¿Qué es el robo de tokens?
Las aplicaciones SaaS, como Microsoft 365 y Google Workspace, son herramientas esenciales para la productividad, la comunicación y la colaboración en la actualidad, lo que las convierte en objetivos atractivos para los ciberdelincuentes. Según un estudio reciente, las violaciones de seguridad en aplicaciones SaaS aumentaron un 300 % entre septiembre de 2023 y 2024.
Hoy en día, muchas empresas aplican medidas rigurosas, como los tokens de seguridad, para impedir que los atacantes accedan a sus sistemas y datos. Estos tokens van más allá de las contraseñas y refuerzan aún más la seguridad al autenticar y autorizar a los usuarios en la autenticación de dos factores (2FA) y la autenticación multifactorial (MFA). Sin embargo, los ciberdelincuentes han encontrado nuevos métodos para robar estos tokens y eludir la autenticación multifactorial (MFA).
Precisamente este año, un MSP contó en Reddit que la cuenta de correo electrónico de Microsoft 365 de un cliente había sido pirateada a pesar de que la autenticación multifactorial (MFA) estaba activada, y preguntó a la comunidad cómo habían conseguido los atacantes eludirla.
Detectar y solucionar automáticamente las amenazas de seguridad de los servicios SaaS
Con Kaseya SaaS Alerts puedes detectar infracciones, crear alertas instantáneas y bloquear las cuentas afectadas, lo que te permite responder rápidamente a los incidentes de seguridad de SaaS.
Los ciberdelincuentes son cada vez más sofisticados y utilizan técnicas como el robo de tokens y el secuestro de sesiones para eludir la MFA. Sin embargo, muchas empresas y proveedores de servicios no son plenamente conscientes de estos métodos de ataque.
En este artículo, analizaremos en profundidad qué es el robo de tokens, cómo funciona y qué puedes hacer para proteger tus entornos SaaS, a tus usuarios finales y tus datos.
¿Qué es el robo de tokens?
El robo de tokens es el proceso de sustraer tokens de sesión o claves cifradas digitalmente para obtener acceso no autorizado a cuentas o sistemas. El robo de tokens supone una grave amenaza para las organizaciones, ya que, una vez que los piratas informáticos capturan los tokens de inicio de sesión, pueden suplantar la identidad de un usuario o acceder a información confidencial, incluso cuando se utilizan contraseñas o la autenticación multifactorial (MFA).
Tradicionalmente, los usuarios introducen su nombre de usuario y contraseña cada vez que desean acceder a un servicio o sistema. Los usuarios que utilizan la autenticación basada en tokens inician sesión una sola vez, y las credenciales se verifican mediante procesos como la autenticación multifactorial (MFA). Tras el inicio de sesión inicial, el sistema emite un token seguro (como una llave digital) que demuestra que el usuario está autenticado y permite el acceso a los recursos protegidos durante un periodo determinado. Los ciberdelincuentes tratan de aprovecharse de esto robando tokens de sesión válidos.
Entre los tipos más comunes de tokens que se utilizan en los sistemas modernos de autenticación y seguridad se incluyen los tokens de hardware, como las llaves de seguridad FIDO 2; los tokens de software, como el Autenticador de Google o de Microsoft; y los tokens de acceso, API, de identificación y de actualización.
Cómo funciona el robo de tokens y los métodos utilizados
Los tokens robados permiten a los piratas informáticos eludir controles de seguridad como las contraseñas y la autenticación multifactorial (MFA), suplantar la identidad de los usuarios y acceder a cuentas o sistemas.
Cuando un usuario inicia sesión en una aplicación SaaS, como Microsoft 365 o Google Workspace, el sistema genera un token de autenticación (un token web JSON (JWT) o una cookie de sesión). Este token permite al usuario acceder a la aplicación y a sus recursos sin necesidad de realizar múltiples inicios de sesión sucesivos. Se almacena en el dispositivo del usuario (en el almacenamiento del navegador, en la memoria o en las cookies de sesión) para mantener al usuario autenticado y conservar una conexión continua.
Si los atacantes logran robar este token mientras sigue siendo válido, pueden introducirlo en sus propios navegadores o herramientas y obtener acceso inmediato a la cuenta del usuario. A continuación, pueden suplantar la identidad del usuario, robar información confidencial o llevar a cabo actividades maliciosas. En resumen, los atacantes se apropian de la sesión del usuario.
