Qué haceresta semana 2 de agosto de 2026
critica · chile
El phishing que no te pide la contraseña, y por eso el MFA no lo detiene
La ANCI detectó una campaña masiva a nivel nacional que abusa del flujo OAuth 2.0 Device Authorization Grant en Microsoft Entra ID y Microsoft 365 (AIA26-00268, TLP:CLEAR).
Esta semana — prioridad 1
- Ejecutar el inventario de 90 dÃas de inicios de sesión por Device Code Flow antes de tocar nada. Es de un minuto y evita romper un dispositivo legÃtimo. esfuerzo bajo · cis 8.11 · iso27001 A.8.16
- Bloquear Device Code Flow con Conditional Access: condición *Authentication flows* → bloquear *Device code flow*. A todos los usuarios y recursos cloud, excluyendo solo las cuentas break-glass documentadas y monitoreadas. Aplicar primero en modo reporte. esfuerzo bajo · attack M1018 · cis 6.8 · iso27001 A.8.2
- Bloquear los tres dominios publicados por la ANCI y buscar hacia atrás 120 dÃas si alguien de la organización los alcanzó. esfuerzo bajo · attack M1021 · cis 9.2 · iso27001 A.8.23
Este mes — prioridad 2
- Migrar las cuentas privilegiadas a MFA resistente a phishing (FIDO2 o passkeys). No detiene este ataque por sà solo, pero elimina toda la familia de técnicas que dependen de una aprobación simple. esfuerzo medio · attack M1032 · cis 6.5 · iso27001 A.8.5
- Incorporar el mensaje especÃfico a la concientización: Microsoft nunca te pide escribir un código para abrir un documento o entrar a una reunión. El mensaje genérico sobre enlaces sospechosos no cubre este caso. esfuerzo bajo · attack M1017 · cis 14.2 · iso27001 A.6.3
Indicadores a bloquear
| Tipo | Indicador |
|---|---|
| domain | account.important.vu |
| domain | sayze.cl |
| domain | zace0bwdgj.smoothwebexperiences.de |
Qué necesitas tener logueado
- SigninLogs de Entra ID, con el campo AuthenticationProtocol
- AADNonInteractiveUserSignInLogs, donde aparece el uso posterior de los tokens
- AuditLogs de Entra ID: registro de dispositivos y consentimientos OAuth
- Registros de Exchange Online o CloudAppEvents, para reglas de bandeja de entrada
Las reglas de detección de este análisis están listas para descargar en
https://www.vantis.cl/noticias/device-code-phishing-campana-nacional-microsoft-365-chile/reglas.txt — incluyen la versión Sigma canónica
y las traducciones a los motores que apliquen.