El atacante que afectó a la mayoría de las organizaciones de servicios financieros durante los últimos 12 meses nunca suplantó una contraseña. Llamaron a una línea de soporte de TI, convencieron a un empleado para que reiniciara su MFA y registraron su propio dispositivo en la red.
CrowdStrike’s Informe sobre el panorama de amenazas a los servicios financieros de 2026publicado este mes y que cubre la actividad desde abril de 2025 hasta marzo de 2026, identificó a Mutant Spider como la amenaza más activa para el sector de servicios financieros. La técnica principal del grupo fue el phishing de voz a través de Microsoft Teams. Los operadores se hicieron pasar por el soporte de TI interno, convencieron a los empleados para que restableceran sus credenciales y autenticación multifactor y luego registraron sus propios dispositivos en las redes corporativas. El control de seguridad funcionó exactamente como se diseñó, y ese fue el problema.
A los pocos días, el FBI publicó un anuncio de servicio publico advirtiendo sobre Kali365, una plataforma de phishing como servicio que se vende en Telegram por tan solo 250 dólares al mes. Kali365 captura tokens OAuth de Microsoft 365 a través del flujo de autenticación de código de dispositivo legítimo. MFA se dispara en el dispositivo de la víctima, no en el del atacante. El token otorga acceso persistente a Outlook, Teams y OneDrive sin activar otro mensaje de MFA.
El Informe de investigaciones de vulneración de datos de Verizon 2026también publicado en mayo, confirmó que el robo de credenciales se redujo al 13% de los vectores de acceso inicial de infracción. La explotación de vulnerabilidades ocupó la primera posición con un 31%, desplazando lo que Verizon llamó la categoría de acceso inicial líder desde hace mucho tiempo. Son tres fuentes independientes, el mismo hallazgo estructural. MFA protege la autenticación basada en contraseñas, pero los ataques que dominan los servicios financieros evitan cada vez más el robo de contraseñas mediante restablecimientos, concesiones de tokens y explotación. La cuadrícula de auditoría de exposición a derivaciones de MFA al final de este artículo mapea las cinco superficies de ataque confirmadas de los informes de CrowdStrike, FBI y Verizon, lo que MFA omite en cada una y la solución específica para el lunes por la mañana.
Las cifras de CrowdStrike pintan un sector bajo presión sostenida
Los servicios financieros se ubicaron como el cuarto sector más atacado en el primer trimestre de 2026, representando el 12% de toda la actividad adversa observada, según el informe CrowdStrike. A nivel mundial, las instituciones financieras enfrentaron un 43% más de intrusiones de teclado en 2025 en comparación con dos años antes. En América del Norte, esa cifra fue del 48%.
El lado del problema relacionado con los delitos electrónicos creció más rápido de lo que esperaban la mayoría de los defensores. Los operadores de caza mayor nombraron 423 entidades de servicios financieros en sitios de filtración dedicados durante el período del informe. Eso es un aumento del 27% con respecto a las 334 entidades nombradas en los 12 meses anteriores. REVENANT SPIDER, que opera el programa de ransomware como servicio Qilin, publicó la mayor cantidad de víctimas de servicios financieros de cualquier adversario de delitos electrónicos en su sitio de filtración dedicado. El recuento de víctimas de servicios financieros del grupo saltó de 14 a 97 durante el período del informe.
«¿Quién necesita un día cero si todo lo que tienes que hacer es llamar al servicio de asistencia técnica y decir: ‘Olvidé mi contraseña’?» Adam Meyers, vicepresidente senior de operaciones contra adversarios en CrowdStrike, dijo a VentureBeat. Esa frase captura el cambio estructural que su equipo documentó a lo largo de doce meses de intrusiones en los servicios financieros.
El desglose interactivo de la intrusión cuenta la historia de quién ingresa realmente a estas redes. Los actores de delitos electrónicos impulsaron el 75% de las intrusiones de teclado contra servicios financieros. Los adversarios patrocinados por el Estado representaron el 25% restante. Esa proporción no se ha movido desde 2023. Lo que cambió es el volumen total y la sofisticación de las técnicas de acceso.
Las campañas de vishing de Mutant Spider sobre Microsoft Teams representan un cambio estructural en el acceso inicial. El grupo se hace pasar por soporte de TI, manipula a los empleados para que restablezcan MFA y luego implementa herramientas personalizadas posteriores al acceso, incluidas PrionFlaire, SocksLoader y SleepyMutagen. CrowdStrike cree que el grupo vende ese acceso a operadores de ransomware. La llamada de Teams es el primer paso. La nota de rescate es el paso cinco.
«¿Quién necesita un día cero si todo lo que tienes que hacer es llamar al servicio de asistencia técnica y decir: ‘Olvidé mi contraseña’?»
