La plataforma phishing-as-a-service (PhaaS) Greatness ha sumado una nueva capacidad: el phishing por código de dispositivo. Esta técnica se apoya en un flujo legítimo de OAuth 2.0 para obtener tokens sin la interacción esperada por el usuario, con el fin de evadir la autenticación multifactor (MFA) y tomar control de cuentas.
De acuerdo con análisis de terceros, Greatness no se limita a recolectar credenciales. Su operador dispone de un panel y una infraestructura compartida para orquestar diferentes fases del ataque: robo de tokens, abuso de consentimiento OAuth y, ahora, la explotación del Device Authorization Grant para capturar acceso persistente.
Qué es el phishing por código de dispositivo en este contexto
El phishing por código de dispositivo aprovecha un mecanismo real y estándar: el device authorization flow de OAuth 2.0. En lugar de intentar que la víctima visite una página de inicio de sesión falsa, el atacante busca que el proceso “parezca” legítimo: el usuario solo introduce una contraseña en un sitio que realmente corresponde al proveedor, mientras lo inusual queda reducido a un código corto y una razón plausible para ingresarlo.
El resultado es especialmente peligroso: si el atacante logra asociar el código con su extremo de autorización, puede obtener tokens de forma silenciosa y luego utilizarlos para acceder a recursos del entorno comprometido.
Cómo Greatness encadena ataques para robar tokens
Greatness se describe como una solución orientada a bajar la barrera de entrada al cibercrimen. Los operadores acceden mediante una suscripción gestionada a través de un canal público en Telegram, con herramientas listas para usar y configuraciones que simplifican la puesta en marcha de campañas.
En la práctica, la plataforma integra componentes para aumentar la probabilidad de éxito. El proceso mencionado en los informes contempla, por ejemplo, una cadena de redirecciones con controles anti-análisis: fingerprinting del User-Agent, una puerta de CAPTCHA y mecanismos orientados a dificultar la investigación automatizada.
Tras esas etapas, el destino final puede ser un proxy asociado a técnicas tipo AiTM (adversary-in-the-middle) o el endpoint del device code. Ahí es donde entra en juego la rama nueva: el atacante se beneficia del flujo de autorización para conseguir tokens.
El panel del operador y plantillas listas para desplegar
Una parte clave del impacto de Greatness es su enfoque “todo en uno”. El panel del operador ofrece estadísticas de campaña y opciones de configuración, incluyendo selección de CAPTCHA, aspectos visuales y cómo se almacenan los datos capturados.
Además, los informes señalan que el servicio entrega más de once plantillas de señuelos descargables y preparadas para su uso. Entre los ejemplos observados aparecen plantillas relacionadas con inicios de sesión de audio, asistencia en chat, exploradores de archivos, buzones de voz, recursos estilo OneDrive, códigos QR y reproductores de vídeo.
La ventaja para el atacante es clara: en vez de construir todo desde cero, puede reutilizar HTML y otros componentes empaquetados. En el mismo material se menciona que las plantillas incluyen redirecciones preparadas y variantes documentales, lo que acelera la creación de campañas.
De credenciales a ecosistemas de ataque integrados
Este caso encaja en una tendencia más amplia: las plataformas PhaaS evolucionan desde la recolección básica de credenciales hacia ecosistemas completos de intrusión. Greatness, según el análisis, puede combinar varias tácticas desde un mismo operador: robo de credenciales y de tokens mediante AiTM, abuso de consentimiento OAuth y, ahora, phishing por código de dispositivo.
En otras palabras, el atacante no “elige una sola arma”. La infraestructura compartida y el panel unificado permiten alternar rutas de ataque según el entorno y el comportamiento de la víctima.
Campañas con suplantación basada en confianza real
Más allá de la técnica de autorización, los reportes citan campañas que usaron señuelos de mensajes de voz con identidad de un proveedor de telefonía. Un punto importante es que no se trató únicamente de imitación superficial: los correos explotaron configuraciones de confianza existentes porque el destinatario era realmente cliente del servicio suplantado.
Los correos, en algunos casos, pasaban por exclusiones “safe sender” y lograban llegar a la bandeja pese a fallos en validaciones típicas como SPF, DKIM y DMARC. Eso aumenta la probabilidad de interacción y, por ende, el potencial de robo.
Qué ocurre después del acceso: persistencia y uso del token
Cuando el atacante obtiene tokens o acceso derivado, el foco pasa de la captura inicial a la explotación del entorno. Los análisis descritos indican que los tokens capturados pueden reutilizarse rápidamente mediante infraestructura proxy y luego usar la información para enumerar recursos del ecosistema comprometido.
En el caso de entornos asociados a Microsoft 365, se mencionan accesos y exploración de elementos como Outlook, Teams, SharePoint, Exchange, OneDrive, contactos, calendarios y aplicaciones registradas a través de la Microsoft Graph API.
También se describen acciones que aumentan la persistencia: el registro de dispositivos en minutos para generar un Primary Refresh Token (PRT), y la espera de horas antes de configurar reglas maliciosas o exfiltrar datos, con el objetivo de reducir la detección temprana.
Cómo reducir el riesgo del phishing por código de dispositivo
Frente a este tipo de amenazas, el enfoque recomendado se basa en frenar el flujo de autenticación en capas. Una de las medidas citadas es bloquear el método de autenticación a nivel global mediante Conditional Access Policies. La idea es evitar que el device authorization grant sea aceptado salvo en escenarios muy específicos.
Además, se aconseja migrar hacia métodos de MFA resistentes al phishing y entrenar al personal para desconfiar de códigos inesperados, especialmente cuando su contexto no coincide con los canales habituales.
Si el flujo por dispositivo resulta imprescindible en casos determinados, se sugiere limitarlo con exclusiones explícitas para los usuarios o recursos requeridos, y realizar una auditoría continua para revocar permisos en cuanto dejen de ser necesarios.
Conclusión
La incorporación del phishing por código de dispositivo en Greatness marca otro salto en la sofisticación de las plataformas PhaaS: el atacante combina un flujo OAuth legítimo con técnicas de camuflaje, recolección de tokens y post-explotación orientada a persistencia. La respuesta defensiva debe ser preventiva y selectiva: restringir el uso del flujo donde sea posible, reforzar la MFA con opciones resistentes al phishing y elevar la conciencia del usuario ante códigos y procesos anómalos.
Fuente: https://thehackernews.com/2026/08/greatness-phaas-adds-device-code.html
