Las tácticas de desplazamiento impulsan un aumento en el compromiso de correo empresarial

La actividad ciberdelincuente del compromiso de correo empresarial aumenta cada vez más rápido. Microsoft ha observado una tendencia importante en el uso de plataformas de los atacantes, como BulletProftLink, una conocida plataforma para crear campañas de correo malintencionado a escala industrial. BulletProftLink vende un servicio integral que incluye plantillas, hospedaje y servicios automatizados para BEC. Los atacantes que utilizan este CaaS reciben credenciales y la dirección IP de la víctima.

A continuación, los agentes malintencionados de BEC compran direcciones IP de servicios de IP residenciales que coinciden con la ubicación de la víctima, para crear proxies IP residenciales que permiten a los ciberdelincuentes ocultar su origen. Armados con un espacio de direcciones localizadas para ejercer sus actividades maliciosas, además de los nombres de usuario y las contraseñas, los atacantes de BEC ahora pueden ocultar movimientos, eludir etiquetas de “viaje imposible” y abrir una puerta de enlace para realizar otros ataques. Microsoft ha observado que los agentes malintencionados de Asia y Europa del Este son los que más implementan esta táctica.

El viaje imposible es una detección que se utiliza para indicar que una cuenta de usuario puede estar en peligro. Estas alertas etiquetan restricciones físicas que indican que una tarea se está ejecutando en dos ubicaciones, sin la cantidad de tiempo adecuada para viajar de una ubicación a otra.

La especialización y la consolidación de este sector de la economía del ciberdelito puede escalar el uso de direcciones IP residenciales para evitar su detección. Las direcciones IP residenciales asignadas a ubicaciones a escala proporcionan a los ciberdelincuentes la capacidad y la oportunidad de recopilar grandes volúmenes de credenciales y cuentas de acceso en peligro. Los agentes malintencionados utilizan los servicios de IP/proxy que los vendedores y otros puedan utilizar en su investigación para escalar estos ataques. Por ejemplo, un proveedor de servicios de IP tiene 100 millones de direcciones IP que pueden rotarse o modificarse cada segundo.

Mientras que los agentes malintencionados utilizan plataformas de “phishing como servicio” como Evil Proxy, Naked Pages y Caffeine para implementar campañas de phishing y obtener credenciales comprometidas, BulletProftLink ofrece un diseño descentralizado de puerta de enlace, que incluye nodos de cadena de bloques públicos de Internet Computer para hospedar sitios de phishing y BEC, lo que crea una oferta web descentralizada aún más sofisticada que es mucho más difícil de interrumpir. La distribución de la infraestructura de estos sitios con la complejidad y el crecimiento continuo de las cadenas de bloques públicas hace que sea mucho más complejo identificarlos y diseñar acciones para retirarlos. Aunque se puede eliminar un vínculo de phishing, el contenido permanece online y los ciberdelincuentes vuelven a crear un nuevo vínculo al contenido de CaaS existente.

Los ataques de BEC de éxito cuestan a las organizaciones cientos de millones de dólares al año. En 2022, el Equipo de recuperación de activos del FBI inició la Cadena de ataque al fraude financiero en 2838 denuncias de BEC que implicaban transacciones nacionales con una pérdida potencial de más de 590 millones de USD.

Aunque las implicaciones financieras son significativas, los daños a largo plazo pueden incluir el robo de identidad si la información de identificación personal (PII) se ve comprometida, o la pérdida de datos confidenciales si hay datos de propiedad intelectual o correspondencia confidencial expuestos en el tráfico de mensajes y correos electrónicos maliciosos.

Aunque los agentes malintencionados han creado herramientas especializadas para facilitar el BEC, por ejemplo, kits de phishing y listas de direcciones de correo electrónico verificadas dirigidas a líderes del equipo de dirección, los responsables de cuentas por pagar y otras funciones específicas, las empresas pueden emplear métodos para adelantarse a los ataques y reducir el riesgo.

Por ejemplo, una directiva de Autenticación de mensajes, informes y conformidad basada en dominios (DMARC) de “rechazo” ofrece la máxima protección contra el correo suplantado, y garantiza que los mensajes no autenticados se rechazan en el servidor de correo, incluso antes de su entrega. Asimismo, los informes DMARC ofrecen un mecanismo para que la organización conozca el origen de una aparente falsificación, una información que normalmente no recibiría.

Aunque las organizaciones llevan ya varios años administrando recursos totalmente remotos o híbridos, sigue siendo necesario replantearse la concienciación sobre la seguridad en la era del trabajo híbrido. Como los empleados trabajan con más proveedores y contratistas, y reciben más correos electrónicos que “ven por primera vez”, es imperativo ser consciente de qué suponen estos cambios en los ritmos de trabajo y la correspondencia para la superficie expuesta a ataques.

Los intentos de BEC de los agentes malintencionados toman muchas formas, por ejemplo, llamadas de teléfono, mensajes de texto, correos electrónicos o mensajes en las redes sociales. Suplantar identidades en mensajes de solicitud de autenticación y hacerse pasar por personas y empresas también son tácticas comunes.

Una buena primera medida de defensa es fortalecer las directivas de los departamentos de contabilidad, controles internos, nóminas o recursos humanos sobre cómo responder cuando se reciben solicitudes o notificaciones de cambios relativos a instrumentos de pago o transferencias bancarias. También puede ahorrar a las organizaciones pérdidas astronómicas dar un paso atrás para descartar las solicitudes que no cumplen sospechosamente las directivas, o ponerse en contacto con la entidad solicitante a través de su sitio y representantes legítimos.

Los ataques de BEC son un gran ejemplo de por qué el riesgo cibernético debe abordarse de manera multifuncional con ejecutivos y líderes, empleados de finanzas, directores de recursos humanos y otros responsables con acceso a los registros de los empleados, como números del seguro social, declaraciones de impuestos, información de contacto y horarios, junto con responsables de TI, cumplimiento y riesgo cibernético.

Obtenga más información sobre BEC y los agentes malintencionados iraníes con las conclusiones de Simeon Kakpovi, analista superior de inteligencia sobre amenazas.