Una ola de falsas filtraciones de datos está inundando los foros de la dark web, donde la mayoría del contenido vendido es en realidad material reciclado de brechas antiguas. Actores de amenazas de ecosistemas cibercriminales chinos están empaquetando estos datos obsoletos y comercializándolos como inteligencia corporativa reciente para engañar a las organizaciones.

Una ola de falsas afirmaciones sobre filtraciones de datos está inundando los foros de la dark web, y la mayor parte de lo que se vende resulta ser material reciclado de brechas antiguas.

Actores de amenazas que operan en ecosistemas de ciberdelincuencia de lengua china están empaquetando estos datos obsoletos y marketing them as fresh corporate intelligence (promocionándolos como inteligencia corporativa reciente), engañando a las organizaciones para que pierdan tiempo y dinero en incidentes que en realidad nunca sucedieron.

Los equipos de seguridad de todo el mundo se han puesto en alerta máxima mientras el volumen de estas afirmaciones fraudulentas sigue aumentando.

Los anuncios aparecen en foros de la dark web y canales de Telegram, a menudo anunciando millones de registros vinculados a bancos, firmas de inversión y otras corporaciones en múltiples regiones.

La velocidad y escala de estas publicaciones hacen que sea casi imposible para los equipos de seguridad, que carecen de personal suficiente, separar las amenazas reales del ruido.

Analistas de Group-IB identificaron esta tendencia creciente y rastrearon cinco fuentes principales de datos que operan exclusivamente en entornos de lengua china en foros de la dark web y Telegram.

Su investigación descubrió que la mayoría de los conjuntos de datos anunciados fueron compilados a partir de brechas anteriores, contenían datos generados y no mostraban signos de un compromiso corporativo nuevo o activo.

Group-IB señaló en un informe compartido con Cyber Security News (CSN) que estas fuentes publican rutinariamente entre 600 y 1.000 mensajes por mes, un volumen que sería extraordinario si las afirmaciones de brechas fueran genuinas.

La táctica funciona precisamente porque los datos no son totalmente falsos. Los brokers extraen información de identificación personal legítima de filtraciones pasadas muy conocidas, como la brecha de Facebook de 2021 y el incidente de Eatigo de 2020, y luego las combinan con datos generados o inconsistentes para inflar el recuento de registros afirmado.

Esto otorga a los anuncios la credibilidad suficiente para causar pánico, aunque el resto del conjunto de datos no se sostenga bajo un escrutinio detallado.

Lo que hace que esto sea especialmente peligroso es el tiempo que le cuesta a los defensores. Los equipos de seguridad que persiguen estas falsas alarmas son apartados de incidentes reales, dando a los actores de amenazas más espacio para operar sin ser detectados.

Estafa de Filtraciones en la Dark Web

La combinación de mensajería rápida, alto volumen y afirmaciones de baja calidad crea una niebla que beneficia directamente a quienes están detrás de esto.

Los investigadores rastrearon a cinco brokers prominentes en espacios de la dark web de lengua china, incluyendo plataformas conocidas como Exchange Market (también llamado Deepmix), Chang’An Sleepless Night, Aiqianjin, Yiqun Data y Phoenix Overseas Resources.

Cada broker utiliza canales de Telegram o mercados de la dark web para distribuir sus supuestos paquetes de datos. Aiqianjin alcanzó por sí solo casi 5.000 suscriptores en Telegram antes de cesar sus operaciones en julio de 2024, ilustrando lo mucho que estos canales pueden propagar la desinformación.

Los analistas de Group-IB validaron muestras de datos de múltiples anuncios y encontraron el mismo patrón en cada ocasión. Los nombres y números de teléfono se remontaban al conjunto de datos de Facebook de 2021. Los hashes de contraseñas apuntaban a la brecha de Eatigo de 2020.

Las direcciones de correo electrónico coincidían con registros de la filtración de Truecaller de 2022. En todos los casos, los brokers habían unido fragmentos de incidentes anteriores y los habían etiquetado como datos corporativos recién robados.

Las inconsistencias se volvieron obvias una vez cruzadas las referencias, con campos que mostraban valores en idiomas mezclados, traducciones atípicas y nombres de campos que ninguna base de datos legítima usaría jamás.

Protegiendo a las Organizaciones de las Trampas de Datos

Group-IB recomienda un enfoque analítico estructurado cuando las organizaciones se encuentren con este tipo de afirmaciones.

El primer paso es verificar que los campos anunciados coincidan con la estructura de los registros internos de tu propia organización.

Si un conjunto de datos afirma contener datos de clientes, los nombres de los campos, los tipos de datos y el recuento de registros deben alinearse con lo que la empresa realmente almacena. Las discrepancias son una señal clara de que los datos fueron extraídos de otro lugar completamente distinto.

También debes comprobar si los identificadores en los datos de muestra, como las direcciones de correo electrónico o los números de teléfono, pertenecen realmente a tu base de clientes o empleados.

Uno o dos identificadores que parezcan reales no son suficientes para validar una afirmación, especialmente cuando otros campos en el mismo registro son inconsistentes.

Se insta a los equipos de seguridad a utilizar plataformas de inteligencia de amenazas para realizar referencias cruzadas actualizadas de brechas antes de escalar un incidente potencial.

Un enfoque tranquilo y basado en la evidencia, en lugar de reaccionar a la urgencia, es la defensa más efectiva contra los brokers de datos que dependen de la confusión para tener éxito.

Nota: Las direcciones IP y los dominios han sido desinfectados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/dark-web-brokers-repackage-old-breaches/