Noticias
NovaCookies: el mail de Docusign es auténtico, lo falso está adentro — y el kit que te roba la sesión de Microsoft 365 se alquila a US$ 320 por mes
La firma de seguridad Island publicó hoy el desarme completo de NovaCookies, un servicio de phishing que se alquila por US$ 320 al mes con un objetivo central: quedarse con tu sesión abierta de Microsoft 365. Lo llamativo no es el precio ni la técnica, sino por dónde entra: la cadena de entrega más sólida que documentaron arranca con una notificación auténtica de Docusign. El mail es real, el sobre es real, el visor es el de Docusign. Lo falso es el documento que hay adentro.
El informe lo firma Shachar Gritzman, investigador senior de seguridad, en el blog de investigación de Island, y The Hacker News lo recibió antes de publicarse. Aviso de contexto, porque corresponde: Island vende un navegador empresarial y el informe cierra recomendando el suyo. El material técnico, igual, viene con los indicadores publicados.
Lo que vas a encontrar acá
- Qué es NovaCookies y por qué el informe lo trata como un producto
- El sobre de Docusign era genuino; el documento de adentro, no
- Cuando el desvío lo firma el propio Microsoft
- Billetera, pedidos y soporte: el phishing vendido como suscripción
- 755 dominios publicados, la ola .vu y las marcas mutiladas
- El kit no te filtra: te puntúa
- ¿Y esto qué significa para vos?
- Preguntas frecuentes
Qué es NovaCookies y por qué el informe lo trata como un producto
NovaCookies es lo que en la jerga se llama un ataque adversary-in-the-middle (AiTM): una máquina parada entre vos y Microsoft, que te muestra una pantalla de inicio de sesión idéntica a la verdadera y pasa en tiempo real todo lo que escribís —contraseña, código, aprobación del push— al Microsoft real. Cuando Microsoft emite la sesión, el que se la queda es el intermediario.
Esa mecánica ya la contamos cuando apareció Forg365, el kit que roba la cuenta con el doble factor puesto, así que no la repetimos. Lo nuevo acá es otra cosa: Island no describe una campaña, describe un negocio. Hay lista de precios, panel de operador, soporte y —según el material que mostró la cuenta vendedora— perfiles de clientes distintos sobre el mismo producto: por eso campañas aparentemente inconexas pueden ser el mismo alquiler.
| Dato | Qué dice el informe |
|---|---|
| Qué es | Servicio comercial de phishing AiTM que retransmite inicios de sesión de Microsoft 365 y captura la sesión autenticada |
| Precio publicado | US$ 320 por mes, o US$ 200 por catorce días, con dominios, hosting y servicios de redirección incluidos |
| Dónde se anuncia | Telegram, donde la cuenta vendedora publicó los precios y capturas del panel de operador |
| Primera aparición | Infraestructura de bajo volumen a fines de 2025; expansión fuerte desde mediados de mayo de 2026 |
| Alcance observado | Cientos de organizaciones: cerca de la mitad en Estados Unidos, más Reino Unido, Canadá, Alemania, Israel y Emiratos Árabes Unidos |
| Indicadores publicados | 755 dominios catalogados como infraestructura maliciosa dedicada |
| Estado | Activo: siguió apareciendo infraestructura confirmada en agosto de 2026 |
| Marca del panel | Un escudo circular que dice «Nova Cookies» con una galletita. Sinceridad rara en el rubro: la cookie es el producto |
Una aclaración que el propio informe repite: los artefactos analizados indican que esas organizaciones fueron apuntadas, no comprometidas. Es un piso conservador, no un censo de víctimas.
El sobre de Docusign era genuino; el documento de adentro, no
Acá está el hallazgo que cambia el consejo de siempre. La cadena de entrega más sólida que observó Island no falsificaba el remitente ni clonaba el mail: usaba Docusign de verdad.
