Passkeys usadas como puerta trasera: iAuthFlow V2, el phishing que resiste al cambio de contraseña

El mecanismo: dos navegadores y una passkey invisible

El escenario reconstruido por Abnormal Security toma como ejemplo una cuenta de Gmail y se articula en una secuencia de pasos que combinan phishing tradicional y una infraestructura de dos entornos.

La víctima es atraída a una página web controlada por el atacante mediante un mensaje de phishing clásico. Allí introduce sus credenciales, convencida de acceder al servicio legítimo. Sin embargo, en el servidor del atacante está activo un segundo entorno de navegador, separado pero conectado a la página de phishing: es este segundo navegador el que interactúa realmente con Google, mientras que la víctima solo interactúa con la página falsa.

Las credenciales y las respuestas de autenticación se reenvían al segundo navegador, que aplica de inmediato una huella digital al navegador de la víctima. Cada entrada que introduce la víctima queda registrada. En ese momento, el kit añade silenciosamente una passkey ya preparada y la envía al segundo entorno. Google, a través de la página de phishing inicial, pide a la víctima que complete la autenticación: si el phishing tiene éxito, la víctima autoriza sin saberlo también la passkey controlada por el atacante. Toda la secuencia busca que el usuario, convencido de proteger su cuenta, en realidad esté añadiendo un método de acceso alternativo en manos del atacante.

Por qué el restablecimiento de contraseña no basta

Normalmente, tras una compromisión por phishing, el procedimiento recomendado es cambiar la contraseña y revocar las sesiones activas. Si el atacante solo dispone de cookies de sesión robadas, estas acciones bastan para interrumpir el acceso. Google precisa que el cambio de contraseña revoca las contraseñas de aplicaciones y los tokens OAuth con ámbito de Gmail, pero algunos dispositivos autorizados y conexiones de terceros pueden permanecer vinculados. La passkey, sin embargo, no se ve afectada.

La passkey es una credencial registrada en la cuenta, no un token derivado de la contraseña. El cambio de contraseña no la elimina. Si el atacante controla la passkey maliciosa, puede usarla más adelante para iniciar sesión seleccionando "probar otro método", sin conocer la contraseña y sin que la revocación de sesiones tenga efecto alguno. El acceso sobrevive al restablecimiento y a la revocación: esta es la característica que hace que iAuthFlow V2 sea cualitativamente más peligroso que los kits de phishing tradicionales, incluso en ausencia de una puntuación CVSS.

Limitaciones del análisis y niebla informativa

El análisis de Abnormal Security no se basa en la ejecución real del malware. Los investigadores no compraron ni ejecutaron iAuthFlow V2, sino que reconstruyeron su funcionamiento a partir de los materiales publicados por el vendedor en el foro. Esto impone cautela sobre las conclusiones operativas, pero el marco técnico descrito es coherente con las técnicas conocidas de phishing con passkeys.

La información pública sobre el kit es muy limitada, en consonancia con su elevado precio y su presunta operativa furtiva. No se conocen CVE asociados ni indicadores de compromiso específicos hechos públicos: Abnormal Security afirma incluir IOC e indicaciones de remediación en su análisis, pero los detalles operativos no se han divulgado en el informe.

El panorama se vuelve aún más opaco por la confusión de los modelos de lenguaje consultados sobre el tema. Gemini describe iAuthFlow V2 como un kit o framework comercial de phishing como servicio vendido en foros underground, como Exploit forum, pero no menciona las passkeys. Copilot ofrece una respuesta aún más confusa. Esto demuestra que, por ahora, las fuentes fiables son escasas y el análisis de los investigadores sigue siendo la referencia principal.

Los riesgos para usuarios y organizaciones

La víctima de este tipo de ataque no solo pierde las credenciales: pierde el control de los métodos de acceso alternativos. El atacante mantiene el acceso a la cuenta incluso después de que la víctima haya ejecutado los procedimientos estándar de remediación. La passkey maliciosa permanece registrada en la cuenta y permite accesos futuros sin conocer la contraseña. Las consecuencias posibles son la lectura continuada del correo, el robo de datos y una compromisión prolongada de la cuenta, que puede extenderse durante semanas o meses.

Para las organizaciones, el riesgo es aún mayor: quien se limite a restablecer la contraseña y revocar las sesiones podría no expulsar al atacante de la cuenta comprometida. En un contexto empresarial, una cuenta de Gmail o de otro servicio vinculado a un dominio puede convertirse en una puerta persistente para la exfiltración de información o para ataques posteriores contra otros empleados.

Cómo defenderse: revisar las passkeys y los métodos alternativos

La principal lección del análisis de Abnormal Security es que las contramedidas tradicionales ya no son suficientes. El simple cambio de contraseña y la revocación de sesiones no interrumpen un acceso basado en una passkey maliciosa. Quien sospeche una compromisión o quiera proteger una cuenta debe verificar y eliminar cualquier passkey o credencial registrada no reconocida. En Gmail y en otros servicios, la sección dedicada a las passkeys y a los métodos de acceso alternativos debe revisarse elemento por elemento.

Es igualmente importante revisar los dispositivos autorizados y las conexiones de terceros que podrían permanecer activas después del cambio de contraseña, ya que Google advierte que algunas de ellas pueden sobrevivir al restablecimiento. En general, tras un incidente de phishing, hay que considerar que cualquier método de autenticación registrado en la cuenta puede estar comprometido y eliminar todo lo que no se reconozca antes de dar la cuenta por segura.

El contexto más amplio, señalado recientemente, muestra que el phishing es cada vez más sofisticado y organizado: el FBI y Google han desmantelado el servicio de phishing "Outsider Enterprise", más de 500 organizaciones se han visto afectadas en una campaña plurianual, y Microsoft ha advertido de una campaña sofisticada contra organizaciones estadounidenses. iAuthFlow V2 se inscribe en esta tendencia, convirtiendo las passkeys de herramienta de seguridad en vector de persistencia. La defensa, en consecuencia, debe actualizarse con la misma rapidez.