Ha surgido un nuevo grupo de extorsión denominado Pink (rastreado como CL-CRI-1147), que representa una amenaza grave para las organizaciones empresariales. Este grupo utiliza tácticas de ingeniería social para robar credenciales de almacenamiento en la nube y datos sensibles. Pink lanzó su propio sitio de filtración de datos el 31 de mayo de 2026 y ya ha publicado una lista de sus primeras víctimas.

Un grupo de extorsión recientemente identificado llamado Pink ha surgido como una seria amenaza para las organizaciones empresariales, utilizando tácticas de ingeniería social para robar credenciales de almacenamiento en la nube y datos sensibles.

El grupo, rastreado bajo el código de clúster CL-CRI-1147, lanzó su sitio dedicado a la filtración de datos el 31 de mayo de 2026 y ya ha enumerado a varias víctimas iniciales.

Los equipos de seguridad de diversas industrias están ahora en alerta máxima, ya que las tácticas del grupo están resultando muy efectivas incluso contra organizaciones bien defendidas.

Pink opera con una estrategia clara y calculada. En lugar de desplegar malware tradicional, el grupo confía en el phishing de voz, también conocido como vishing, para obtener el acceso inicial a las redes corporativas.

Los atacantes se hacen pasar por personal interno de TI por teléfono, engañando a los empleados para que visiten páginas de phishing controladas por los atacantes donde, sin saberlo, entregan sus credenciales de inicio de sesión y códigos de autenticación multifactor. Este enfoque hace que Pink sea particularmente peligroso porque explota la confianza humana en lugar de vulnerabilidades técnicas.

Analistas de Unit 42 identificaron y revelaron al grupo en un informe y señalaron que Pink parece estar afiliado a la red más amplia de Com, una comunidad abierta de cibercriminales conocida por sus agresivas campañas de ingeniería social.

El grupo también comparte similitudes tácticas con otros actores de amenazas conocidos como Lapsus$, Scattered Spider y ShinyHunters, lo que sugiere un manual de estrategias compartido entre estas comunidades.

Una vez que Pink obtiene acceso a la cuenta de un empleado, los atacantes se mueven rápido. Utilizan las propias herramientas de automatización integradas de Microsoft para recorrer los entornos de almacenamiento en la nube, drenando archivos de carpetas de OneDrive y SharePoint en cuestión de minutos.

Con los datos robados en mano, el grupo utiliza las cuentas comprometidas para enviar mensajes internos de Microsoft Teams y correos electrónicos exigiendo un pago, dando a los ejecutivos una ventana estrecha de 72 horas para responder.

Esta táctica de mensajería interna hace que la extorsión se sienta más urgente y legítima para las víctimas.

El grupo también muestra signos de ser un posible cambio de marca de una operación anterior. Analistas del Grupo de Inteligencia de Amenazas de Google han evaluado que, después de que la marca BlackFile se retirara en mayo de 2026, el grupo pudo haber operado brevemente como Redact antes de resurgir como Pink.

Este patrón de cambio de marca es común entre los equipos de extorsión sofisticados que buscan evadir el rastreo.

Nuevo grupo de hacking Pink atacando a usuarios empresariales

La efectividad de Pink radica en cómo evita activar las herramientas de seguridad estándar. Dado que el grupo utiliza cuentas legítimas de empleados y las propias herramientas internas de Microsoft para mover datos, la mayoría de los firewalls y sistemas de detección de endpoints simplemente no marcan la actividad como sospechosa.

Los atacantes dirigen a las víctimas a dominios de phishing como passkeydeploy.com y deploypasskey.com, donde se capturan las cookies de sesión, permitiendo al grupo evadir completamente el MFA sin necesidad de pedir la contraseña de la víctima nuevamente.

Además del robo de credenciales, Pink también utiliza técnicas sin archivos (fileless) para permanecer oculto dentro de los entornos comprometidos. En lugar de depositar archivos grandes en un disco duro, el grupo ejecuta pequeños comandos de código que construyen su carga útil directamente en la memoria temporal del ordenador.

Esto significa que los programas antivirus estándar que escanean carpetas y unidades no detectarán ninguna amenaza. El código también realiza comprobaciones del entorno y, si detecta un sandbox de investigación de seguridad, suprime silenciosamente su propio comportamiento para evitar el análisis.

Protegiendo tu organización contra los ataques de vishing

Los expertos en seguridad instan a las organizaciones a adoptar un enfoque práctico y centrado en las personas para defenderse de grupos como Pink.

Tú y tus empleados deben ser capacitados para verificar de forma independiente cualquier llamada telefónica inesperada de TI antes de seguir instrucciones, especialmente cuando se les pida visitar un enlace o introducir credenciales.

Los equipos de soporte técnico deben contar con procedimientos estrictos de verificación de identidad que no puedan ser eludidos únicamente mediante presión social.

En el aspecto técnico, se aconseja a las organizaciones migrar del MFA estándar de contraseña de un solo uso a métodos de autenticación resistentes al phishing, como las claves físicas FIDO2.

Los equipos de seguridad deben monitorear los entornos de nube en busca de picos inusuales en las descargas de archivos, revisar las concesiones de tokens OAuth y los permisos de API, y bloquear los dominios de phishing conocidos vinculados a la infraestructura de Pink.

El despliegue de herramientas de monitoreo conductual que alerten sobre transferencias de datos grandes y repentinas antes de que salgan de la red también puede marcar una diferencia crítica.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido "desactivados" intencionalmente (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.