Entonces, ¿qué es un ataque de intermediario? También conocido como ataque de adversario en el medio (AiTM), ocurre cuando los cibercriminales se colocan entre tú y tu destino previsto para interceptar datos sensibles. Un ciberataque de intermediario combina el engaño de la ingeniería social con la interceptación técnica en tiempo real, lo que lo hace mucho más peligroso que el phishing tradicional.

Para defenderte de estas amenazas, primero necesitas entender cómo funcionan los ataques man-in-the-middle en la práctica.

Paso 1: La preparación

El atacante crea un mensaje de phishing disfrazado de un servicio legítimo: un restablecimiento de contraseña de Microsoft 365, una solicitud de DocuSign, o quizás un falso mensaje urgente de seguridad de tu propio departamento de TI, pero el enlace no lleva al sitio web real.

Paso 2: La página proxy

Cuando haces clic en el enlace, se abre una página idéntica a la página de inicio de sesión real. Esta es una página proxy controlada por el atacante. Es el "middle" en man-in-the-middle.

Paso 3: La interceptación de credenciales

Ingresas tu nombre de usuario y contraseña. La página proxy envía esas credenciales directamente al servicio legítimo. El servicio real responde con un token de autenticación o te pide que ingreses tu código MFA.

Paso 4: La elusión de MFA

Si el sistema te pide MFA, esa solicitud vendrá de la página proxy del atacante. Entonces ingresas tu código MFA, pensando que es solo una autenticación de rutina. El servidor del atacante captura el código MFA y lo reenvía al servicio legítimo.

Paso 5: Secuestro de sesión

Ya estás autenticado. El proxy te envía la cookie de sesión, completando tu inicio de sesión. Inicias sesión con éxito y todo parece normal. Pero el atacante también capturó esa cookie de sesión, lo que significa que ahora puede acceder a tu cuenta directamente, sin necesitar tu contraseña ni MFA.

Todo el ataque ocurre en segundos, y desde tu perspectiva, parece un inicio de sesión normal. Eso es lo que hace que los ataques MITM sean tan peligrosos.

Lamentablemente, hay demasiados ejemplos de ataques man-in-the-middle para contarlos todos. Aquí hay solo algunos.

En 2024 y 2025, el actor afiliado a un estado Salt Typhoon lanzó ataques MITM contra cuatro gigantes de telecomunicaciones de EE. UU.: AT&T, Verizon, Lumen y T-Mobile. Los atacantes usaron la infraestructura comprometida para intervenir llamadas y rastrear datos de ubicación. El ataque apuntó a comunicaciones empresariales y gubernamentales, una de las campañas de espionaje de telecomunicaciones más grandes jamás vistas en EE. UU. 

Otro ejemplo de 2024 involucró a Tesla. Los investigadores encontraron un ataque MITM basado en phishing donde los usuarios de Tesla fueron engañados para agregar una "llave de teléfono" maliciosa que luego desbloqueaba y arrancaba los autos de forma remota. Los atacantes interceptaron las credenciales de la víctima a través de la aplicación Tesla (v4.30.6 / software 11.1 2024.2.7).

¿Por qué la seguridad tradicional no puede detectar estos ataques?

• Los filtros de correo no los detectan: estos correos se ven legítimos y a menudo usan dominios legítimos, además no tienen archivos adjuntos maliciosos. Las pasarelas de seguridad de correo escanean en busca de malware y URL sospechosas, pero pueden dejar pasar estos. Técnicamente, solo son enlaces a sitios web.

• La MFA tiene límites: Llevamos años escuchando que la MFA es lo mejor desde el pan de molde. Y lo es, pero un ataque AiTM apunta específicamente a esa solicitud de autenticación, capturando los códigos de autenticación a medida que se ingresan.

• Los usuarios no pueden detectar las falsificaciones: las páginas proxy se ven exactamente como una página de inicio de sesión real. Sean expertos en seguridad o no, a los usuarios les puede costar notar la diferencia, y es aún más difícil en un dispositivo móvil, donde inspeccionar la URL es más complicado.

Saber cómo detectar la actividad de un ataque de intermediario es fundamental para proteger a tu organización del robo de credenciales y el secuestro de sesión. Así puedes detectar ataques de intermediario antes de que sea demasiado tarde: 

Implementa detección para endpoints

Implementa Detección y respuesta para endpoints administrada (EDR) para detectar software o scripts maliciosos que interceptan o manipulan los flujos de autenticación.

Implementa detección y respuesta de amenazas a la identidad (ITDR)

Las soluciones de ITDR monitorean patrones de autenticación sospechosos, escenarios de viaje imposible y actividad de sesión anormal en ataques de intermediario. Cuando los atacantes usan cookies de sesión robadas, ITDR identifica el comportamiento anormal y lo detiene.

Implementa una MFA sólida y resistente al phishing

Las llaves de seguridad de hardware y la autenticación sin contraseña son resistentes a AiTM porque verifican el dominio real del sitio web durante la autenticación.

Monitorea la actividad de las sesiones

Vigila las sesiones activas en tu entorno. El token de autenticación de un usuario no debería, de repente, generar solicitudes desde direcciones IP o ubicaciones diferentes.

Capacita a los usuarios en la verificación de URL

Enséñales a los usuarios a verificar que están ingresando credenciales en sitios legítimos revisando que la URL tenga "HTTPS" y confirmando el dominio exacto. Ante la duda, deben navegar directamente a los sitios en lugar de hacer clic en enlaces de correos electrónicos.

Los ataques de phishing tradicionales buscan robar tus credenciales y eludir la MFA en el proceso. Por eso Huntress creó soluciones para detectar lo que las defensas tradicionales pasan por alto. Huntress ITDR detecta comportamiento de autenticación anómalo e intentos de secuestro de sesión en tiempo real, y Managed EDR monitorea los endpoints en busca de intentos de manipulación. Juntos, no solo bloquean el ataque inicial. Detectan tokens de sesión robados y detienen a los atacantes antes de que avancen por tu red.