El phishing de voz ya no se limita a una llamada telefónica convincente y una página de inicio de sesión falsa. Una plataforma criminal recientemente examinada llamada Work Panel integra la investigación de objetivos, la gestión de llamadas, la creación de sitios de phishing y el manejo de credenciales robadas en una sola operación basada en la web.

El resultado es una ruta más rápida desde una llamada de suplantación de un servicio de asistencia hasta la toma de control de una cuenta empresarial.

La plataforma se está utilizando en campañas de vishing dirigidas a clientes de múltiples proveedores de identidad.

Permite que los operadores recopilen detalles de los empleados, clonen marcas de inicio de sesión reconocibles, lancen páginas de phishing aisladas y guíen a las víctimas a través de avisos de autenticación mientras un operador los mantiene al teléfono.

Esto refleja las tácticas de presión reportadas en las campañas de suplantación de Microsoft Teams, donde la confianza en los canales de soporte internos se convierte en el punto de entrada.

Okta señaló en un informe que Work Panel es una consola de operador activa vinculada a un clúster de intrusión que rastrean como O-UNC-045, también conocido como CORDIALSPIDER.

Los investigadores la describieron como una aplicación completa para gestionar un negocio de toma de control de cuentas impulsado por vishing, más que un simple kit de phishing básico.

El impacto no está ligado a un solo dominio malicioso o a un único operador. Work Panel está diseñada para varios operadores y roles de personal distintos, lo que permite lanzar campañas rápidamente y reconstruirlas tras una interrupción.

Este modelo ofrece a los criminales un servicio repetible que puede atacar a organizaciones a gran escala, manteniendo separadas a las personas que hacen las llamadas de quienes recolectan el acceso robado.

La plataforma de cibercrimen que convierte llamadas de soporte en tomas de control de cuentas empresariales

Work Panel divide su fuerza laboral en roles de operador de llamadas, gerente y administrador. Los operadores encuentran empleados, recuperan credenciales de telefonía por internet asignadas, envían correos electrónicos de pretexto limitados y hablan con los objetivos.

Los gerentes supervisan las sesiones de las víctimas en vivo y recolectan las contraseñas o códigos de autenticación enviados, mientras que los administradores controlan la infraestructura general, el personal, la configuración y las opciones de apagado.

Antes de una llamada, la plataforma puede consultar datos comerciales de contactos empresariales para obtener nombres de empleados, direcciones de correo electrónico corporativas, números de teléfono directos, cargos laborales y perfiles de LinkedIn.

Esa preparación hace que una llamada de soporte suplantada se sienta personal, ya que el atacante puede conocer previamente el rol del objetivo y su estructura jerárquica.

Una presión de ingeniería social similar aparece en las estafas de soporte mediante bombardeo de correos electrónicos, donde la confusión hace que un contacto de soporte inesperado parezca creíble.

El operador de la llamada no recibe las credenciales capturadas durante el ataque. En su lugar, un gerente monitorea una cola en vivo que muestra qué página de phishing está viendo la víctima y envía el siguiente paso en tiempo real, incluyendo solicitudes de aprobaciones push, coincidencia de números, códigos de autenticador o la finalización de tickets de soporte.

Esta separación protege los datos más valiosos del operador criminal y hace que los que realizan las llamadas sean más fáciles de reclutar y reemplazar. Work Panel también automatiza tareas que anteriormente requerían habilidades técnicas.

Un administrador puede registrar un dominio, configurar el DNS, crear un sitio de phishing independiente, seleccionar una plantilla de inicio de sesión de Okta, Microsoft 365 o Salesforce, y clonar la imagen visual de una organización objetivo.

Luego, la plataforma puede enviar correos electrónicos de phishing personalizados que dirijan a los empleados al sitio recién creado.

Cada panel de phishing opera de forma independiente con su propio subdominio, configuración, proceso y bloque de servidor web.

La plataforma también incluye rotación de secretos, registro de actividad, monitoreo de llamadas en vivo y una función de autodestrucción que puede eliminar sitios de phishing y registros DNS de respaldo en una sola acción.

Estas características dificultan que los defensores confíen en la caída de un solo dominio como una solución duradera.

Defendiéndose contra el vishing acelerado

Las organizaciones deben tratar las llamadas de soporte no solicitadas como un problema de verificación, no simplemente como un problema de concienciación del usuario.

Los empleados necesitan un método confiable y claramente comunicado para confirmar la identidad del personal de soporte antes de compartir información, aprobar una solicitud de inicio de sesión o seguir instrucciones recibidas por teléfono, correo electrónico o software de colaboración.

Esto es particularmente importante ante las campañas de técnica de phishing de código de dispositivo que abusan de flujos de autenticación que parecen legítimos.

Okta recomienda autenticadores resistentes al phishing, como passkeys y tarjetas inteligentes, en lugar de métodos que puedan ser aprobados o leídos en voz alta durante una llamada.

Los equipos de seguridad también deben restringir el acceso a aplicaciones sensibles a dispositivos gestionados y protegidos por herramientas de seguridad de endpoints, notificar a los usuarios sobre cada evento del ciclo de vida del autenticador y limitar los cambios en los mismos basándose en el contexto del dispositivo y la red.

Las restricciones de acceso basadas en la ubicación pueden reducir aún más la exposición al denegar intentos de inicio de sesión desde países, redes o rangos de IP donde la organización no opera.

Dado que Work Panel puede clonar marcas rápidamente y reconstruir su infraestructura, los defensores deben combinar esos controles con una investigación inmediata de actividad de autenticación inusual, especialmente cuando un usuario reporta una interacción de soporte inesperada o solicitudes de inicio de sesión repetidas.

Las tendencias generales de ataques de robo de credenciales muestran por qué los controles de identidad deben asumir que los atacantes pueden adaptarse rápidamente.