American Organizations Under Attack: Skyw4lker Device Code Phishing Campaign Exposed
Ciertas campañas recientes de suplantación de identidad dirigidas a entidades estadounidenses en sectores como tecnología, manufactura y salud eluden el robo tradicional de credenciales. En su lugar, los atacantes abusan de servicios en la nube legítimos y flujos de autenticación mediante el uso de códigos de dispositivo, lo que les permite comprometer cuentas corporativas sin dejar rastros evidentes en los registros de telemetría habituales.
El funcionamiento de la campaña conocida como Skyw4lker inicia cuando las víctimas reciben documentos protegidos con contraseña, simulando contratos o propuestas comerciales legítimas. A partir de dichos archivos, las personas son redirigidas a plataformas de Google que finalmente las enrutan hacia un flujo de autenticación de Microsoft. La trampa no consiste en replicar una página de inicio de sesión falsa, sino en persuadir al usuario para que complete un proceso de autorización legítimo iniciado por los atacantes, logrando así obtener tokens de acceso a los recursos de Microsoft 365.
Para enfrentar estas amenazas complejas, los equipos de seguridad requieren herramientas de análisis interactivo en entornos aislados que permitan observar la ejecución de código ofuscado, la comunicación de backend y los redireccionamientos en el navegador web. Este tipo de análisis ayuda a recopilar evidencias y extraer indicadores de compromiso confiables, facilitando la validación de alertas y la detección temprana de actividades maliciosas similares en otras cuentas u organizaciones.