iAuthFlow v2, un kit de phishing de passkey, se vende por 10.000 dólares en foros rusos y sobrevive al cambio de contraseña. La amenaza no es nueva para quien siga el cibercrimen organizado, pero la arquitectura del ataque sí marca un salto: el kit no solo roba las credenciales, sino que instala una credencial criptográfica propia, una passkey, que el restablecimiento de contraseña no revoca.
El análisis lo firma Abnormal Security, empresa de ciberseguridad especializada en protección del correo electrónico. Sus investigadores han seguido la venta en un foro ruso de cibercrimen y la demostración grabada por el propio vendedor. Le adelanto que lo más inquietante no es el precio base de 10.000 dólares ni los módulos adicionales que se venden por separado. Es lo que ocurre después del phishing.
El phishing es la distracción.
La arquitectura del ataque: seis segundos para instalar la puerta trasera
El kit utiliza una técnica que los analistas llaman browser-in-the-middle (navegador intermedio). La víctima ve una página de acceso a Google que parece legítima, pero en realidad un navegador remoto controlado por el atacante es quien interactúa con Google. Todo lo que la víctima teclea —correo, contraseña, código de doble factor— viaja a ese navegador. La víctima entrega las credenciales; el atacante obtiene la sesión autenticada.
La demo del vendedor lo deja claro. La página falsa utilizaba un subdominio de trycloudflare.com, lo que le daba un certificado TLS válido y una apariencia más fiable. Una vez que el relé captura las cookies de sesión, iAuthFlow v2 mantiene a la víctima en una página de ‘Verificación, Procesamiento’ mientras trabaja dentro de la cuenta. Ese estado está programado en el software, no es un artefacto de grabación.
Los registros de sesión cuentan la historia con precisión quirúrgica: acceso a las 21:37:18, passkey creada y guardada a las 21:37:24. Seis segundos bastan para instalar una credencial criptográfica permanente. El módulo navega por los ajustes de passkey de Google, solicita una nueva credencial y, si Google pide reverificación de identidad, el kit la gestiona.
Este ataque ya no se limita a robar una sesión: instala credenciales que siguen vivas cuando el restablecimiento de contraseña deja de tener efecto.
La passkey quedó almacenada en el lado del atacante, registrada como credencial separada vinculada a la cuenta de Google de la víctima.
El operador ya no depende de la sesión original.
De hecho, cuando la víctima cambió su contraseña en la demostración, la sesión robada dejó de funcionar, pero el atacante eligió ‘Probar otra forma’, usó la passkey y volvió a entrar en el buzón. La víctima probablemente no se enteró.
El agujero que el restablecimiento de contraseña no tapa
Aquí está el salto de doctrina que me interesa. Un restablecimiento de contraseña cierra sesiones activas, revoca contraseñas de aplicaciones y anula algunos tokens OAuth. Una passkey es distinta: es una credencial criptográfica separada que permanece activa hasta su eliminación manual. El kit aprovecha esa ventana abierta durante el phishing para crear la clave permanente.
¿Cómo lo hace? Abnormal Security apunta un mecanismo técnicamente plausible: los autenticadores virtuales basados en software de Chromium, que permiten el registro con WebAuthn y retienen claves privadas sin depender del dispositivo físico de la víctima. No lo confirman al cien por cien porque la demo no revela la implementación, pero el comportamiento observado es coherente con cómo funcionan las passkeys.
El kit examinado apunta a Google, pero el vendedor anuncia versiones para Microsoft, iCloud y LinkedIn. La lógica de persistencia posautenticación sirve igual siempre que la plataforma permita inscribir passkeys. Si usted ha sido víctima de un incidente similar, la limpieza debe ir más allá de lo que suelen hacer los equipos de respuesta.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: esto es un kit de phishing convertido en herramienta de persistencia criptográfica. No es un zero-day ni un APT atribuido a un Estado, pero la técnica de browser-in-the-middle y la inscripción de passkeys toca la línea roja de la seguridad corporativa y gubernamental. Imaginen una cuenta de un funcionario, un periodista o un directivo comprometida con este método: cambiar la contraseña no corta el acceso.
Agencias implicadas: quién ataca, por ahora, son cibercriminales que compran el kit por 10.000 dólares en foros rusos. Quién defiende, en primera instancia, es Google y cualquier organización que gestione cuentas comprometidas; en España, me consta que el CCN-CERT ya monitoriza este tipo de técnicas contra cuentas corporativas y gubernamentales. Quién mira, los servicios de inteligencia occidentales, que siguen de cerca la evolución del cibercrimen ruso como cantera de herramientas.
Nivel de clasificación estimado: para una cuenta corporativa hablamos de material sensible, sin clasificar formalmente pero con acceso a información interna. Si una cuenta gubernamental cae, la estimación sube a Secreto según los baremos del Ministerio del Interior. De hecho, lo escribí en El quinto elemento: ‘El próximo 11S empezará con un clic’. Este kit no es el 11S, pero demuestra que el oficio ya no termina con un restablecimiento de contraseña.
El precedente histórico que conviene recordar es Operación Aurora (2010): un APT chino comprometió a Google y otras firmas mediante phishing dirigido. Entonces el objetivo era robar código fuente y acceso. iAuthFlow v2 representa la evolución lógica: el phishing ya no es solo la puerta de entrada, es la palanca para inscribir credenciales permanentes. Los equipos de respuesta deben auditar passkeys, llaves de seguridad, filtros de Gmail, reglas de reenvío, accesos delegados, permisos OAuth, y ajustes de recuperación antes de dar la cuenta por limpia.
Google Workspace ofrece el Security Investigation Tool para esa auditoría. Mi recomendación es contundente: use métodos de autenticación resistentes al phishing, como WebAuthn, y active el Programa de Protección Avanzada. Si su cuenta fue comprometida y parece limpia tras un cambio de contraseña, revise también las passkeys y las llaves de seguridad. El restablecimiento de contraseña ya no es la línea de meta. Es solo la línea de salida.
