Cómo secuestran cuentas corporativas en Microsoft 365 y Google Workspace sin robar contraseñas: Illicit Consent Grant (OAuth) y Device Code Phishing

¿Cómo puede un atacante leer todos tus correos corporativos y enviar mensajes desde tu cuenta oficial si jamás robó tu contraseña ni interceptó tu código SMS? La respuesta está en el secuestro por permisos delegados OAuth, uno de los vectores más efectivos que auditamos en operaciones reales sobre Microsoft 365 y Google Workspace.

En esta guía técnica de ViciousByte analizamos cómo ocurre este escenario en entornos reales, qué evidencia dejan nuestras pruebas de laboratorio y qué controles de ingeniería de seguridad y operaciones de Red Team permiten prevenirlo.

1. Anatomía técnica del vector y superficie de exposición

En lugar de mostrarte una página falsa para robar tu clave, el atacante te envía una invitación legítima para autorizar una supuesta aplicación de documentos o reuniones.

Observa esta prueba en nuestro laboratorio de Red Team. Al hacer clic en aceptar, el usuario entrega alcances críticos de lectura de buzón y acceso permanente.

$ python3 inspect_oauth_grant.py --tenant corp-lab.onmicrosoft.com
Endpoint de login:         https://login.microsoftonline.com/common/oauth2/v2.0/authorize
App mostrada al usuario:   'Visor Corporativo CFDI Cloud' (Publisher: Unverified)
Scopes solicitados:        Mail.ReadWrite Mail.SendFiles.Read.All offline_access
Captura de contraseña:     Ninguna (autenticación gestionada por el proveedor)
Artefacto obtenido:        OAuth Refresh Token válido por 90 días renovables

Como la autenticación ocurrió en el portal legítimo del proveedor, el atacante recibe un token de actualización que funciona por API sin volver a pedir segundo factor.

2. Escalada operativa y pruebas de laboratorio

Incluso si el usuario sospecha y cambia su contraseña, la aplicación maliciosa conserva el acceso, crea reglas ocultas de reenvío y monitorea facturas para desviar pagos.

Mira en esta segunda captura cómo auditamos los permisos concedidos en el directorio y descubrimos aplicaciones externas con acceso silencioso al correo de dirección.

$ python3 audit_m365_persistence.py --mailbox finanzas@corp-lab.mx
Objeto en Entra ID:        OAuth2PermissionGrant ID: 9f41c8a2 (ConsentType: Principal)
Cambio de contraseña:      Ejecutado hace 48h -> Token OAuth siguió activo
Evento en Audit Log:       New-InboxRule ejecutado desde IP externa vía Graph API
Condición de la regla:     SubjectOrBodyContainsWords: ['SPEI', 'CLABE', 'Factura']
Acción configurada:        MarkAsRead=True + MoveToFolder='RSS Feeds' (Oculta)

La defensa real exige deshabilitar el consentimiento libre de usuarios, permitir únicamente aplicaciones verificadas por el administrador y restringir el flujo de código de dispositivo.

3. Mitigación, auditoría y defensa en profundidad

En esta tercera prueba revocamos las concesiones OAuth activas, eliminamos las reglas de buzón inyectadas y aplicamos políticas de aprobación administrativa en el inquilino.

• Referencia técnica 1 (Microsoft Defender XDR Documentation — Detect and Remediate Illicit Consent Grants in Microsoft 365): En un ataque de concesión de consentimiento ilícito (Illicit Consent Grant), el atacante engaña al usuario para otorgar permisos OAuth a una aplicación registrada, obteniendo acceso a datos vía API sin conocer la contraseña.
• Referencia técnica 2 (MITRE ATT&CK — Steal Application Access Token (T1528)): Los tokens de acceso OAuth concedidos mediante phishing de consentimiento permiten acceso persistente a correo y almacenamiento en la nube sin requerir autenticación multifactor adicional.
• Referencia técnica 3 (CISA Secure Cloud Business Applications (SCuBA) — Microsoft Entra ID Baseline): Deshabilitar el consentimiento de aplicaciones por parte de usuarios finales y exigir aprobación administrativa bloquea la autorización no supervisada de aplicaciones de terceros.

En ViciousByte auditamos inquilinos corporativos de Microsoft 365 y Google Workspace, investigamos compromisos de correo empresarial y detectamos credenciales expuestas en línea con nuestra Suite OSINT.

Un solo clic en un permiso OAuth puede abrir toda tu bandeja corporativa. Si buscas blindar tu empresa, acércate a ViciousByte: desarrollo de software, seguridad TI y Red Team.

Canales oficiales de ViciousByte

• Web: https://viciousbyte.com
• Telegram: https://t.me/viciousbyte
• YouTube: https://www.youtube.com/@icrumor
• Instagram: https://www.instagram.com/9viciousbyte
• Facebook: https://www.facebook.com/viciousbyte