta de enlace VPN comprometida puede eludir múltiples capas de controles de seguridad internos.

El futuro de la seguridad comienza antes del malware

• Actualice los dispositivos afectados: Actualice todos los sistemas PAN-OS y Prisma Access a las últimas versiones con correcciones de seguridad publicadas por Palo Alto Networks.
• Deshabilitar o reconfigurar las cookies de anulación de autenticación: Deshabilitar las cookies de anulación de autenticación de GlobalProtect siempre que sea posible. Si deben permanecer habilitadas, configúrelas para que utilicen un certificado específico en lugar del certificado HTTPS principal o del portal.
• Restringir el acceso a la VPN: Limite el acceso a los portales y puertas de enlace de GlobalProtect mediante listas de direcciones IP permitidas, bloqueo geográfico o reglas de firewall que permitan conexiones solo desde fuentes confiables.
• Supervise los registros de GlobalProtect: revise periódicamente los registros de la VPN para detectar actividad de autenticación inusual, incluidos inicios de sesión inesperados basados en cookies, nombres de dispositivos desconocidos, ubicaciones sospechosas o direcciones IP maliciosas conocidas.
• Investigue de inmediato cualquier actividad sospechosa: finalice las sesiones VPN sospechosas, restablezca las credenciales o los tokens de autenticación y revise los sistemas internos en busca de evidencia de acceso no autorizado.
• Implementar la autenticación multifactor y la monitorización continua: Exigir la autenticación multifactor a todos los usuarios de VPN y considerar servicios de monitorización de seguridad 24/7 para identificar y responder rápidamente a las amenazas relacionadas con la VPN.