Métodos habituales utilizados para robar tokens
Phishing
Los atacantes envían correos electrónicos de phishing que contienen enlaces o archivos adjuntos maliciosos. Al hacer clic en esos enlaces, los usuarios son redirigidos a sitios web de phishing diseñados para imitar páginas de inicio de sesión reales. Los atacantes utilizan kits de phishing de AiTM que capturan tanto las credenciales de inicio de sesión como los tokens, lo que les permite eludir la autenticación multifactorial (MFA).
Malware y programas de robo de información
Los ciberdelincuentes utilizan software malicioso, como RedLine o Raccoon Stealer, para extraer tokens y cookies de sesión del navegador o los dispositivos de los usuarios. El malware analiza el almacenamiento del navegador y la memoria de las aplicaciones en busca de tokens que puedan ser sustraídos.
Ataques «man-in-the-middle»
En este tipo de ataques, los atacantes interceptan las comunicaciones de red para capturar los tokens en tránsito. Se sitúan entre el objetivo y el servicio SaaS (por ejemplo, Microsoft 365). Utilizan herramientas como Evilginx (un servidor proxy inverso) que interceptan las sesiones de autenticación y capturan los tokens de sesión válidos.
Reutilización de tokens y ataques de repetición
Una vez que los atacantes roban los tokens, pueden reutilizarlos varias veces para acceder a los sistemas sin necesidad de credenciales de inicio de sesión ni autenticación multifactorial (MFA). Estos métodos permiten a los atacantes reutilizar los tokens robados para suplantar la identidad de un usuario u obtener acceso no autorizado a un servicio de forma repetida hasta que los tokens caduquen o sean revocados.
Robo de tokens frente a secuestro de sesión: ¿cuál es la diferencia?
El robo de tokens y el secuestro de sesión son vectores de ataque relacionados, pero distintos, y utilizan mecanismos diferentes.
El robo de tokens consiste en extraer o sustraer tokens de autenticación, como los tokens OAuth, API o JWT. Por el contrario, el secuestro de sesión consiste en tomar el control de una sesión activa aprovechando un token de sesión robado o interceptado.
A continuación te ofrecemos un breve resumen de las diferencias entre el robo de tokens y el secuestro de sesión.
| Característica | Robo de fichas | Secuestro de sesión |
| Enfoque | Token de autenticación (OAuth, API, JWT) | ID de sesión o cookie |
| Método de ataque habitual | Phishing, malware, MiTM | Fuerza bruta, scripts entre sitios (XSS), ataque «man-in-the-middle» (MiTM), fijación de sesión |
| Ámbito de aplicación | Ámbito más amplio (API, dispositivos móviles, aplicaciones web) | Normalmente centrado en sesiones web |
| Perseverancia | De mayor duración (depende de la fecha de caducidad del token) | Sesión activa o hasta que caduque la sesión |
Figura 1: Diferencia entre el robo de tokens y el secuestro de sesión
Los riesgos y las consecuencias del robo de tokens
El robo de tokens es una de las mayores amenazas a las que se enfrentan las empresas en la actualidad. Los tokens robados permiten a los atacantes:
Evitar el MFA
Permite a los ciberdelincuentes eludir medidas de seguridad como las contraseñas e incluso la autenticación multifactorial (MFA). Esto les ayuda a obtener un acceso no autorizado y persistente sin activar las alertas de la MFA.
Acceso no autorizado a la cuenta
Los atacantes utilizan tokens robados para suplantar la identidad de los usuarios. Una vez que consiguen acceder a una cuenta, se dirigen a otras plataformas, como el correo electrónico, las redes sociales o las aplicaciones empresariales. Pueden desplazarse lateralmente dentro de un sistema o una red, o bien ampliar los privilegios de una cuenta para obtener permisos de mayor nivel y derechos administrativos.
Poner en peligro datos confidenciales
Una vez que una cuenta se ve comprometida, los atacantes pueden acceder a recursos confidenciales como datos de usuarios, registros financieros, correos electrónicos, chats y otros servicios en la nube. Esto puede dar lugar a una filtración masiva de datos desde plataformas SaaS como Microsoft 365 y Google Workspace. Los ciberdelincuentes utilizan la información robada para exigir un rescate. A menudo, los datos filtrados se venden en foros de la dark web con fines lucrativos.