El correo era una notificación genuina de Docusign. Abría un sobre genuino de Docusign en el visor real. Todo en esa capa podía pasar los chequeos normales de autenticación de remitente y de reputación. El documento que había dentro del sobre era falso.Shachar Gritzman, investigador senior de seguridad — vía Island
El documento estaba maquetado como un aviso de documento compartido: decía que el área de contaduría había compartido un comprobante de pago en PDF e invitaba a abrirlo. Y ahí está lo incómodo: el destino malicioso vivía adentro del documento, por debajo de la capa que inspecciona la mayoría de los filtros de correo. El filtro mira el mail —y el mail está bien—.
Island es explícito en un punto, para no sembrar pánico donde no va: «Docusign y Microsoft no fueron comprometidos en esta cadena». Sus servicios se usaron como capa de entrega y redirección: es como si alguien metiera un volante adentro de una carta que sí esperabas.
Cuando el desvío lo firma el propio Microsoft
El segundo salto es igual de elegante. En vez de mandarte directo al dominio del atacante, la cadena aprovecha una técnica de abuso de redirección de OAuth que Microsoft documentó en marzo de 2026, cuando la detectó en campañas contra organismos de gobierno y del sector público.
Funciona así: el atacante registra una aplicación en un inquilino propio, apunta la URI de redirección a su infraestructura y arma una URL de autorización genuina de Microsoft diseñada para que la autenticación silenciosa falle. Entra ID —el servicio de identidad de Microsoft— hace entonces lo que corresponde: manda el navegador desde su propio dominio al salto preregistrado. No se emite ningún token ni aparece pantalla de consentimiento. Para el usuario, el viaje arrancó en login.microsoftonline.com.
No es un open redirect clásico —el destino tiene que estar registrado de antemano—, y ahí Island ve una oportunidad defensiva: los identificadores de aplicación le dan al proveedor de identidad un punto de corte cuando alguien reporta un registro malicioso. Una minoría de cadenas usó el endpoint de Google.
| Salto | Qué ve la víctima | Qué es en realidad | Por qué el control no lo frena |
|---|---|---|---|
| 1. El correo | Una notificación de Docusign | Una notificación de Docusign, auténtica | Pasa autenticación de remitente y reputación: no hay nada que marcar |
| 2. El documento | Un aviso de comprobante de pago compartido | Un documento falso con el enlace malicioso adentro | Está por debajo de la capa que inspecciona la mayoría de los filtros de correo |
| 3. El rebote | Una URL de login.microsoftonline.com | Una autorización OAuth armada para fallar y redirigir | El dominio de partida es de Microsoft y no hay pantalla de consentimiento |
| 4. El login | La pantalla de Microsoft 365 de siempre | Un relay que pasa cada dato al Microsoft real | La autenticación es verdadera: el código y el push funcionan |
| 5. La sesión | Entraste, todo normal | La cookie de sesión quedó del otro lado | Ya no hace falta tu contraseña ni tu segundo factor |
Como resume el informe, la cadena funciona «porque cada salto parece razonable por separado»: la confianza recién se rompe en el último destino.
Billetera, pedidos y soporte: el phishing vendido como suscripción
La cuenta que anuncia NovaCookies les mandó a los investigadores una imagen efímera por Telegram del que dijo ser el perfil de un cliente: compra de enlaces de cookies, pedidos, billetera, servicios de redirección y soporte. Island lo resume bien — parecía menos un kit de phishing que un negocio por suscripción.
El informe marca el límite de esa evidencia: el material de Telegram registra lo que afirma una cuenta que vende, y no prueba ni la identidad del vendedor ni ninguna compra concretada.
