¿Qué es un ataque de adversario en el medio (AiTM)?
¿Qué es un ataque de adversario en el medio (AiTM)?
Escrito por: Lizzie Danielson
Publicado: 12/9/2025
Un ataque de adversario en el medio (AiTM) es un ciberataque sofisticado en el que un actor malicioso se posiciona entre un usuario y un sitio web o servicio legítimo para robar credenciales y datos de sesión. A diferencia de los intentos de phishing tradicionales, los ataques AiTM usan servidores proxy para interceptar la autenticación en tiempo real, lo que permite a los cibercriminales burlar la autenticación multifactor (MFA) y acceder a cuentas incluso cuando los usuarios siguen los protocolos de seguridad adecuados.
TL;DR: Los ataques AiTM representan una evolución de los ataques tradicionales de intermediario, dirigidos específicamente a los procesos de autenticación. Los cibercriminales crean páginas de inicio de sesión falsas que actúan como proxies entre los usuarios y los servicios legítimos, capturando tanto las credenciales como las cookies de sesión para burlar medidas de seguridad como MFA. Estos ataques son particularmente peligrosos porque pueden comprometer cuentas en tiempo real, incluso cuando los usuarios creen que están siguiendo las mejores prácticas de seguridad.
Los ataques AiTM se han convertido en una preocupación importante para los profesionales de ciberseguridad porque explotan la confianza que los usuarios depositan en procesos de inicio de sesión conocidos. Cuando alguien recibe lo que parece ser un correo legítimo de Microsoft, Google o su banco pidiéndole iniciar sesión, podría no darse cuenta de que está entrando en una trampa elaborada diseñada para robar su identidad digital.
Entender cómo se desarrollan estos ataques ayuda a ilustrar por qué son tan eficaces contra usuarios desprevenidos. El proceso suele comenzar con un correo de phishing cuidadosamente elaborado que parece provenir de una fuente confiable.
Los cibercriminales empiezan enviando correos de phishing que imitan de cerca comunicaciones legítimas de servicios populares como Office 365, Gmail o plataformas bancarias. Estos correos suelen crear urgencia al afirmar que la cuenta fue suspendida, que hubo una vulneración de seguridad o que se requieren actualizaciones. La diferencia clave con el phishing tradicional es que el enlace malicioso no lleva a un sitio falso estático, sino que se conecta a un servidor proxy dinámico.
El atacante despliega un servidor proxy inverso que se ubica entre la víctima y el sitio web legítimo. Herramientas como Evilginx y Modlishka han hecho que esta técnica sea más accesible para que los cibercriminales la implementen, lo que les permite crear réplicas convincentes de páginas de inicio de sesión que funcionan en tiempo real. Cuando un usuario hace clic en el enlace malicioso, es dirigido a este servidor proxy, que de inmediato comienza a obtener contenido del sitio web real.
Mientras el usuario ingresa sus credenciales en lo que parece ser la página de inicio de sesión legítima, el servidor proxy captura esta información y, al mismo tiempo, la reenvía al sitio web real. Esto crea una experiencia fluida para la víctima: logra iniciar sesión en su cuenta con éxito e incluso puede completar la tarea que tenía en mente. Sin embargo, el atacante ahora posee tanto su nombre de usuario como su contraseña.
El aspecto más peligroso de los ataques AiTM ocurre después de una autenticación exitosa. Cuando el sitio web legítimo devuelve una cookie de sesión para confirmar la identidad del usuario, el servidor proxy intercepta esta cookie y entrega una copia al atacante. Las cookies de sesión funcionan como llaves digitales temporales, que permiten el acceso continuo a una cuenta sin necesidad de repetir la autenticación. Incluso si el usuario tiene MFA habilitada, la cookie de una sesión de comunicación robada evade esta protección por completo.
Con una cookie de una sesión de comunicación válida, los atacantes pueden acceder a la cuenta de la víctima desde sus propios dispositivos y ubicaciones. A menudo actúan rápido para cambiar las direcciones de correo de recuperación, crear nuevos métodos de autenticación o extraer datos valiosos antes de que el usuario legítimo note alguna actividad sospechosa.
