{"id":447,"date":"2026-07-16T23:11:39","date_gmt":"2026-07-16T23:11:39","guid":{"rendered":"https:\/\/cybertica.cr\/?p=447"},"modified":"2026-07-16T23:11:39","modified_gmt":"2026-07-16T23:11:39","slug":"la-suplantacion-de-ids-de-cliente-oauth-desafia-los-sistemas-de-deteccion-de-microsoft-entra","status":"publish","type":"post","link":"https:\/\/cybertica.cr\/?p=447","title":{"rendered":"La suplantaci\u00f3n de IDs de cliente OAuth desaf\u00eda los sistemas de detecci\u00f3n de Microsoft Entra"},"content":{"rendered":"

\u00a0Proofpoint<\/a>, empresa de ciberseguridad y cumplimiento normativo, ha detectado una nueva t\u00e9cnica de evasi\u00f3n en campa\u00f1as a gran escala contra Microsoft Entra, producto dise\u00f1ado para gestionar identidades y accesos en la nube. La investigaci\u00f3n revela que distintos atacantes han abusado de la suplantaci\u00f3n de identificadores de cliente de OAuth para eludir los mecanismos tradicionales de detecci\u00f3n basados en aplicaciones.<\/p>\n

Los ciberdelincuentes logran validar nombres de usuario, comprobar el estado de las cuentas, deducir la vigencia de las contrase\u00f1as, o ver si medidas de protecci\u00f3n, como la autenticaci\u00f3n multifactor o las pol\u00edticas de acceso condicional, est\u00e1n activas, sin necesidad de completar un inicio de sesi\u00f3n exitoso, y aprovechando el comportamiento del servicio de autenticaci\u00f3n de Microsoft Entra. Al usar IDs de cliente falsificados en vez de aplicaciones OAuth registradas, los atacantes consiguen que los registros de autenticaci\u00f3n aparezcan sin un nombre de aplicaci\u00f3n asociado, lo que dificulta la correlaci\u00f3n de la actividad maliciosa por parte de los equipos de seguridad.<\/p>\n

Proofpoint ha identificado dos campa\u00f1as especialmente relevantes que demuestran la r\u00e1pida adopci\u00f3n de esta t\u00e9cnica. La primera, UNK_PyReq2323, ha empleado m\u00e1s de 700.000 IDs de cliente suplantados desde la infraestructura de AWS para dirigirse a m\u00e1s de un mill\u00f3n de cuentas en cerca de 4.000 tenants de Microsoft Entra. La segunda, UNK_OutFlareAZ, ha elevado la sofisticaci\u00f3n del ataque a trav\u00e9s de 3,7 millones de identificadores OAuth aleatorios y \u00fanicos, afectando a m\u00e1s de dos millones de usuarios desde la infraestructura de Cloudflare.<\/p>\n

Aunque ambas campa\u00f1as aprovechaban infraestructuras, herramientas y m\u00e9todos diferentes para generar los identificadores falsificados, los expertos afirman que se trata de una adopci\u00f3n independiente de la misma t\u00e9cnica, lo que evidencia que este procedimiento se consolida como parte habitual del arsenal de los ciberdelincuentes que atacan entornos cloud.<\/p>\n

\u201cEsta aparici\u00f3n simult\u00e1nea de campa\u00f1as que explotan una misma t\u00e9cnica demuestra que los ataques contra plataformas de identidad evolucionan hacia m\u00e9todos m\u00e1s sigilosos y dif\u00edciles en cuanto a su detecci\u00f3n\u201d<\/em>, aseguran desde Proofpoint<\/strong>.\u00a0\u201cCon la suplantaci\u00f3n de IDs de cliente OAuth, y al eliminar uno de los principales indicadores para los equipos de seguridad, como es el nombre de la aplicaci\u00f3n, los atacantes consiguen ocultar actividades de reconocimiento y validaci\u00f3n de credenciales\u00a0 que, hasta ahora, hab\u00edan sido f\u00e1ciles de identificar\u201d<\/em>.<\/p>\n

Ante estos cambios, Proofpoint recomienda a las organizaciones revisar los registros de inicio de sesi\u00f3n de Microsoft Entra en busca de eventos que carezcan de nombre de aplicaci\u00f3n o presenten identificadores de aplicaci\u00f3n vac\u00edos, ya que pueden constituir un indicador de suplantaci\u00f3n. Aconseja tambi\u00e9n actualizar las reglas de correlaci\u00f3n de los sistemas SIEM para detectar patrones de autenticaci\u00f3n distribuidos que no dependan exclusivamente del nombre de la aplicaci\u00f3n utilizada, adem\u00e1s de analizar en detalle los c\u00f3digos de error AADSTS, que pueden revelar intentos de validaci\u00f3n de credenciales incluso cuando no haya inicio de sesi\u00f3n.<\/p>\n

\n

La entrada La suplantaci\u00f3n de IDs de cliente OAuth desaf\u00eda los sistemas de detecci\u00f3n de Microsoft Entra<\/a> se public\u00f3 primero en CyberSecurity News<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"

\u00a0Proofpoint, empresa de ciberseguridad y cumplimiento normativo, ha detectado una nueva t\u00e9cnica de evasi\u00f3n en campa\u00f1as a gran escala contra Microsoft Entra, producto dise\u00f1ado para gestionar identidades y accesos en la nube. La investigaci\u00f3n revela que distintos atacantes han abusado de la suplantaci\u00f3n de identificadores de cliente de OAuth para eludir los mecanismos tradicionales de […]<\/p>\n","protected":false},"author":1,"featured_media":297,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-447","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts\/447","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=447"}],"version-history":[{"count":0,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts\/447\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/media\/297"}],"wp:attachment":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=447"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=447"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=447"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}