Quien ya venía siguiendo la pista es Proofpoint, que en julio describió a NovaCookies como una variante sospechada del kit Sneaky2FA — un parentesco que el informe de Island no menciona:
A diferencia de Sneaky2FA, NovaCookies usa un modelo de phishing como servicio (PhaaS) totalmente gestionado, donde los afiliados pagan por usar una plataforma y la infraestructura la hospeda de forma centralizada el operador del PhaaS, en vez de cada afiliado.@threatinsight (Proofpoint) — ver hilo en X
En ese mismo hilo aporta el dato más crudo del conjunto: detectó más de 100 tomas de cuenta en la nube en un solo día, dentro de un mismo inquilino, en el sector salud. Y recomienda desplegar una solución específica contra tomas de cuenta.
| Sneaky2FA | NovaCookies (variante sospechada, según Proofpoint) | |
|---|---|---|
| Modelo | Cada afiliado monta su propia infraestructura | PhaaS gestionado: la infraestructura la hospeda el operador |
| Objetivo principal | Sobre todo cuentas de Microsoft | Suma flujos dedicados para Okta y dominios de Entra federados con GoDaddy |
| Actividad e identificación | Ráfagas intermitentes hasta febrero de 2026 | Separada como variante en febrero de 2026; se intensificó de marzo a mayo y bajaba en junio |
⚠️ Dos miradas que no coinciden, y vale decirlo: Proofpoint veía la actividad bajando en junio, mientras que Island reporta que las fechas de primera aparición de infraestructura tocaron su máximo en junio y siguieron sumando en agosto. El propio informe explica la diferencia: mide visibilidad de infraestructura, no volumen de correo. Son dos puntos de observación, no una contradicción.
755 dominios publicados, la ola .vu y las marcas mutiladas
Island publicó junto al informe una lista saneada de 755 dominios catalogados como infraestructura maliciosa dedicada: sin datos de víctimas, sin enlaces personalizados ni identidades de Telegram. Cerca de nueve de cada diez organizaciones observadas aparecieron asociadas a señuelos alojados en dominios .vu — que Island describe como un rasgo de la operación actual, no como una identidad permanente.
El patrón es de manual: toman una marca reconocible y la deforman con letras insertadas, para que el ojo la siga leyendo bien. Cuatro ejemplos:
fordmotbvmorcompany[.]vu— «Ford Motor Company», legible con caracteres metidos en el medio.morganstbftanley[.]vu— dos letras extra parten el nombre reconocible.munichreinsurdjqanceamericainc[.]vu— el nombre largo, distorsionado pero identificable.internationalbusinessmaclsihinesibm[.]vu— el nombre completo y la sigla juntos, con un error adentro.
Dos advertencias del informe que suelen perderse: esos nombres son infraestructura de señuelo, no evidencia de que esas empresas hayan sido comprometidas, y la marca del dominio tampoco identifica a quién iba dirigido — el nombre prestado y la organización apuntada no coincidían de forma confiable.
Las rutas también tienen firma: empiezan con etiquetas de mayúsculas y minúsculas alternadas como PwPt-sHaRe, Ms36-AcCeSs o ClOd-ViEw, que mezclan productos de la nube con acciones de documento.
El kit no te filtra: te puntúa
Lo más sorprendente del desarme técnico es cómo decide a quién le muestra el señuelo. Uno esperaría una lista de chequeos: si sos un escáner, portazo. Al recuperar los paquetes del cliente, Island encontró algo más parecido a un motor antifraude: el kit puntúa al navegador y pesa esa señal contra si detectó comportamiento humano. Le perdona un chequeo fallado si la interacción parece genuina, y se saltea los controles más caros con un visitante que ya parece persona.
La caja de herramientas combina un portal de Cloudflare, prueba de trabajo del lado del cliente, ataduras de contexto de corta vida y medición de tiempos alrededor de una sentencia de depuración — el viejo truco de detectar que tenés las herramientas de desarrollador abiertas. Todo eso es configurable por el comprador: cada despliegue combina controles distintos.
Island aclara además que estos controles lo hacen «resistente a escáneres, no a prueba de escáneres»: escáneres públicos con navegador completo capturaron el señuelo alguna vez.
