Un agente de inteligencia artificial detecta un fallo crítico de autenticación en el sitio web de una aseguradora
17 de octubre de 2026 · 2 min de lectura
También publicado en Nederlands, Svenska
Un agente de pruebas de penetración de inteligencia artificial de Reflectiz descubrió un fallo de seguridad de gravedad crítica en el sitio web de producción de una importante aseguradora que cuenta con millones de usuarios.
El problema radicaba en que el proceso de inicio de sesión permitía elegir el destino del código de verificación. El agente solicitó un código de acceso y lo dirigió a una bandeja de entrada de correo electrónico que él mismo controlaba. Una vez que el código llegó y el inicio de sesión se completó, los límites de seguridad del agente detuvieron la prueba.
La vulnerabilidad se encontraba en la solicitud de inicio de sesión, la cual contenía dos campos para decidir la entrega: el canal y la dirección. En condiciones normales, el código se enviaba por mensaje de texto al número de teléfono vinculado a la cuenta. Sin embargo, la solicitud permitía cambiar el canal a correo electrónico, y el servidor enviaba el código a cualquier dirección indicada en la solicitud, sin verificar que dicha dirección perteneciera a la cuenta registrada.
Para llegar a este hallazgo, el agente realizó un reconocimiento analizando el JavaScript del sitio y las llamadas a la interfaz de programación de aplicaciones detrás de las páginas. Tras identificar los valores que controlaban el envío del código, el agente diseñó y ejecutó una prueba dirigida en el flujo de inicio de sesión en vivo para confirmar que el salto de autenticación era posible.
Reflectiz informó sobre el hallazgo a la aseguradora. La empresa aseguradora indicó que había realizado pruebas de penetración en el sitio aproximadamente seis meses antes, y esa evaluación también había encontrado un fallo de inicio de sesión explotable, aunque no está claro cuándo se introdujo la debilidad.
El sistema de Reflectiz utiliza un agente que maneja un navegador real a través de los flujos que sigue un cliente, incluyendo la autenticación de dos factores y los códigos de un solo uso. El proceso combina una investigación abierta con un plan estructurado para probar cada punto final descubierto contra cada categoría de ataque aplicable. Además, un agente validador independiente reproduce cada hallazgo sospechoso con la misma carga útil y contexto antes de que sea reportado.