Los ataques AiTM representan un avance importante en las tácticas de los cibercriminales. El phishing tradicionalse basaba en sitios web falsos estáticos que simplemente recolectaban credenciales y mostraban mensajes de error. Los usuarios podían darse cuenta de que habían sido engañados cuando no podían acceder a sus cuentas, pero para entonces ya era demasiado tarde.
Al mismo tiempo, a medida que más usuarios implementaban MFA en sus cuentas, eso detenía en seco a los ataques de phishing menos sofisticados. Los atacantes podían haber recolectado las credenciales de la cuenta, pero se les pediría una segunda forma de autenticación.
Los ataques más modernos, como AiTM, burlan algunas formas de MFA mientras pasan desapercibidos. Los usuarios inician sesión con éxito, completan sus tareas y no se enteran de que sus credenciales fueron comprometidas. Esta experiencia fluida hace que la detección sea mucho más difícil y les da a los atacantes más tiempo para explotar el acceso robado.
Según los informes de inteligencia de amenazas de Microsoft, los ataques AiTM han afectado a más de 10 mil organizaciones en todo el mundo, siendo los sectores de servicios financieros y salud particularmente vulnerables debido a la naturaleza sensible de sus datos.
Muchos ataques AiTM comienzan apuntando a las cuentas de Office 365 o Google Workspace de los empleados. Una vez que los atacantes acceden a una cuenta de correo corporativo, pueden monitorear las comunicaciones internas, identificar objetivos valiosos y lanzar estafas de business email compromise (BEC) . Pueden hacerse pasar por ejecutivos para solicitar transferencias bancarias o manipular la información de pago de proveedores.
La banca y los servicios financieros enfrentan riesgos importantes por los ataques AiTM, ya que las cookies de sesión pueden dar acceso inmediato a saldos de cuentas, historiales de transacciones y capacidades de transferencia de dinero. Los atacantes suelen actuar con rapidez para modificar la información de contacto e iniciar transferencias no autorizadas antes de que los titulares de la cuenta noten actividad sospechosa.
Las organizaciones de salud almacenan grandes cantidades de información personal sensible, lo que las convierte en objetivos atractivos para los ataques AiTM. Las cookies de sesión robadas pueden dar acceso a registros de pacientes, información de seguros y otros datos de salud protegidos que pueden venderse en mercados de la dark web.
Aunque estos ataques son sofisticados, hay varias señales de advertencia que pueden ayudar a los usuarios a identificar amenazas potenciales:
Señales de alerta en el correo:
Lenguaje urgente que exige una acción inmediata
Pequeñas variaciones en los dominios del remitente (como "microsft" en lugar de "microsoft")
Saludos genéricos en lugar de mensajes personalizados
Solicitudes de hacer clic en enlaces en lugar de indicar al usuario que escriba las URL directamente
Indicadores del sitio web:
URL que no coinciden exactamente con el dominio oficial
Certificados SSL faltantes o inválidos
Procesos de inicio de sesión inusuales o pasos adicionales que normalmente no se requieren
Páginas que cargan lentamente o muestran inconsistencias de formato
Advertencias después de iniciar sesión:
Confirmaciones inesperadas de cambio de contraseña
Notificaciones de inicio de sesión desde un nuevo dispositivo en ubicaciones desconocidas
Correos o entradas de calendario faltantes
Actividad inusual de la cuenta en los registros de seguridad
Protegerse contra los ataques AiTM requiere un enfoque de múltiples capas que combine controles técnicos con educación y concientización de los usuarios.
Los métodos tradicionales de MFA como los códigos SMS o las apps de autenticación pueden ser evadidos por los ataques AiTM. Las organizaciones deberían considerar implementar métodos de autenticación resistentes a phishing, como:
Llaves de seguridad físicas que usan protocolos WebAuthn
Autenticación basada en certificados vinculada a dispositivos específicos
Autenticación biométrica que no se puede interceptar de forma remota
Políticas de acceso condicional que evalúan la confianza del dispositivo y la consistencia de la ubicación
La security awareness training regular para empleados los ayuda a reconocer y generar un informe sobre posibles ataques AiTM. Los programas efectivos deben incluir:
Ejercicios simulados de phishing que reflejan las técnicas actuales de AiTM
Procedimientos claros para presentar un informe sobre correos o sitios web sospechosos
Actualizaciones periódicas sobre amenazas emergentes y métodos de ataque
Programas de reconocimiento para los empleados que identifican y reportan amenazas con éxito
Las organizaciones pueden implementar varias medidas técnicas para detectar y prevenir los ataques AiTM:
Monitoreo de red: Implementa sistemas que analizan los patrones de tráfico e identifican conexiones a servidores proxy maliciosos conocidos. Los patrones de autenticación inusuales desde ubicaciones geográficas imposibles pueden indicar cuentas comprometidas.