Scattered Spider volvió a realizar operaciones agresivas de ransomware contra compañías de seguros desde abril hasta julio de 2025, luego de una importante pausa operativa que comenzó en diciembre de 2024. El grupo utilizó el mismo manual que ha utilizado desde 2022: ingeniería social de la mesa de ayuda; solicitudes de restablecimiento de credenciales y MFA; luego, movimiento lateral a través de aplicaciones SaaS integradas para localizar datos para extorsión. En septiembre de 2025, la Agencia Nacional contra el Crimen del Reino Unido arrestó y acusó a dos miembros de supuestamente atacar a Transport for London. El Departamento de Justicia de EE.UU. por separado acusó a uno de ellos en relación con múltiples ataques cibernéticos contra la infraestructura crítica de Estados Unidos.
Suscríbete y recibe las historias más importantes del día.
Al suscribirte aceptas nuestros términos y condiciones y política de privacidad.
Los grupos patrocinados por el estado agregaron escala y velocidad
Las conclusiones del informe, patrocinadas por el Estado, refuerzan el problema de la identidad desde una dirección diferente. Los adversarios del nexo entre la RPDC y la RPDC robaron 2.020 millones de dólares en activos digitales en 2025, un aumento del 51% respecto al año anterior. En febrero de 2025, Pressure Chollima ejecutó el robo más grande jamás reportado, robando $1,46 mil millones en criptomonedas al comprometer Safe{Wallet}, una plataforma de gestión de activos digitales que respalda el intercambio Bybit, después de que la máquina de un desarrollador fuera infectada a través de un proyecto Python troyanizado. Los grupos del nexo con China llevaron a cabo campañas sostenidas contra instituciones financieras en múltiples continentes. Hollow Panda aprovechó los dispositivos VPN de Check Point para apuntar a bancos en Filipinas, Indonesia y Brasil. Vault Panda obtuvo acceso inicial a través de dispositivos VPN y firewall comprometidos en cuatro continentes. Cada campaña patrocinada por el estado que documentó CrowdStrike compartía un hilo conductor. El primer movimiento del adversario tuvo como objetivo una identidad, una credencial o una ruta de acceso confiable.
Elia Zaitsev, CTO de CrowdStrike, dijo a VentureBeat en abril que la velocidad de estas operaciones está superando los modelos de defensa tradicionales. «Los enfoques tradicionales simplemente no están diseñados para este tipo de comportamiento», afirmó Zaitsev.
Kali365 convierte el robo de tokens en un servicio de suscripción
El anuncio de servicio público del FBI del 21 de mayo sobre Kali365 confirmó la segunda vía de ataque que convierte a este en un problema compuesto. La plataforma explota el flujo de concesión de autorización de dispositivos OAuth 2.0 de Microsoft, un mecanismo diseñado para dispositivos como televisores inteligentes y sistemas de salas de conferencias que no admiten el inicio de sesión interactivo. Kali365 envía correos electrónicos de phishing haciéndose pasar por servicios confiables como Adobe Acrobat Sign, DocuSign y SharePoint. El correo electrónico contiene un código de dispositivo e instrucciones para visitar una página de verificación legítima de Microsoft. La víctima se autentica normalmente. Incendios del MFA. La ficha va al atacante.
VB Transform · 14 y 15 de julio · Menlo Park · Seguridad e identidad agentes
Sus agentes tienen acceso a correo electrónico, acceso a tarjetas de crédito y acceso a terminales. ¿Qué pasa cuando están comprometidos?
Las sesiones sobre seguridad agente cubren inyección rápida, sandboxing en entornos regulados y los protocolos de agentes confiables que Visa está probando en su propia infraestructura crítica.
lobo árticoque publicó un análisis técnico profundo sobre Kali365 en abril, documentó una estructura comercial de tres niveles. Un nivel de administrador para los desarrolladores, un nivel de agente para los revendedores y un nivel de cliente para los afiliados que pagan. El precio de la suscripción va desde $250 por 30 días hasta $2000 por un año. La plataforma admite 14 idiomas e incluye señuelos de phishing generados por IA, plantillas de campaña automatizadas y un panel de seguimiento en tiempo real.
El flujo de código del dispositivo no es una vulnerabilidad. Es una característica. Microsoft lo diseñó para dispositivos que no admiten el inicio de sesión interactivo. El problema es que las configuraciones predeterminadas de Entra ID no restringen su uso y la mayoría de las organizaciones nunca han auditado si algún flujo de trabajo legítimo realmente lo requiere. Kali365 explota esa brecha entre la intención del diseño y la realidad de la implementación.
El Verizon DBIR reforzó esa evaluación desde un ángulo diferente. La edición de 2026 analizó más de 22.000 infracciones confirmadas en 145 países. La explotación de vulnerabilidades, con un 31%, ahora lidera el abuso de credenciales con un 13%. El tiempo medio para aplicar parches completos aumentó de 32 a 43 días. Las organizaciones parchearon sólo el 26 % de las fallas críticas en el catálogo de vulnerabilidades explotadas conocidas de CISA, en comparación con el 38 % del año anterior.
