Fallos críticos de seguridad, como una empresa que quebró tras un ataque de ransomware por no tener respaldos externos ni parches actualizados. Y un ataque de phishing sofisticado mediante suplantación de identidad que fue detenido gracias a un software de detección de inicios de sesión anómalos. Finalmente, resalta la importancia de usar MFA resistente al phishing para evitar robos de cuentas.






Bienvenido de nuevo a PWNED, la columna semanal donde destacamos algunos de los puntos bajos de la seguridad corporativa. Esta semana, hablaremos de dos escenarios: uno que terminó en tragedia y otro que muestra el poder de una buena defensa frente a ataques de phishing dedicados.

¿Tienes una historia sobre alguien que dejó un agujero enorme en su red? Compártela con nosotros en pwned@sitpub.com. El anonimato está disponible bajo petición.

Ambas historias vienen cortesía de Dave Hatter, consultor de cumplimiento y ciberseguridad de Intrust IT. En sus muchos años de experiencia con la empresa, Hatter ha tenido que trabajar para una variedad de empresas pequeñas que necesitaban ayuda con su seguridad, lo supieran o no.


Hace varios años, el nuevo CFO de una pequeña empresa de construcción llamó a Intrust y expresó interés en contratarlos. Sin embargo, la propuesta fue vetada por el dueño de la empresa, un caballero mayor que pensaba que su negocio era demasiado pequeño para interesar a los hackers y que su personal de TI, compuesto por una sola persona, era todo lo que podía permitirse.


“Tengo a un chico, el primo del tío de mi hermano se encarga de mi TI, no los necesito a ustedes”, cita Hatter que dijo el dueño. “Escuchamos esto todo el tiempo. Gracias por preguntar. Son demasiado caros”.

Tres semanas después, Hatter recibió una llamada de un amigo contador local que le suplicó que ayudara a un cliente que había sido víctima de un ataque de ransomware. Hatter dijo que realmente no podía dar más que una guía general, pero que hablaría con la víctima de todos modos.

Tan pronto como llamó al número, Hatter se dio cuenta de que la víctima del ransomware era en realidad la misma empresa de construcción que había rechazado sus servicios unas semanas antes. El negocio tenía un servidor Windows antiguo y sin parches que contenía todos sus datos más importantes. Había una unidad de respaldo, pero estaba conectada al mismo servidor, por lo que ambos dispositivos fueron cifrados por el ransomware.

“Todo su respaldo es este disco externo, que, por supuesto, ahora está cifrado”, dijo Hatter. “Así que, literalmente, no pueden pagar a sus empleados. No saben quién les debe dinero”.

Hatter no pudo ayudar a la empresa, y nunca supo si pagaron el rescate. Sin embargo, la organización, que había existido durante años, quebró en pocos meses.

Esta triste historia muestra la importancia de tener respaldos reales fuera del sitio o en la nube y de parchear cualquier servidor que se tenga. Nunca se puede asumir que su empresa es demasiado pequeña para ser atacada porque las bandas de ransomware quieren su dinero y están tan felices de atacar a pequeñas empresas como a grandes, que probablemente sean objetivos más difíciles.

El otro incidente involucró a dos empresas del sector de paisajismo y construcción. Alguien irrumpió en la cuenta de correo electrónico de un ejecutivo de la empresa uno y comenzó a enviar correos de phishing a la empresa número dos. Los malhechores también configuraron reglas de filtrado de correo en la cuenta de la primera empresa para que los mensajes de la campaña de phishing fueran dirigidos a carpetas ocultas donde el titular real de la cuenta nunca los vería.

Los correos de phishing tenían la forma de RFPs (solicitudes de propuesta), un señuelo perfecto, porque ¿quién no querría nuevos negocios? Estaban perfectamente elaborados, sin errores gramaticales ni señales obvias, y la dirección de remitente coincidía con la de la empresa uno.


Sin embargo, en lugar de adjuntar la RFP como un archivo PDF o PowerPoint, tenía un botón para que el usuario hiciera clic y lo descargara.

“Si puedo entrar en tu correo y enviar correos como tú, los destinatarios, especialmente si han interactuado conmigo antes, no tendrán ninguna guardia alta”, dijo Hatter. “Especialmente si no hay un lenguaje loco o solicitudes extrañas, porque ya han recibido un correo mío antes”.

Al hacer clic en el botón de descarga, el usuario era transportado a una pantalla de inicio de sesión de Microsoft 365 que parecía idéntica a la real, pero no estaba en el dominio microsoft.com. Luego, se invitaba al usuario a ingresar su dirección de correo electrónico y contraseña para obtener acceso al archivo deseado. Debido a que el usuario tenía 2FA, esta página falsa también le pedía su código 2FA de tiempo limitado.

Detrás de escena, los actores de la amenaza estaban transmitiendo el inicio de sesión a Microsoft para que el propio Microsoft enviara un mensaje SMS a la víctima en la empresa número dos. Luego, la víctima pasaba el código de un solo uso a través del sitio de inicio de sesión falso. Un clásico ataque de hombre en el medio (man-in-the-middle).

Funcionó, y los actores de la amenaza ahora tenían acceso a la cuenta de Microsoft 365 y al correo electrónico de la víctima en la empresa número dos. Esto podría haberles permitido hacer casi cualquier cosa utilizando el correo de esa persona. Si la víctima tuviera acceso a cuentas bancarias o datos de clientes, los atacantes podrían haber iniciado restablecimientos de contraseña desde la cuenta, realizar transferencias de dinero fraudulentas o robar información personal. Como mínimo, podrían haber usado la cuenta de la víctima para engañar a otros contactos.

Afortunadamente, el cliente de Hatter había instalado un software que su empresa creó llamado TarBot, que se ejecuta en el entorno de Microsoft 365 y utiliza Entra ID P2 para ayudar a los clientes a identificar inicios de sesión sospechosos.

“Lanza un montón de telemetría, estadísticas, métricas, como quieras llamarlo, que permite que nuestro software diga: este es un inicio de sesión anómalo, revoca el token y haz que el usuario inicie sesión nuevamente”, dijo Hatter. Mencionó que su empresa no es la única en crear aplicaciones como TarBot que detectan inicios de sesión sospechosos.

Así que los malos fueron expulsados después de solo unos pocos minutos. Pero Hatter dice que la mejor manera de detener estos ataques es usar MFA resistente al phishing, como llaves de hardware (como la línea YubiKey) o passkeys. Con el phishing asistido por IA de hoy en día, las señales reveladoras como la mala gramática o las páginas de inicio de sesión obviamente falsas son cada vez más escasas. ®

Fuente:
TheRegister