Una importante operación de robo de identidad está atacando ahora a más de 100 organizaciones de alto valor en múltiples industrias. La amenaza proviene de SLSH, una peligrosa alianza que combina las tácticas de Scattered Spider, LAPSUS$ y ShinyHunters. A diferencia de los ataques automatizados típicos, esta campaña utiliza personas reales que llaman a tus empleados mientras ejecutan simultáneamente páginas de inicio de sesión falsas que parecen idénticas a las de tu empresa 

Una importante operación de robo de identidad está ahora atacando a más de 100 organizaciones de alto valor en múltiples industrias.

La amenaza proviene de SLSH, una peligrosa alianza que combina las tácticas de Scattered Spider, LAPSUS$ y ShinyHunters.

A diferencia de los ataques automatizados típicos, esta campaña utiliza personas reales llamando a tus empleados mientras ejecutan páginas de inicio de sesión falsas que se ven exactamente como el sistema de tu empresa.

Los atacantes buscan robar credenciales y tokens de seguridad de Okta y otros servicios de inicio de sesión único, que actúan como llaves maestras para acceder a todas las aplicaciones dentro de una organización.

La campaña utiliza principalmente una herramienta llamada «panel de phishing en vivo». Esta infraestructura permite a los atacantes interceptar información de inicio de sesión y códigos de seguridad en tiempo real, incluso eludiendo las protecciones de autenticación multifactor.

Entre los principales objetivos se encuentran Canva, Atlassian, Epic Games, HubSpot y docenas de instituciones financieras, proveedores de salud y empresas de bienes raíces.

Analistas de Silentpush identificaron el aumento en el despliegue de infraestructura maliciosa y reconocieron los patrones de ataque que coinciden con las operaciones conocidas de SLSH dentro del ecosistema «The Com».

Los analistas de Silentpush señalaron que esto no era un ataque de escaneo aleatorio, sino un ataque cuidadosamente planificado dirigido a empresas con activos digitales sustanciales.

Los actores de la amenaza utilizan phishing por voz, o «vishing», donde llaman a los servicios de ayuda y empleados de las empresas haciéndose pasar por personal de TI y solicitando restablecimientos de contraseña o acceso al sistema.

Mientras realizan estas llamadas, manipulan una página de inicio de sesión falsa que coincide exactamente con lo que aparece en la pantalla de la víctima, creando un escenario convincente de ingeniería social.

Cómo funciona el panel de phishing en vivo

El mecanismo de infección se basa en la orquestación dirigida por humanos en lugar de la implementación automatizada de malware.

Una vez que los atacantes obtienen acceso inicial a través de vishing y robo de credenciales, utilizan la sesión de inicio de sesión único robada como base para una intrusión más profunda.

Esta única sesión comprometida se convierte en lo que los atacantes llaman una «llave maestra», dándoles acceso potencial a todas las aplicaciones conectadas dentro de la organización objetivo.

Luego, los atacantes se mueven lateralmente hacia sistemas de comunicación internos como Slack o Teams, donde se hacen pasar por empleados legítimos para engañar a los administradores y obtener mayores privilegios.

Siguiendo el manual de LAPSUS$, la campaña avanza hacia el robo de datos y la extorsión. Los atacantes descargan rápidamente información sensible y luego exigen un rescate, amenazando con publicar los datos robados públicamente.

En algunos casos, cifran los sistemas empresariales para aumentar la presión y forzar el pago.

Las organizaciones en la lista de objetivos críticos detectada por Silentpush deben tratar esta amenaza como una emergencia, alertar a todos los empleados sobre los intentos de vishing en curso y auditar inmediatamente sus registros de inicio de sesión único en busca de inscripciones de dispositivos sospechosas o ubicaciones de inicio de sesión desconocidas.