Evilginx, un marco de código abierto creado por el investigador Kuba Gretzky para auditorías de seguridad, es una de las herramientas asociadas al phishing de adversario en el medio (AitM, por sus siglas en inglés): el atacante se sitúa entre la víctima y el servicio legítimo, deja que el inicio de sesión se complete con contraseña y segundo factor y se queda con la cookie de sesión, que le permite entrar sin pasar de nuevo por la autenticación multifactor (MFA).
Las claves del phishing con Evilginx en 30 segundos
- Evilginx actúa como proxy inverso entre la víctima y la web real y captura credenciales y cookies de sesión.
- Los códigos por SMS, las aplicaciones OTP y las notificaciones push no lo frenan, porque la víctima los introduce en la página intermedia.
- Kits comerciales como Tycoon 2FA llevaron la técnica a escala hasta su desmantelamiento en marzo de 2026.
- Las llaves FIDO2 y las passkeys, ligadas al dominio, son la defensa que recomiendan CISA y Microsoft.
El proyecto, publicado en GitHub con licencia BSD-3 y escrito en Go, se presenta como un marco de ataque intermedio para capturar credenciales y cookies de sesión. Su autor advierte que solo debe emplearse en pruebas de intrusión legítimas con permiso por escrito. El problema es que el mismo código público ha aparecido en campañas reales: Microsoft lo identificó en 2022 en una campaña que intentó atacar a más de 10.000 organizaciones desde septiembre de 2021.
Por qué el SMS, el OTP y el push no detienen el ataque
El phishing clásico usa una copia estática de la página de acceso y solo recoge la contraseña, que no basta si la cuenta tiene segundo factor. Un proxy AitM funciona de otra forma: no imita la web, sino que la retransmite. La víctima ve la página auténtica del servicio, pero servida desde un dominio del atacante, y todo lo que escribe o recibe pasa por ese intermediario.
Cuando el servicio pide el código o la aprobación en el móvil, el usuario responde y el inicio de sesión se completa de verdad. El servidor emite entonces la cookie de sesión y el proxy la copia. Según explicó Microsoft en su análisis de 2022, el atacante solo necesita importar esa cookie en su navegador para saltarse la autenticación, aunque la víctima tuviera la MFA activada. La única diferencia visible para el usuario suele estar en la barra de direcciones.
La guía de CISA, la agencia de ciberseguridad de Estados Unidos, sobre MFA resistente al phishing lo resume así: los códigos de un solo uso, los SMS, las llamadas y las notificaciones push, incluso las que piden escribir un número, se pueden capturar en una página falsa. La agencia reserva el término resistente al phishing para FIDO/WebAuthn y la autenticación con certificados.
De herramienta de auditoría a phishing como servicio
La técnica no se ha quedado en Evilginx. Microsoft citaba en 2022 otros kits como Modlishka o Muraena, y después han surgido plataformas de phishing como servicio (PhaaS) que alquilan la infraestructura AitM lista para usar. Entre ellas figuran EvilProxy y Tycoon 2FA, desmantelada en marzo de 2026 en una operación coordinada por Europol.
Según Microsoft, Tycoon 2FA surgió en agosto de 2023 y se anunciaba desde 120 dólares por diez días de acceso al panel y 350 dólares por un mes. La compañía le atribuye decenas de millones de correos al mes que llegaban a más de 500.000 organizaciones, y calcula que a mediados de 2025 estaba detrás de alrededor del 62 % de los intentos de phishing que la compañía bloqueaba. También estima unas 96.000 víctimas desde 2023. Son datos de la propia empresa, que participó en la acción contra la plataforma, en la que se incautaron 330 dominios con actuaciones en España, Portugal, Reino Unido, Polonia, Letonia y Lituania.
Llaves FIDO2, passkeys y control de la sesión
La defensa más sólida está en el propio protocolo de autenticación. Las llaves FIDO2 y las passkeys firman cada inicio de sesión con una credencial vinculada al dominio en el que se registraron. Si el navegador está en un dominio distinto, el autenticador no responde y el proxy no tiene nada que retransmitir. Microsoft las recomienda, junto a Windows Hello for Business o los certificados, al menos para cuentas con privilegios. La propia compañía ha anunciado que dejará de ofrecer de forma nativa el SMS y las llamadas como MFA en Entra ID en 2027. Conviene retirar los métodos débiles que queden como alternativa.
El segundo frente es limitar lo que vale una cookie robada. Las políticas de acceso condicional que exigen dispositivos gestionados y conformes, o ubicaciones de confianza, hacen que el token se evalúe en cada uso. Microsoft ofrece también la protección de tokens, que vincula criptográficamente el token de sesión al dispositivo en el que se emitió, aunque hoy cubre sobre todo aplicaciones nativas como Exchange Online, SharePoint o Teams y en navegador sigue en fase preliminar. Acortar la duración de las sesiones reduce, además, la ventana útil de una cookie interceptada.
En detección, Microsoft aconseja vigilar inicios de sesión desde ubicaciones o dispositivos que no encajan con el historial del usuario, los viajes imposibles, las anomalías en los tokens, las reglas de reenvío o de borrado recién creadas en el buzón y el alta de nuevos métodos de MFA. La formación ayuda a que los usuarios comprueben el dominio, aunque ante un proxy que muestra la web auténtica no basta por sí sola.
Preguntas frecuentes
¿Qué es Evilginx?
Es un marco de código abierto de Kuba Gretzky que se interpone entre el usuario y una web legítima para capturar credenciales y cookies de sesión. Está pensado para pruebas de intrusión autorizadas, pero se ha usado en campañas reales.
¿Puede un ataque AitM saltarse la verificación en dos pasos?
Sí, cuando el segundo factor es un código por SMS, una aplicación OTP o una notificación push. La víctima completa el inicio de sesión a través del proxy y el atacante reutiliza la cookie de sesión resultante.
¿Las passkeys protegen frente a Evilginx?
Las passkeys y las llaves FIDO2 están ligadas al dominio legítimo, así que no responden en un dominio intermedio. CISA considera FIDO/WebAuthn el único método resistente al phishing ampliamente disponible, siempre que no queden activos métodos alternativos más débiles.
¿Qué hacer si se sospecha que han robado una sesión?
Microsoft recomienda revocar las sesiones y los tokens activos, restablecer la contraseña y revisar reglas de correo, reenvíos, métodos de MFA y dispositivos añadidos por el intruso.
Fuentes:
- Evilginx 2, repositorio oficial de Kuba Gretzky en GitHub
- Microsoft Security: From cookie theft to BEC (12/07/2022)
- Microsoft Security: Token tactics, cómo prevenir y detectar el robo de tokens (16/11/2022)
- Microsoft Security: Inside Tycoon2FA (04/03/2026)
- Microsoft On the Issues: How a global coalition disrupted Tycoon (04/03/2026)
- Microsoft Learn: protección de tokens en acceso condicional
- CISA: Implementing Phishing-Resistant MFA (octubre de 2022)
