- Microsoft advierte sobre una sofisticada campaña que engaña a los usuarios para que actualicen sus claves de acceso mediante llamadas falsas de soporte técnico
- Las víctimas son redirigidas a sitios de «atacante en el medio» que imitan el inicio de sesión de Microsoft para robarles el acceso
- Los atacantes extraen archivos de SharePoint, OneDrive y Exchange; se recomienda el uso de autenticación multifactorial (MFA) resistente al phishing
Las claves de acceso han dejado obsoleto el robo de contraseñas. Para sortear este cambio, los hackers han comenzado a engañar a los usuarios para que se autentiquen en computadoras controladas por los atacantes. Así lo indica un nuevo informe de Microsoft, que señala que actualmente se está llevando a cabo una campaña muy sofisticada, con el objetivo de comprometer las cuentas en la nube de las personas y robar la mayor cantidad posible de archivos confidenciales.
El ataque comienza mucho antes de lo que la víctima percibe. Existe una gran cantidad de planificación previa al ataque y de investigación, en la que los actores maliciosos recopilan toda la información posible sobre su objetivo. Es esencial conocer su lugar de trabajo, su puesto y su número de teléfono personal.
Una vez que todas las piezas están en su lugar, el ataque comienza con una llamada telefónica: a las víctimas se les dice que están hablando con el servicio de soporte técnico de su organización y que deben actualizar su clave de acceso (o autenticación de dos factores, dependiendo de la configuración) de inmediato, para evitar cualquier interrupción en sus operaciones.
SMS de seguimiento
Tras la llamada, las víctimas reciben un mensaje de SMS con un enlace donde pueden actualizar su configuración de seguridad. A simple vista, el sitio web parece la página de inicio de sesión legítima de Microsoft. Sin embargo, en realidad se trata de un sitio web malicioso prediseñado que utiliza técnicas de «adversario en el medio» (AitM) para obtener acceso en nombre del actor o para capturar credenciales.
«El atacante parece invertir mucho en investigación previa al ataque, probablemente recopilando información sobre los empleados y la estructura organizativa a partir de fuentes públicas, como redes sociales y plataformas de perfiles profesionales», señaló Microsoft. «En un número menor de casos, los atacantes aprovechan cuentas ya comprometidas para ampliar su alcance» enviando mensajes similares relacionados con claves de acceso a través de Microsoft Teams.
Al parecer, la campaña está en curso desde al menos mayo de este año, señaló Microsoft, sin detallar el número de víctimas. Su objetivo parece ser la exfiltración de archivos de SharePoint y OneDrive, así como de datos de correo electrónico de Microsoft Exchange Online. Tampoco atribuyó esta campaña a ningún actor malicioso específico, aunque sí mencionó que hay muchos grupos involucrados en campañas de este tipo o similares, entre ellos Cordial Spider, Storm-3121 y otros.
A través de The Hacker News
Sigue a TechRadar en Google Noticias y añádenos como fuente preferida para recibir nuestras noticias, reseñas y opiniones de expertos en tus feeds.