¿Y esto qué significa para vos?
Si tenés una cuenta de Microsoft, o una PyME de acá con Microsoft 365, hay tres lecturas honestas de este informe.
La primera: el consejo de «mirá bien el remitente» acá no te salva. El remitente era Docusign de verdad. La regla que sí sirve es la que recomienda Island: asumir que la ruta de entrega puede ser confiable hasta el último salto, y desconfiar del enlace que aparece dentro de un documento, aunque el visor y el correo sean legítimos. Un comprobante de pago que no esperabas lo sigue siendo venga por donde venga.
La segunda: el segundo factor de siempre no frena esto, porque no hay nada que romper — la víctima completa una autenticación real, solo que a través de un intermediario. Lo que sí cambia el juego es la autenticación resistente al phishing:
La autenticación resistente al phishing cambia la geometría. Las passkeys, las llaves de seguridad FIDO2 y otras credenciales atadas al origen no se autentican contra el sitio equivocado, así que el relay no puede completar el mismo intercambio.Shachar Gritzman, investigador senior de seguridad — vía Island
Y no es un lujo corporativo: las passkeys ya están gratis en tu cuenta de Microsoft, igual que en las apps donde se fueron activando —WhatsApp acaba de permitir tener una passkey por dispositivo—. Es el cambio de configuración con mejor relación esfuerzo/beneficio de la semana.
La tercera: una capa que corte el clic antes de que cargue la página sigue valiendo. No reemplaza a lo anterior —bloquear el dominio de ayer, dice Island, solo elimina una pieza descartable—, pero un filtro web con anti-phishing cubre el caso más frecuente: el dominio que ya fue reportado. Contra uno recién levantado no llega a tiempo, y por eso es la tercera lectura y no la primera. Si tu PC no tiene una, una licencia de ESET Internet Security cubre esa capa; la estructural sigue siendo la passkey.
Y si sospechás que ya pasó: el protocolo del informe es revocar sesiones, resetear credenciales, revisar los inicios de sesión y —lo que más se olvida— controlar si aparecieron métodos de MFA nuevos, permisos de OAuth, reglas de reenvío o de bandeja de entrada que vos no creaste. Un atacante con la sesión puesta se anota su propia puerta trasera antes de irse.
Preguntas frecuentes sobre el phishing con sobres de Docusign
¿Docusign fue hackeado?
No. El informe de Island lo dice de forma explícita: ni Docusign ni Microsoft fueron comprometidos en esta cadena. El sobre que llegó salió del Docusign real y se abrió en el visor real; el engaño estaba adentro del documento compartido, que es contenido que el remitente controla.
¿Sirve el doble factor si el mail de Docusign es auténtico?
Contra este ataque no alcanza. El SMS, el código de la app y el push se completan de verdad, pero a través de un intermediario que se queda con la sesión. La que sí lo corta es la autenticación resistente al phishing: passkeys o llaves FIDO2, que no se autentican contra un sitio falso.
¿Cómo sé si mi cuenta ya está comprometida?
Revisá los inicios de sesión recientes en tu cuenta y, sobre todo, si aparecieron cosas que vos no creaste: métodos de MFA nuevos, permisos de aplicaciones OAuth, reglas de reenvío de correo o reglas de bandeja de entrada. Si encontrás algo, revocá todas las sesiones activas y cambiá la contraseña antes de tocar nada más.
¿Los 755 dominios publicados alcanzan para estar tranquilo?
No, y el propio informe lo advierte: los indicadores tienen fecha de vencimiento. NovaCookies rota infraestructura constantemente, así que una lista sirve para cortar lo que está vivo hoy, no para cerrar el problema. La recomendación de Island es detectar el producto y sus patrones, no solo el dominio que funcionaba ayer.
🛒 Te puede servir
¿Y vos qué opinás? Dejalo en los comentarios ⬇️
Primero la passkey, después el escudo web →
