An AI Agent Found a Critical OTP Bypass in Production. The Attack Was the Easy Part.
The Hacker News · 14 oct, 13:00
Un agente de pentesting impulsado por IA descubrió de forma autónoma un fallo crítico de autenticación en el sitio web de producción de una aseguradora importante: un bypass de OTP que permitía al atacante elegir dónde se enviaba el código de un solo uso. El desafío real no fue explotar el fallo, sino validarlo en un sitio activo con el contexto web necesario que solo se obtiene tras una década de escaneo de aplicaciones.
El agente de pentesting de Reflectiz identificó que el servidor de login permitía al usuario cambiar el canal y la dirección de entrega del OTP en la misma solicitud. Normalmente el código se enviaba por SMS al teléfono registrado, pero la solicitud HTTP podía especificar canal de email y una dirección arbitraria, sin que el servidor validase que pertenecía a la cuenta del usuario. Esta es una comprobación fundamental en autenticación (OWASP lo cita explícitamente), y el fallo permitía a un atacante con identificadores de cliente acceder a cuentas ajenas.
Lo destacable es que Reflectiz logró no solo descubrir el fallo, sino validarlo en el flujo de login activo. Muchas herramientas de testing automatizado se detienen en la puerta de autenticación; el agente pudo avanzar porque la empresa dispone de contexto web acumulado durante más de una década escaneando miles de sitios en producción: sabe cómo navegar flujos multietapa, recibir códigos de verificación y completar 2FA. El agente utilizó ese contexto y un navegador real para confirmar el bypass.
Puntos clave
- Fallo crítico: servidor no valida que la dirección de OTP pertenezca a la cuenta
- Ataque: cambiar canal (SMS a email) y dirección en la solicitud HTTP
- Agente IA validó el bypass ejecutando el flujo real de login en producción
- El contexto web (10 años de datos) fue más crítico que el algoritmo de explotación
Figuras de la fuente
