La herramienta maliciosa iAuthFlow v2 se vende en foros rusos de la web oscura por más de 10.000 dólares y permite a un atacante mantener el acceso a cuentas de Google, Microsoft, iCloud o LinkedIn incluso después de que la víctima cambie la contraseña. Según un informe de la firma de ciberseguridad Abnormal, recogido por TechCrunch, el malware opera mediante phishing: engaña al usuario para que introduzca sus credenciales en una página falsa aparentemente legítima y, de forma simultánea, captura la sesión autenticada.
Una vez dentro, la herramienta intenta registrar en secreto una nueva passkey controlada por el atacante. Las passkeys son una alternativa a las contraseñas basada en criptografía y datos biométricos, considerada altamente resistente al phishing, precisamente porque la clave privada nunca abandona el dispositivo. El riesgo aparece cuando el atacante logra inscribir una passkey propia en la cuenta de la víctima. En la prueba de Abnormal, la nueva passkey se generó solo seis segundos después de completar la autenticación.
Google y otros servicios pueden detectar cambios sospechosos y solicitar verificación de identidad adicional, por lo que el ataque no siempre prospera. Aun así, los expertos recomiendan revisar las passkeys registradas, los métodos de recuperación y los permisos de la cuenta, comprobar los filtros y reenvíos de correo, auditar los registros de actividad y la verificación en dos pasos, y eliminar cualquier método de autenticación no reconocido.