Los equipos de seguridad empresariales enfrentan un nuevo desafío sofisticado, ya que los ciberdelincuentes están explotando cada vez más plataformas en la nube de confianza para lanzar ataques de phishing. En lugar de depender de dominios recién registrados y sospechosos, los actores de amenazas ahora alojan su infraestructura maliciosa en servicios legítimos como Microsoft Azure Blob Storage, Google Firebase y AWS CloudFront. 

Los equipos de seguridad empresarial se enfrentan a un nuevo y sofisticado desafío, ya que los ciberdelincuentes explotan cada vez más plataformas en la nube de confianza para lanzar ataques de phishing.

En lugar de depender de dominios recién registrados y sospechosos, los actores de amenazas ahora alojan su infraestructura maliciosa en servicios legítimos como Microsoft Azure Blob Storage, Google Firebase y AWS CloudFront.

Este cambio estratégico permite a los atacantes esconderse tras la reputación de gigantes tecnológicos de confianza, lo que dificulta significativamente la detección para las herramientas de seguridad tradicionales.

Estas campañas apuntan específicamente a usuarios corporativos en lugar de cuentas de correo personales, representando un esfuerzo calculado para comprometer sistemas empresariales y robar credenciales sensibles.

Los ataques suelen comenzar con correos de phishing convincentes que contienen enlaces o códigos QR que redirigen a las víctimas a través de múltiples capas de técnicas de evasión.

Muchas campañas incorporan desafíos CAPTCHA y cadenas de redirección complejas diseñadas para eludir escáneres de seguridad automatizados y sistemas de análisis estático.

Analistas de Any.Run identificaron esta creciente tendencia mientras monitoreaban la infraestructura de kits de phishing en centros de operaciones de seguridad globales.

Su investigación reveló que las campañas más peligrosas emplean kits de phishing Adversary-in-the-Middle (AiTM), que posicionan a los atacantes como proxies invisibles entre las víctimas y los servicios de autenticación legítimos.

Esta técnica permite a los criminales interceptar credenciales y tokens de sesión en tiempo real, incluso cuando las víctimas utilizan protección de autenticación multifactor.

Los tres kits de phishing más prevalentes que impulsan estos ataques dirigidos a empresas son Tycoon2FA, Sneaky2FA y EvilProxy.

Estas sofisticadas herramientas se distribuyen como plataformas de Phishing-as-a-Service, haciendo que capacidades de ataque avanzadas sean accesibles para criminales con menos conocimientos técnicos.

Los investigadores de seguridad descubrieron que las campañas de Tycoon2FA por sí solas han generado más de 64,000 incidentes reportados, con organizaciones en EE.UU. y Europa enfrentando estos ataques múltiples veces al día.

Desafíos de detección e implicaciones de seguridad

Los indicadores de seguridad tradicionales se han vuelto poco fiables contra estas amenazas alojadas en la nube.

Cuando las páginas de phishing residen en infraestructuras legítimas de Microsoft o Google, los métodos de detección convencionales fallan porque los dominios de alojamiento son inherentemente confiables.

Las direcciones IP, las huellas TLS y los certificados SSL ya no proporcionan indicadores significativos de actividad maliciosa, ya que todos pertenecen a proveedores legítimos de servicios en la nube.

La infraestructura de Cloudflare presenta desafíos particulares para los equipos de seguridad. El servicio CDN oculta el servidor de origen real detrás de sus propias direcciones IP, haciendo casi imposible identificar o bloquear la infraestructura maliciosa subyacente.

Si los defensores logran eliminar un dominio malicioso, los atacantes simplemente registran otro y lo ocultan detrás de Cloudflare en cuestión de minutos, manteniendo la continuidad operativa sin necesidad de reconstruir su infraestructura.

Las organizaciones deberían implementar monitoreo continuo de inteligencia de amenazas combinado con capacidades de análisis de comportamiento para detectar estas avanzadas campañas de phishing.

Las soluciones de sandboxing interactivo permiten a los analistas de seguridad navegar de manera segura a través de las cadenas de ataque y observar el comportamiento malicioso en entornos aislados, revelando las páginas finales de robo de credenciales que las herramientas de seguridad estáticas pasan por alto por completo.