iAuthFlow v2 reingresa a tu correo aunque cambies la clave
Un kit de phishing vendido en foros rusos por más de US$10.000 le permite a un atacante registrar una llave de acceso propia y volver a entrar a Gmail, Outlook o iCloud aunque la víctima cambie la contraseña.
Un kit de phishing llamado iAuthFlow v2 le permite a un atacante seguir adentro de una cuenta de Gmail, Outlook o iCloud aun cuando la víctima ya cambió la clave y cerró cada sesión que había quedado abierta. Según un análisis de la firma de ciberseguridad Abnormal Security publicado el 21 de agosto de 2026, el kit se vende en foros clandestinos rusos por más de US$10.000 y también apunta a cuentas de LinkedIn.
El engaño arranca como cualquier otro phishing: la víctima recibe un enlace que abre una copia idéntica de la pantalla de inicio de sesión real. Apenas escribe su usuario y contraseña, esos datos viajan al instante hacia el atacante, que los usa para entrar a la cuenta desde un navegador propio, corriendo en un servidor bajo su control. En el mismo momento, el kit toma una huella digital del dispositivo de la víctima, datos técnicos del equipo que sirven para identificarlo más adelante.
El truco que sobrevive al cambio de clave
Lo que distingue a iAuthFlow v2 de un robo de credenciales común pasa por lo que hace después de entrar. En los segundos siguientes al primer inicio de sesión, el kit da de alta un passkey (una clave de acceso pensada para reemplazar a la contraseña, que queda guardada como credencial criptográfica en un dispositivo y se activa con huella dactilar, reconocimiento facial o el PIN del equipo) y lo asocia a la cuenta robada. La víctima no recibe ninguna alerta de que acaba de autorizar una llave que en realidad controla otra persona.
El boletín de Onda Corta
Ahí está el problema para la reacción típica ante una cuenta hackeada. Cambiar la clave y desconectar sesiones sirve cuando el atacante solo tiene cookies de sesión robadas, pero no toca al passkey, porque queda registrado como un método de acceso aparte, tan válido para el sistema como cualquiera creado por el propio dueño de la cuenta. Cuando el atacante quiere volver a entrar, elige la opción "probar otra forma de acceder" y usa directamente esa llave falsa, sin necesitar la contraseña nueva.
El reporte de Abnormal Security lo describe así: "el proceso no afecta la nueva passkey, que es una credencial registrada en la cuenta y controlada por el atacante".
Un freno posible, si la víctima no cae del todo
El registro del passkey no siempre sale gratis para el atacante. Plataformas como Google pueden pedir una verificación de identidad adicional antes de aceptar una clave de acceso nueva, así que el ataque solo prospera de punta a punta si la víctima sigue cada paso del engaño sin sospechar. Abnormal Security armó su análisis a partir del propio material promocional que los vendedores del kit publicaron en foros clandestinos y de videos demostrativos, y lo clasifica como una herramienta de "phishing como servicio", vendida a grupos que operan en la dark web.
La recomendación para quien sospecha que su cuenta estuvo comprometida no se agota en cambiar la contraseña: incluye revisar si aparece algún passkey o clave de seguridad que no reconoce, chequear reglas de reenvío automático de correo, controlar cambios en los datos de recuperación y en los accesos delegados, y revocar tokens OAuth y aplicaciones conectadas que no haya autorizado. También conviene repasar el historial de inicios de sesión, verificaciones en dos pasos y accesos por passkey, y eliminar de inmediato cualquier método de autenticación que no haya dado de alta uno mismo.
El boletín de Onda Corta