Phishing as a Service (PhaaS): los kits de alquiler que se saltan el doble factor

Por Kike Gandia · Co-Fundador y CEO, OSCP · Última actualización:

Phishing as a Service (PhaaS) es el modelo con el que los delincuentes alquilan kits de phishing listos para usar: páginas falsas, infraestructura, paneles de control y soporte, a cambio de una suscripción. Ya no hace falta saber programar para lanzar una campaña capaz de saltarse el doble factor. Esta guía explica cómo funcionan, qué pasó con Tycoon 2FA, el kit que una operación internacional con participación española intentó desmantelar en 2026, y cómo protegerse. Ojo con la confusión de términos: PhaaS no tiene nada que ver con un servicio de simulación de phishing para formar a la plantilla.

Qué es el phishing as a service

Igual que existe el software como servicio, existe el phishing como servicio: un grupo desarrolla y mantiene el kit, y otros delincuentes lo alquilan. El cliente recibe plantillas que imitan las páginas de inicio de sesión de Microsoft 365, Google o bancos, dominios preparados, un panel donde ver las credenciales robadas y, a menudo, técnicas para esquivar los filtros de correo.

El efecto es que campañas que antes requerían a un atacante con conocimientos ahora las puede lanzar cualquiera con dinero. Por eso el volumen de phishing sofisticado no deja de crecer.

Cómo se salta el doble factor: el proxy en medio

Los kits más peligrosos funcionan como un intermediario entre la víctima y la página real. La víctima entra en una página falsa que, por detrás, reenvía en tiempo real cada dato a la página auténtica de Microsoft o Google:

1. La víctima escribe su usuario y contraseña en la página falsa, que los pasa a la real.
2. La página real pide el código del doble factor; la falsa se lo muestra a la víctima y le reenvía lo que escribe.
3. El inicio de sesión se completa y el kit se queda con la sesión ya autenticada.

Con esa sesión, el atacante entra en la cuenta sin necesitar ni la contraseña ni un nuevo código. Microsoft lo describe así para Tycoon 2FA: capturaba credenciales y tokens de sesión, y estaba diseñado para derrotar protecciones como la autenticación multifactor.

Tycoon 2FA: el kit que tumbaron en 2026

En marzo de 2026, Microsoft, Europol y varias empresas de seguridad actuaron contra Tycoon 2FA, uno de los kits de PhaaS más usados. Según el blog oficial de Microsoft:

  • Se tomaron 330 dominios activos, entre paneles de control y páginas de inicio de sesión falsas, con una orden de un tribunal federal de Nueva York.
  • Participaron fuerzas policiales de Letonia, Lituania, Portugal, Polonia, España y Reino Unido.
  • Se le atribuyen unas 96.000 víctimas en todo el mundo desde 2023, más de 55.000 de ellas clientes de Microsoft.
  • A mediados de 2025 suponía en torno al 62% de los intentos de phishing que bloqueaba Microsoft.

Qué pasó después

Tumbar un kit no acaba con el modelo. Según datos de Barracuda publicados por SecurityWeek en abril de 2026, tras la operación otros kits como Mamba 2FA, EvilProxy y Sneaky 2FA ocuparon su lugar, y Tycoon quedó por detrás de Mamba y EvilProxy en las detecciones. El negocio sigue: cambian las marcas, no la técnica.

Cómo defenderse

  • Doble factor resistente al phishing: la CISA señala que la única autenticación resistente al phishing ampliamente disponible es FIDO/WebAuthn (llaves de seguridad y passkeys), porque bloquea el inicio de sesión en una web falsa. Si todavía no es posible, recomienda al menos la coincidencia de números en las aplicaciones de autenticación.
  • Controles de sesión: acceso condicional, sesiones más cortas y revisión de inicios de sesión desde ubicaciones o dispositivos extraños.
  • Revisar la configuración de Microsoft 365: muchos de estos ataques acaban creando reglas de reenvío o aplicaciones con permisos; una auditoría los detecta.
  • Formar a la plantilla: la última barrera es que el empleado mire la dirección de la página antes de escribir la contraseña, y eso se aprende practicando con simulaciones, no con una charla al año.

Qué puedes hacer esta semana

Comprueba qué cuentas usan todavía SMS o llamadas como doble factor y prioriza las de dirección, finanzas y administradores para pasarlas a llaves o passkeys. Revisa en Microsoft 365 las reglas de reenvío y las aplicaciones con consentimiento concedido. Y asegúrate de que toda la plantilla, incluidas las nuevas incorporaciones, recibe campañas de simulación con páginas de inicio de sesión falsas, para que reconozcan el engaño cuando llegue de verdad.

FAQ

¿Phishing as a service es lo mismo que un simulador de phishing?

No. Phishing as a service es un modelo criminal: kits de phishing que se alquilan para atacar. Un simulador de phishing es lo contrario: una herramienta para que la plantilla practique con correos falsos inofensivos y aprenda a reconocerlos.

Si tengo doble factor, ¿estoy protegido?

Frente a estos kits, no del todo. Los códigos por SMS, llamada o aplicación se pueden reenviar a través de la página falsa. La CISA recomienda FIDO/WebAuthn (llaves de seguridad o passkeys), que bloquea el inicio de sesión en una web que no es la legítima.

¿Afecta a empresas que usan Microsoft 365?

Sí. Tycoon 2FA imitaba sobre todo las páginas de inicio de sesión de Microsoft, y más de 55.000 de sus víctimas eran clientes de Microsoft, según la propia compañía.

¿Qué hago si un empleado ha metido su contraseña en una página así?

Cambiar la contraseña no basta: hay que revocar las sesiones abiertas, revisar reglas de reenvío y aplicaciones con permisos en su buzón, y comprobar los inicios de sesión recientes. Lo detallamos en la guía de qué hacer si un empleado cae en un phishing.

Servicio relacionado

simulador de phishing para entrenar a la plantilla

Contenido relacionado

Píldoras de ciberseguridad

El doble factor no te salva del phishing

Fuentes

Entrenar a mi plantilla frente al phishing