Dentro de la plataforma VENOM PhaaS: cómo el robo de credenciales elude la autenticación multifactorial (MFA)

Una campaña de robo de credenciales de cinco meses de duración dirigida a altos directivos ha sacado a la luz una plataforma phishing(PhaaS) hasta ahora desconocida llamada VENOM. El equipo de Abnormal AI identificó la operación, que se desarrolló entre noviembre de 2025 y marzo de 2026.

El hallazgo demuestra cómo una única plataforma PhaaS puede eludir la autenticación multifactorial (MFA) sin aprovechar ninguna vulnerabilidad del protocolo. Este tipo de robo de credenciales no requiere ningún exploit técnico, solo y una plataforma PhaaS bien gestionada.

En esta entrada se explica qué es la plataforma VENOM PhaaS, cómo sus correos electrónicos eluden la detección y por qué tienen éxito las técnicas de robo de credenciales.

¿Qué es la plataforma VENOM PhaaS?

VENOM es una plataforma PhaaS de acceso restringido. Estuvo operativa durante al menos nueve meses antes de que los investigadores de Abnormal la descubrieran y, durante ese periodo, no apareció en ninguna base de datos pública de inteligencia sobre amenazas ni en ningún mercado clandestino.

La plataforma incluye un modelo de licencias y activación, una interfaz completa de gestión de campañas y un almacenamiento estructurado de tokens. Los atacantes que llevan a cabo campañas en VENOM no necesitan crear su propia infraestructura. Activan el acceso según el modelo de licencias de VENOM y ejecutan las campañas a través de él.

A lo largo de los cinco meses que duró la campaña, los operadores de VENOM se centraron en altos directivos, vicepresidentes y presidentes de más de 20 sectores; el 60 % de los destinatarios seleccionados ocupaban esos cargos.

No se trataba de una campaña de «disparar a ciegas». Los objetivos se seleccionaron por su nombre, lo que apunta a que se llevó a cabo un trabajo de reconocimiento previo y confirma que la intención detrás de esta operación de robo de credenciales era obtener acceso persistente a cuentas de alto valor, más que cometer un fraude oportunista.

Cómo el correo electrónico elude la detección

Cada campaña de VENOM comienza con un correo electrónico que simula ser una notificación de SharePoint sobre el intercambio de documentos. La dirección del remitente se genera dinámicamente para que coincida con el propio dominio de la víctima, mientras que el correo electrónico en sí se envía a través de un conjunto rotativo de cuentas empresariales comprometidas.

El correo electrónico no contiene ningún enlace en el que se pueda hacer clic. En su lugar, incluye un código QR, lo que traslada la interacción fuera de la red corporativa y la lleva al dispositivo personal de la víctima. También hay elementos HTML aleatorios, entre los que se incluyen clases CSS falsas y comentarios diseñados para confundir a los escáneres automáticos.

Una vez escaneado, el código QR redirige a una página de destino que filtra a los visitantes antes de mostrar la página destinada al robo de credenciales. La dirección de correo electrónico de la víctima se codifica dos veces en Base64 en el fragmento de la URL, que nunca se transmite en las solicitudes HTTP. Los investigadores de seguridad y los entornos de pruebas que analizan el enlace son redirigidos a sitios web inofensivos.

Solo los objetivos auténticos llegan al «harvester», donde se activa uno de los dos modos de robo de credenciales. Es probable que este paso de filtrado sea lo que ha permitido que la plataforma VENOM PhaaS haya funcionado sin ser detectada durante tanto tiempo.

Dos tipos de robo de credenciales: AiTM y el código del dispositivo

Una vez que un usuario llega a la página de captura de datos, VENOM ofrece a sus operadores dos métodos distintos para robar credenciales.

El primero es el modo «Adversary-in-the-Middle» (AiTM). El atacante muestra el proveedor de identidad (IdP) real del objetivo, con la imagen de marca real de la organización, una dirección de correo electrónico ya rellenada y, si la cuenta está federada, la pantalla de inicio de sesión auténtica. Las credenciales y los códigos de autenticación multifactorial (MFA) se transmiten a los propios sistemas de Microsoft.

VENOM registra en silencio un segundo dispositivo MFA en la cuenta, lo que proporciona al atacante un acceso permanente que se mantiene incluso aunque el autenticador original permanezca intacto.

El segundo método se centra en el código del dispositivo. En lugar de mostrar un formulario de inicio de sesión, la página indica a la víctima que introduzca un código, con lo que se aprueba lo que Microsoft presenta como una solicitud de inicio de sesión. La víctima se autentica directamente con Microsoft. Los tokens se envían directamente al servidor del atacante.

Ambas vías conducen al mismo resultado: se establece un acceso persistente antes de que pueda iniciarse cualquier medida correctiva. Ya sea a través de AiTM o del modo de código del dispositivo, el resultado es un incidente de robo de credenciales que, visto desde fuera, parece un inicio de sesión normal.

Por qué el MFA no detiene esta plataforma PhaaS

La autenticación multifactorial (MFA) está diseñada para impedir el robo de credenciales que se basa únicamente en una contraseña sustraída. La plataforma VENOM PhaaS la neutraliza por una vía diferente. Ninguno de los dos métodos aprovecha una vulnerabilidad del propio protocolo de MFA. La MFA se vuelve ineficaz no porque se rompa el protocolo, sino porque se actúa desde dentro del mismo.

