Recibes un correo con un enlace para consultar un documento, instalar una herramienta o acceder a un servicio.
Pulsas. Aparece la página auténtica de Microsoft o Google. Inicias sesión con normalidad y completas la autenticación multifactor.
Todo parece legítimo.
Entonces aparece una pantalla que solicita permiso para leer tu correo, acceder a tus archivos, consultar tus contactos o mantener el acceso a tu cuenta.
Pulsas «Aceptar».
El atacante no ha necesitado robar tu contraseña. Le has autorizado a entrar.
Autenticarse no es lo mismo que autorizar
Cuando iniciamos sesión, demostramos quiénes somos. Eso es la autenticación.
Cuando permitimos que una aplicación acceda a determinados datos o realice acciones en nuestro nombre, hablamos de autorización.
Servicios como Microsoft 365 y Google Workspace permiten conectar aplicaciones externas sin compartir directamente la contraseña. La aplicación recibe un permiso limitado (representado mediante un token) para acceder a aquello que el usuario haya autorizado.
Es un mecanismo legítimo y muy útil. Gracias a él podemos conectar calendarios, herramientas de productividad, gestores de documentos y otros servicios.
El problema aparece cuando una aplicación maliciosa consigue convencernos para concederle esos permisos.
Una página legítima también puede llevar a una mala decisión
En el phishing tradicional, el atacante suele crear una página falsa para capturar el usuario y la contraseña.
En el phishing de consentimiento, la pantalla de inicio de sesión puede ser completamente auténtica. La dirección puede pertenecer realmente a Microsoft o Google y la autenticación multifactor puede funcionar correctamente.
El engaño no está necesariamente en la página donde nos autenticamos, sino en la aplicación que solicita acceso y en los permisos que estamos a punto de concederle.
Esto puede generar una falsa sensación de seguridad:
«La página es oficial, así que debe ser seguro».
Pero que la plataforma sea legítima no significa que la aplicación conectada también lo sea.
¿Qué puede conseguir una aplicación autorizada?
Dependerá de los permisos concedidos. Una aplicación podría solicitar capacidad para:
- Leer el correo electrónico.
- Consultar o modificar archivos.
- Acceder a contactos y calendarios.
- Enviar mensajes en nombre del usuario.
- Consultar información del perfil.
- Mantener el acceso aunque ya no estemos utilizando la aplicación.
No todos estos permisos son necesariamente peligrosos. Muchas aplicaciones legítimas los necesitan para funcionar.
La señal de alerta aparece cuando el acceso solicitado es excesivo, inesperado o no guarda relación con la función prometida.
Una herramienta que afirma permitirnos ver un único documento no debería necesitar acceso permanente a todo nuestro correo.
Qué revisar antes de pulsar Aceptar
Antes de autorizar una aplicación, detente unos segundos y comprueba:
- Quién solicita el acceso. Revisa el nombre de la aplicación y del desarrollador. Desconfía de nombres genéricos o muy parecidos a los de servicios conocidos.
- Cómo has llegado hasta allí. Una solicitud iniciada desde un correo inesperado, un mensaje urgente o un enlace recibido por chat merece especial precaución.
- Qué permisos pide. Lee la lista completa. No te limites a comprobar que la página pertenece a Microsoft o Google.
- Si los permisos son proporcionales. Pregúntate si la aplicación necesita realmente acceder a esos datos para hacer lo que promete.
- Si existe presión para actuar rápidamente. La urgencia es una herramienta habitual para conseguir que aceptemos sin pensar.
Si algo no encaja, cancela la autorización y accede al servicio desde su página oficial o consulta al equipo de soporte.
Cambiar la contraseña puede no ser suficiente
Cuando sospechamos que una cuenta ha sido comprometida, solemos pensar inmediatamente en cambiar la contraseña.
Es una buena medida, pero en este caso podría no resolver el problema.
Si ya hemos autorizado una aplicación, esta puede conservar un token que le permita seguir accediendo a determinados recursos sin necesitar nuestra nueva contraseña.
Por eso, también debemos:
- Revisar las aplicaciones conectadas a la cuenta.
- Revocar cualquier autorización que no reconozcamos.
- Comprobar los permisos concedidos.
- Revisar la actividad reciente y las sesiones abiertas.
- Informar al equipo de seguridad si se trata de una cuenta profesional o institucional.
La contraseña protege el inicio de sesión. Los permisos determinan lo que una aplicación puede hacer una vez dentro.
Antes de autorizar, mira más allá del dominio
Comprobar la dirección de una página sigue siendo importante, pero ya no siempre es suficiente.
Una pantalla legítima puede estar presentándonos una solicitud peligrosa. La autenticación multifactor puede confirmar que somos nosotros, pero no puede decidir si la aplicación merece nuestra confianza.
Esa decisión sigue siendo nuestra.
La próxima vez que una aplicación solicite acceso a tu correo, archivos, contactos o calendario, no pulses «Aceptar» automáticamente.
Comprueba quién lo solicita, qué permisos pide y qué podrá hacer en tu nombre.
