Defensa contra Phishing AiTM (Evilginx) y Token Binding

La defensa contra ataques de phishing Adversary-in-the-Middle (AiTM) mediante FIDO2 y Token Binding se ha convertido en 2026 en la máxima prioridad de identidad corporativa. Con herramientas de proxy inverso automatizado de código abierto como Evilginx, Modlishka y Muraena, los ciberdelincuentes ya no necesitan clonar formularios estáticos; se sitúan como intermediarios transparentes entre la víctima y el proveedor de identidad legítimo (Microsoft 365, Google Workspace, Okta o GitHub).

Cuando el usuario ingresa sus credenciales y resuelve su segundo factor de autenticación (SMS, código TOTP o push approval), el proxy inverso captura la cookie de sesión autenticada (Session Cookie / Refresh Token), permitiendo al atacante eludir por completo el 2FA.

Anatomía de un Ataque AiTM con Evilginx

El ciclo de ataque se ejecuta en cuatro fases automatizadas:

1. Despliegue del Proxy Inverso y Phishlet: El atacante registra un dominio tipográfico similar (login.microsoft.empresa-segura.com) y despliega un certificado TLS válido generado con Let's Encrypt.
2. Atracción de la Víctima (Lure Delivery): Envío de un correo de phishing altamente convincente con enlaces que dirigen al servidor proxy del atacante.
3. Paso Intermediario y Negociación 2FA: El proxy retransmite en milisegundos todas las peticiones al servidor legítimo, presentando la pantalla auténtica de inicio de sesión y el desafío 2FA.
4. Captura del Token de Sesión (Session Hijacking): Una vez superada la autenticación, el proxy captura las cabeceras Set-Cookie (como ESTSAUTH o session_id) y las almacena en la base de datos del atacante mientras redirige a la víctima a la web real.

Para generar códigos temporales de autenticación de dos factores basados en el estándar RFC 6238, utiliza nuestro Generador de Códigos TOTP Online.

Comparativa Técnica: Resistencia de Métodos MFA frente a AiTM

Formulación Criptográfica de la Vinculación de Origen en WebAuthn

En WebAuthn, la firma del cliente ($\sigma$) se genera sobre el hash del objeto de datos del cliente ($C_{ ext{data}}$), el cual contiene el dominio exacto reportado por el navegador:

$$\sigma = ext{Sign}{K{ ext{private}}}\left( ext{SHA-256}(C_{ ext{data}} \parallel ext{AuthData})
ight), \quad ext{donde } C_{ ext{data}} = { ext{"origin"}: ext{"https://tecnocrypter.com"}, , ext{"challenge"}: \dots}$$

Si el proxy se ejecuta en https://login-tecnocrypter-fake.com, el origen firmado no coincidirá con el esperado en el servidor, abortando la autenticación de forma instantánea.

Script de Verificación de Credenciales WebAuthn / Passkeys en Node.js

import { verifyAuthenticationResponse } from "@simplewebauthn/server";

export async function validateFIDO2Passkey(expectedChallenge, responseBody, userPasskey) {
    const expectedOrigin = "https://tecnocrypter.com";
    const expectedRPID = "tecnocrypter.com";

    try {
        const verification = await verifyAuthenticationResponse({
            response: responseBody,
            expectedChallenge: expectedChallenge,
            expectedOrigin: expectedOrigin,
            expectedRPID: expectedRPID,
            authenticator: {
                credentialPublicKey: Buffer.from(userPasskey.publicKey, "base64"),
                credentialID: Buffer.from(userPasskey.id, "base64"),
                counter: userPasskey.counter
            },
            requireUserVerification: true
        });

        if (verification.verified) {
            console.log("[AUTH SUCCESS] Autenticacion FIDO2 resistente a phishing completada");
            return { success: true, newCounter: verification.authenticationInfo.newCounter };
        }
    } catch (error) {
        console.error(`[AUTH BLOCKED - AiTM DETECTADO] Fallo de origen o firma: ${error.message}`);
        return { success: false, error: error.message };
    }
}

Estrategias Corporativas de Erradicación de Phishing en 2026

1. Despliegue de Passkeys Obligatorias: Reemplazar el 2FA por SMS y contraseñas tradicionales de acuerdo con Identidades Efímeras y Seguridad de Cuentas.
2. Protección de Redirecciones URL: Bloquear dominios de phishing tipográfico aplicando Identificación de Redirecciones URL Maliciosas.
3. Capacitación Continua contra Ingeniería Social: Entrenar a los empleados según Entrenamiento contra Ataques de Phishing y Spear-Phishing.

Resumen

Los ataques de phishing AiTM demuestran la obsolescencia del 2FA tradicional en 2026. La migración obligatoria hacia estándares de autenticación con vinculación de origen como FIDO2, WebAuthn y Passkeys es la única estrategia técnica capaz de neutralizar de raíz el secuestro de sesiones.

Referencias:

• FIDO Alliance: FIDO2 & WebAuthn Security Architecture.
• CISA Security Advisory: Mitigating Attacks Using Phishing-Resistant MFA.
• Análisis Relacionado: Detección de Phishing en la Era de la IA.