En el modo AiTM, las credenciales y los códigos de autenticación multifactorial (MFA) se transmiten a la API en tiempo real de Microsoft, y el registro silencioso por parte del atacante de un segundo dispositivo de autenticación multifactorial hace que la cuenta confíe ahora en dos autenticadores: el dispositivo original de la víctima y el del atacante.

En el modo de código de dispositivo, que no requiere en absoluto el relé AiTM, no hay ningún formulario de credenciales que detectar ni ninguna autenticación multifactorial (MFA) que interceptar. El usuario objetivo se autentica directamente con Microsoft y aprueba lo que parece un inicio de sesión rutinario del dispositivo, y esa mera aprobación ya le otorga al atacante acceso persistente.

Ya sea a través del relé AiTM o del flujo de códigos del dispositivo, la autenticación multifactorial (MFA) y esta forma de robo de credenciales coexisten porque el atacante obtiene acceso a través del propio sistema de autenticación.

Esta es la lección fundamental que nos enseña la plataforma VENOM PhaaS. Las organizaciones que consideran la autenticación multifactorial (MFA) como una barrera definitiva quedan expuestas precisamente a este tipo de ataque AiTM y a su equivalente en el código de los dispositivos.

La segunda bandeja de entrada: cuando los clientes se enfrentan a las mismas tácticas

La campaña de cinco meses de VENOM se dirigía a los ejecutivos, pero las mismas tácticas subyacentes —una imagen de marca creíble, la sensación de urgencia y un pretexto plausible— aparecen solo frecuencia en una segunda bandeja de entrada: la del cliente. Las marcas minoristas y de comercio electrónico ven cómo se utilizan las mismas técnicas contra sus clientes a través de avisos de entrega falsos y estafas de reembolso que suplantan el dominio propio de la marca.

Este riesgo es distinto del robo de credenciales dirigido a altos directivos descrito anteriormente. Se trata de una amenaza para la reputación de la marca, más que para la cuenta de un solo directivo, y afecta a todos los clientes que confían en un mensaje que lleva el nombre de la marca.

Un cliente que reciba un correo electrónico fraudulento sobre un reembolso pendiente que parezca proceder de un comercio de confianza no tiene forma de distinguirlo de un mensaje legítimo, a menos que el dominio del comercio esté protegido en la capa de autenticación.

DMARC estricta DMARC bloquea el uso no autenticado del propio dominio de una empresa, lo que impide que los atacantes envíen correos electrónicos que parezcan proceder de ese dominio. Conviene ser preciso en cuanto al alcance. DMARC no detiene los correos electrónicos de VENOM dirigidos a altos cargos, ya que estos proceden de cuentas comprometidas.

p=reject bloquea el uso no autorizado de tu dominio. No sirve de nada en el caso de una cuenta de ejecutivo comprometida, ya que ese correo electrónico está autenticado. 

Una vez p=reject está activo, BIMI refuerza los correos electrónicos legítimos de la marca con un logotipo verificado en la bandeja de entrada del destinatario, lo que ofrece a los clientes una señal visual de que el mensaje procede realmente de la marca. Juntos, DMARC y BIMI abordan el riesgo que acompaña —y que es independiente— del robo de credenciales dirigido a altos ejecutivos descrito anteriormente.

Cómo protegerse contra el robo de credenciales al estilo VENOM

La plataforma VENOM PhaaS demuestra que la autenticación multifactorial (MFA) por sí sola no es suficiente para hacer frente a este tipo de robo de credenciales, y que la defensa requiere una respuesta por capas.

Los equipos de seguridad deben revocar las sesiones activas y las concesiones de tokens en Entra ID para cualquier cuenta de la que se sospeche que ha sido comprometida. El simple restablecimiento de la contraseña no invalida los tokens de actualización del código del dispositivo, por lo que es necesaria una revocación explícita para bloquear el acceso que permite este método de robo de credenciales.

Los equipos también deben vigilar si se producen registros inesperados de dispositivos de autenticación multifactorial (MFA) y alertar cada vez que se añada un dispositivo al margen del flujo de trabajo gestionado por el departamento de TI. Este es el indicador más claro de que se ha producido actividad de AiTM en una cuenta.

Y dado que la plataforma VENOM PhaaS se diseñó específicamente para burlar las herramientas basadas en firmas y en la comparación de patrones, la detección basada en el comportamiento —que señala anomalías en el comportamiento de envío y en la actividad de las cuentas— detecta lo que las reglas estáticas pasan por alto.

En lo que respecta a los dominios, la implementación DMARC completa DMARC y BIMI reduce el uso no autorizado del propio dominio de la empresa. Los dominios similares, aquellos que imitan a la marca sin utilizar su dominio exacto, quedan fuera del ámbito de aplicación DMARC BIMI y requieren una supervisión independiente, como la que ofrece Lookalike Domain Defense de Sendmarc.

Descubre cómo DMARC y Lookalike Domain Defense cubren las brechas en materia de dominios.