El phishing de M365 ahora viaja en códigos de dispositivo — y tu celular es la llave

Microsoft 365 tiene un flujo de autenticación poco conocido llamado device code flow. Abres una URL en el navegador, te muestra un código, y lo escribes en la app Microsoft Authenticator de tu celular. La app habla directo con Microsoft y te devuelve un access token. Sin cookies de navegador, sin redirecciones. Es cómo entras desde una máquina sin pantalla.

Los phishers se dieron cuenta. En vez de la página falsa que te pide la contraseña, ahora te mandan a una URL alojada por Microsoft que se ve idéntica a la real. Escaneas el código con Authenticator — la app confía en Microsoft, así que te da el token — y de repente el atacante tiene una sesión válida. Sin contraseña, sin prompt de MFA. El token dura horas, lo suficiente para recorrer tu OneDrive, robar correos, y largarse antes de que te des cuenta.

La diferencia es sutil pero importante. El phishing viejo de M365 te engaña para que escribas tus credenciales en una página copia. Esta versión te engaña para que aprobes el login en tu celular. Crees que solo estás diciendo que sí a un nuevo dispositivo. En realidad estás abriendo una puerta trasera.

Por qué nos importa: la gente que confía en su celular para abrir la puerta de su trabajo está dejando la llave en la manilla — el token en tu teléfono es ahora una puerta trasera que no pediste.