¿Cómo logran los grupos criminales vaciar cuentas de tesorería, nómina o pagos a proveedores aunque el director financiero utilice un token de seis dígitos que cambia cada treinta segundos? El secreto detrás de estos fraudes empresariales no es adivinar el código temporal, sino interceptar la sesión completa en vivo mediante un proxy inverso de adversario en el medio.
En esta guía técnica de ViciousByte analizamos cómo ocurre este escenario en entornos reales, qué evidencia dejan nuestras pruebas de laboratorio y qué controles de ingeniería de seguridad y operaciones de Red Team permiten prevenirlo.
1. Anatomía técnica del vector y superficie de exposición
Herramientas ofensivas levantan un servidor con certificado de seguridad válido que retransmite cada clic de la víctima hacia el portal real y devuelve la respuesta en milisegundos.
Observa esta prueba en nuestro laboratorio de simulación de amenazas. Mientras el usuario introduce su clave y su código temporal, el proxy actúa como un espejo transparente.
$ python3 inspect_aitm_flow.py --trace proxy_mitm_session.har
Arquitectura probada: Reverse Proxy AiTM con certificado TLS emitido por ACME
Paso 1 (Credenciales): POST /login retransmitido en vivo hacia el servidor origen
Paso 2 (Reto 2FA): El servidor solicita código TOTP de 6 dígitos (RFC 6238)
Paso 3 (Bypass OTP): Víctima ingresa código; proxy lo reenvía en 34 milisegundos
Causa de vulnerabilidad: El código TOTP no incluye firma criptográfica del dominioEn el instante en que el portal real valida el segundo factor, emite una cookie de sesión autenticada que pasa por el proxy y queda grabada para el atacante.
2. Escalada operativa y pruebas de laboratorio
El delincuente solo importa esa cookie en su propio navegador y entra directamente al panel administrativo o financiero sin volver a escribir contraseña ni pedir otro código.
Mira en esta segunda captura cómo analizamos el robo de encabezados de sesión en tránsito y por qué los códigos numéricos tradicionales no detectan el dominio intermediario.
$ python3 detect_cookie_replay.py --logs auth_gateway.jsonl
Cookie monitoreada: __Host-SessionID (HttpOnly, Secure, SameSite=Lax)
Inicio de sesión (T+0s): IP del proxy AiTM (ASN de VPS en nube extranjera)
Reproducción (T+42s): Misma cookie utilizada desde navegador con huella JA4 distinta
Anomalía detectada: Divergencia entre dispositivo que autenticó y dispositivo activo
Alerta disparada: Session Cookie Replay / Impossible Travel en menos de 1 minutoLa única defensa matemática que neutraliza por completo un proxy inverso es vincular la autenticación al nombre de dominio criptográfico mediante llaves FIDO dos y certificados de dispositivo.
3. Mitigación, auditoría y defensa en profundidad
En esta tercera prueba demostramos cómo una llave criptográfica verifica el dominio exacto en el navegador y aborta la firma automáticamente cuando detecta el proxy suplantador.
- Referencia técnica 1 (W3C Recommendation — Web Authentication (WebAuthn): Cryptographic Origin Binding and Relying Party Verification): El protocolo WebAuthn/FIDO2 vincula criptográficamente el reto de autenticación al origen (dominio) exacto en el navegador, impidiendo que un proxy inverso Adversary-in-the-Middle reenvíe las credenciales.
- Referencia técnica 2 (CISA Fact Sheet — Implementing Phishing-Resistant MFA to Defend Against Adversary-in-the-Middle (AiTM) Proxies): Los métodos de autenticación multifactor basados en códigos de un solo uso (OTP) o notificaciones push son vulnerables a proxies inversos en tiempo real, por lo que las cuentas críticas requieren FIDO2/WebAuthn o PKI.
- Referencia técnica 3 (MITRE ATT&CK Technique T1539 — Steal Web Session Cookie via Reverse Proxy Interception): Los atacantes interceptan cookies de sesión autenticadas tras la validación multifactor para acceder a aplicaciones web y financieras sin necesidad de volver a autenticar.
En ViciousByte ejecutamos campañas controladas de Red Team, rastreamos dominios apócrifos con nuestra Suite OSINT y migramos accesos críticos de tesorería hacia esquemas resistentes al phishing.
Si tus portales críticos dependen de códigos de seis dígitos, un proxy inverso puede saltarlos hoy. Acércate a ViciousByte: desarrollo de software, seguridad TI y Red Team.
Canales oficiales de ViciousByte
- Web: https://viciousbyte.com
- Telegram: https://t.me/viciousbyte
- YouTube: https://www.youtube.com/@icrumor
- Instagram: https://www.instagram.com/9viciousbyte
- Facebook: https://www.facebook.com/viciousbyte
- Ciberseguridad
- RedTeam
- AiTM
- FIDO2
- SeguridadBancaria
- ViciousByte
