¿Qué es el robo de tokens de sesión? (y por qué importa a las empresas)
El robo de tokens de sesión es un ataque en el que los delincuentes se apropian de la prueba digital de que usted ya inició sesión, para entrar a su cuenta de Microsoft 365 sin contraseña ni segundo factor. Tras un inicio de sesión exitoso, el proveedor de identidad emite tokens de acceso y de actualización y el navegador guarda una cookie de sesión. Quien posea esos elementos es tratado como usted hasta que caduquen o se revoquen.
Hoy es la forma dominante de eludir la autenticación multifactor (MFA). Los investigadores que siguen las campañas de septiembre de 2026 describen una ola de phishing que abusa de flujos legítimos de inicio de sesión de Microsoft en lugar de cajas de contraseña falsas. La campaña CSuite combina el robo de sesiones de Microsoft 365 con herramientas de administración remota como ScreenConnect, Action1, Atera, Syncro y PDQ Connect, y los datos de sandbox indican que cerca de la mitad de las muestras provienen de Estados Unidos. Otra, N0va, usa phishing de código de dispositivo para recolectar tokens de usuarios en Norteamérica y Europa suplantando a Teams, SharePoint, OneDrive, DocuSign y Zoom.
Para gerentes de TI y CIO la lección es clara: la MFA por sí sola ya no prueba que la persona sea quien dice ser. Una sesión robada omite el aviso por completo. Proteger la identidad ahora significa proteger la sesión, el dispositivo y la ruta de red que los rodea, que es el núcleo de un moderno programa de ciberseguridad.