Gestión de sesiones: Implementa tiempos de vida más cortos para las cookies de sesión y exige una reautenticación periódica para operaciones sensibles. Monitorea el uso simultáneo de cookies de sesión desde varias ubicaciones.
Seguridad de DNS: Usa servicios de DNS seguros que puedan bloquear el acceso a dominios recién registrados y a infraestructura maliciosa conocida que se usa comúnmente en los ataques AiTM.
Seguridad del correo electrónico: Implementa filtrado avanzado de correo electrónico que pueda detectar y poner en cuarentena los correos que contienen enlaces a posibles sitios de AiTM, incluso cuando usan acortadores de URL legítimos o servicios de redirección.
Los ataques AiTM representan una realidad preocupante en nuestro mundo digital interconectado: incluso los usuarios más cuidadosos con la seguridad, que siguen las mejores prácticas, pueden ser víctimas de estos esquemas sofisticados. La clave de la protección no está en la perfección, sino en construir múltiples capas de defensa y mantener una vigilancia constante.
Las organizaciones deben ir más allá de las medidas de seguridad tradicionales y adoptar métodos de autenticación resistentes al phishing, además de invertir en una educación integral de los usuarios. Cada usuario debe desconfiar de las solicitudes urgentes de inicio de sesión, verificar cuidadosamente las URL de los sitios web e informar de inmediato cualquier actividad sospechosa.
A medida que los cibercriminales siguen perfeccionando sus tácticas, la comunidad de ciberseguridad debe adaptarse con la misma innovación y determinación. Entender los ataques AiTM es el primer paso para construir defensas más sólidas contra estas amenazas cada vez más comunes.
La toma de control de una cuenta no siempre requiere una contraseña robada o un aviso fallido de MFA. Descarga el Huntress Tragic Quadrant para ver por qué el robo de sesión tipo AiTM está tan cerca de causar daños reales y cómo se compara con otras amenazas basadas en identidad, según este informe.
Los ataques AiTM usan servidores proxy en tiempo real para interceptar la autenticación, lo que permite a los usuarios iniciar sesión con éxito mientras se roban sus credenciales y datos de sesión. El phishing tradicional usa sitios web falsos estáticos que solo recopilan información y muestran mensajes de error.
Los métodos tradicionales de MFA, como los códigos SMS o las aplicaciones de autenticación, no pueden proteger por completo contra los ataques AiTM porque roban las cookies de sesión después de una autenticación exitosa. Sin embargo, los métodos de autenticación resistentes al phishing, como las llaves de seguridad de hardware, pueden ofrecer mejor protección.
Los atacantes suelen actuar en minutos u horas después de obtener las cookies de sesión, ya que estos tokens generalmente tienen una vida útil limitada. Priorizan cambiar la información de recuperación de la cuenta y extraer datos valiosos antes de ser detectados.
Cambia tu contraseña de inmediato, revoca todas las sesiones activas, activa medidas de seguridad adicionales y avisa a tu equipo de seguridad de TI. Supervisa de cerca tus cuentas en busca de cambios o actividades no autorizadas.
Sí, las empresas de servicios financieros, las organizaciones de salud y las empresas de tecnología enfrentan mayores riesgos debido a la naturaleza sensible de sus datos y las posibles ganancias financieras para los atacantes.
Recursos adicionales
Aprende los fundamentos de la seguridad en la nube de AWS (cloud), el modelo de responsabilidad compartida, funciones clave como el cifrado y IAM, además de las mejores prácticas para profesionales de ciberseguridad.
Descubre qué significa la transformación de la ciberseguridad, por qué es esencial para las organizaciones modernas y cómo implementar una estrategia de seguridad integral.
Descubre qué es la seguridad de las aplicaciones y cómo protege las aplicaciones de vulnerabilidades, resguarda los datos y garantiza el acceso seguro de los usuarios.
