¿Qué es el abuso de tokens OAuth? (Y por qué importa a las empresas)
El abuso de tokens OAuth es un ataque en el que un adversario obtiene, o engaña a un usuario para que conceda, un token de acceso OAuth válido, y luego usa ese token para llegar a los datos SaaS como una aplicación confiable ya autenticada, evadiendo por completo las contraseñas y la autenticación multifactor. Como el propio token es la credencial, el atacante no necesita robar una contraseña ni vencer el MFA en el inicio de sesión. Simplemente aprovecha una autorización que la organización ya aprobó.
¿Por qué importa tanto en 2026? Las empresas hoy operan dentro de decenas de plataformas SaaS interconectadas, desde el CRM y las mesas de soporte hasta las herramientas de marketing e ingresos, y cada una de esas integraciones se une mediante OAuth. Cada app conectada guarda un token de larga duración que puede leer o exportar datos en nombre del usuario. Cuando uno de esos tokens se abusa, el intruso hereda sus permisos en silencio, a menudo sin ninguna alerta de inicio de sesión fallido que despierte sospechas.
El patrón pasó de la teoría al titular durante buena parte de 2026. Microsoft y varios equipos de inteligencia de amenazas documentaron una campaña, ampliamente atribuida al grupo rastreado como ShinyHunters, que abusó de relaciones OAuth confiables de Salesforce para evadir el MFA, establecer persistencia y exfiltrar datos de CRM a gran escala. Lo esencial: no explotó ninguna vulnerabilidad de software. Manipuló flujos legítimos de OAuth.
Para los gerentes de TI y CIO de América Latina y Estados Unidos, el abuso de tokens OAuth no es un problema acotado al administrador de SaaS. Es una amenaza directa a los datos de clientes y a los registros regulados que exige la misma atención continua, y la misma cobertura de ciberseguridad gestionada, que ya se da a los endpoints y a la red.