Las consecuencias de estos riesgos podrían traducirse en filtraciones de datos, pérdidas económicas, incumplimiento normativo y daños a la reputación.
Debido a los riesgos que conlleva, el Equipo de Detección y Respuesta de Microsoft (DART) analiza minuciosamente el robo de tokens y las tácticas utilizadas. El objetivo del DART de Microsoft es dotar a los equipos de TI y de seguridad de los conocimientos y las estrategias adecuados para hacer frente al robo de tokens de forma eficaz.
Buenas prácticas para prevenir el robo de tokens
Aunque el robo de tokens es una amenaza compleja y actual, hay ciertas medidas que puedes tomar para mitigar este riesgo.
Políticas de acceso condicional
Las políticas de acceso condicional pueden aplicarse en entornos como Microsoft Entra ID, Azure AD y Google Workspace. Estas políticas evalúan el contexto del acceso, lo que puede ayudar a reducir el riesgo asociado al robo de tokens. Basándose en reglas predefinidas, las políticas de acceso condicional comprueban múltiples factores —como la identidad del usuario, el estado de cumplimiento del dispositivo, la ubicación o la dirección IP, la aplicación a la que se accede y las evaluaciones de riesgo en tiempo real— antes de conceder el acceso.
Informar a los usuarios
Aunque los empleados son el activo más valioso de una organización, los comportamientos de riesgo de los usuarios siguen siendo uno de los eslabones más débiles de la ciberseguridad. En 2024, [más del 90 % de las filtraciones de datos](https://www.infosecurity-magazine.com/news/data-breaches-human-error/#:~:text=El errorhumano contribuyó al 95 %, lo que está provocando fallos en la vigilancia.) estuvieron relacionadas con el error humano.
Aprovecha las soluciones de formación en concienciación sobre seguridad y de pruebas de vulnerabilidad de los usuarios, como « BullPhish ID » (un componente fundamental de « Kaseya 365 User»), para enseñar a los usuarios a identificar los correos electrónicos de phishing y las páginas de inicio de sesión falsas. Informa a los usuarios sobre los riesgos de hacer clic en enlaces desconocidos, reutilizar contraseñas y utilizar redes Wi-Fi públicas sin una VPN.
Claves de acceso o llaves físicas
Utiliza claves de acceso o claves de hardware, como las claves de seguridad FIDO 2, las claves de acceso de Microsoft Authenticator y las claves de acceso de Google. Aportan una capa adicional de protección, ya que para acceder a la clave privada es necesario utilizar Face ID, la huella dactilar o el PIN del dispositivo. Las claves de acceso ofrecen un mecanismo de autenticación más fiable y fácil de usar frente a ciberamenazas como el robo de tokens.
Cómo un usuario de « Kaseya 365 » ayuda a prevenir el robo de tokens
Dado que los ciberdelincuentes y sus tácticas siguen evolucionando rápidamente, las empresas necesitan una estrategia de defensa sólida y por capas para proteger sus entornos SaaS, a los usuarios finales y sus datos en todos los niveles.
Kaseya 365 «User» es una solución integral basada en suscripción que incluye todos los componentes esenciales de ciberseguridad para proteger tu entorno de Microsoft 365 o Google Workspace. Desde la detección de actividades sospechosas en tiempo real y la respuesta automática a las amenazas, hasta el bloqueo de correos electrónicos de phishing antes de que lleguen a las bandejas de entrada de los empleados, pasando por la realización de copias de seguridad y la recuperación de tus datos SaaS de forma segura, « Kaseya 365 User» te ofrece toda la protección que necesitas.
Nuestra solución de seguridad revoca automáticamente los tokens de sesión para bloquear el acceso no autorizado y restablece las contraseñas cuando se detecta un ataque. Correlaciona la actividad de los dispositivos —como los patrones de inicio de sesión— con la actividad de las cuentas para aumentar la probabilidad de detectar vulneraciones de seguridad. Al cotejar los datos de los dispositivos con los de las aplicaciones SaaS, garantiza que solo los usuarios autorizados, desde dispositivos autorizados, puedan acceder a las aplicaciones SaaS críticas de su organización.
Descubre cómo Kaseya 365 User te ayuda a prevenir los ataques de robo de tokens, a responder ante ellos y a recuperarte de ellos. Más información.