Esos datos crean una imagen clara. La industria ha pasado dos décadas construyendo defensas contra el robo de credenciales. Los ataques que realmente funcionan en servicios financieros eliminan MFA mediante ingeniería social o capturan tokens a través de flujos de autenticación legítimos donde MFA no protege la sesión del atacante.
Cuadrícula de auditoría de exposición de derivación de MFA
Los directores de seguridad deben realizar esta auditoría en su entorno esta semana. Cada fila representa una ruta de ataque confirmada de los tres informes anteriores.
|
Superficie de ataque |
Evento confirmado |
Lo que MFA extraña |
Acción |
|
Restablecimiento de MFA de vishing/mesa de ayuda de Teams |
El atacante de FS más activo llamó a los empleados de Teams, restableció MFA y registró su propio dispositivo (CrowdStrike) |
La mesa de ayuda verifica la identidad de la persona que llama sin confirmación fuera de banda. La ingeniería social elimina por completo la MFA. |
Verificación fuera de banda para todos los reinicios de MFA. Llaves de hardware FIDO2. Devolución de llamada en un canal separado. |
|
Flujo de código de dispositivo OAuth |
La herramienta de $250/mes captura tokens M365 a través de la página de inicio de sesión del dispositivo. MFA no se activa en el dispositivo del atacante. (FBI) |
No restringido en las configuraciones predeterminadas de Entra ID. El canal de autenticación separa el desafío MFA del usuario de la concesión de token del atacante. |
Restrinja el flujo de código del dispositivo en el acceso condicional de Entra ID. Bloquear dispositivos no administrados. |
|
Persistencia de tokens |
Ambos caminos terminan aquí. Los tokens válidos pueden otorgar semanas o meses de acceso silencioso según la configuración de vida útil del token. (CrowdStrike + FBI) |
El monitoreo tradicional del robo de credenciales no señala el acceso basado en tokens. Los tokens son artefactos portadores equivalentes a credenciales, pero la mayoría de las herramientas de detección no los clasifican de esa manera. |
Supervise el uso del token de actualización de OAuth desde dispositivos desconocidos. Políticas de vida útil del token. |
|
Movimiento SaaS posterior al acceso |
Después del reinicio, los atacantes recurrieron a aplicaciones SaaS en busca de credenciales y documentos. (CrowdStrike, sector asegurador) |
DLP monitorea las descargas de archivos, no la actividad de la sesión posterior al reinicio ni las llamadas API basadas en tokens de sesiones autorizadas. |
Auditar el acceso a Graph API. Marcar operaciones masivas desde sesiones de reinicio o código de dispositivo. |
|
Desalineación presupuestaria |
Robo de credenciales al 13%. Explotación de vulnerabilidad al 31%. (Verizon DBIR) Parche de ingeniería inversa en 72 horas. (Ivanti) |
La inversión tradicional en MFA con solo inicio de sesión aborda la amenaza que acaba de caer al tercer lugar. La captura de tokens y la ingeniería social quedan fuera de esa inversión. |
Reequilibrio hacia el monitoreo de tokens, validación de sesiones y verificación de identidad para reinicios. |
Mike Riemer, vicepresidente senior y CISO de campo de Ivanti, dijo a VentureBeat en una entrevista exclusiva que el problema de velocidad agrava la desalineación presupuestaria. «Los actores de amenazas son parches de ingeniería inversa, y la IA ha mejorado enormemente la velocidad a la que lo hacen», dijo Riemer. «Pueden aplicar ingeniería inversa a un parche en un plazo de 72 horas. Si lanzo un parche y un cliente no lo aplica dentro de las 72 horas siguientes a ese lanzamiento, está expuesto a sufrir ataques».
El problema estructural es claro
«La gente se está olvidando de la seguridad en tiempo de ejecución», dijo Zaitsev. «Hemos hecho esto antes, con endpoints, virtualización y nube. La gente realmente se centró en, oye, parcheemos todas las vulnerabilidades. Imposible. Asegurémonos de que
Compruebe todos los permisos. De alguna manera siempre parece que se nos escapa algo”.
Los atacantes que más importan en los servicios financieros en este momento no están robando contraseñas. Están llamando a la mesa de ayuda. Están explotando flujos de autenticación legítimos. Están capturando tokens que persisten durante meses. Las defensas que consumieron la mayor parte de los presupuestos de seguridad durante la última década apuntan a una amenaza que acaba de caer al tercer lugar.
La solución no es añadir otra capa de AMF: tanto Zaitsev como Riemer dijeron lo mismo. Se trata de repensar qué protege realmente la AMF, qué no y hacia dónde debe destinarse el presupuesto a continuación.
