Descubierta una campaña de phishing a gran escala dirigida contra más de 9.000 organizaciones en todo el mundo
Investigadores de la compañía de ciberseguridad Check Point Software Technologies Ltd. han identificado y bloqueado una sofisticada campaña de phishing por correo electrónico a gran escala que empleaba falsas ofertas de condonación de deudas y programas de ayuda financiera para manipular a las víctimas.
El objetivo de los cibermalos consistía en incitar a los destinatarios a realizar llamadas telefónicas a números bajo su control, consiguiendo operar sin depender de los habituales enlaces maliciosos o archivos adjuntos infectados. En un periodo de solo 14 días, se detectaron aproximadamente 24.700 correos electrónicos vinculados a esta operación, que impactaron a más de 9.000 organizaciones en todo el planeta.
La ansiedad financiera, vector de ataque
La campaña evidencia el desarrollo del refinamiento en las tácticas del cibercrimen dirigido al entorno empresarial: el phishing no precisa un hipervínculo sospechoso, un archivo ejecutable ni una suplantación directa de identidad para resultar altamente efectivo. Los atacantes están convirtiendo mensajes de correo de apariencia común en la puerta de acceso para entablar conversaciones directas basadas en la confianza, llevando a las víctimas hacia canales donde las defensas tradicionales pierden efectividad.
Los mensajes interceptados demuestran que han sido minuciosamente estructurados para emular comunicaciones corporativas o bancarias legítimas sobre alivio de deudas, asistencia en situaciones de dificultad económica, consolidación de saldos o reducción de pagos. En ellos, se informa al usuario de que precalifica para programas que podrían eliminar hasta un 70% de sus saldos pendientes o recibir asignaciones de hasta 62.000 dólares, lo que genera una falsa sensación de oportunidad y urgencia para que contacten con un supuesto agente.
En vez de reenviar al usuario a un sitio web falso para capturar credenciales o descargar un malware, la verdadera vía de conversión del ataque es el número telefónico provisto. Cuando la víctima realiza la llamada, la interacción se traslada al canal de voz (vishing), un entorno fuera de la red donde los controles de seguridad del correo electrónico no tienen visibilidad. Durante la llamada, los ciberdelincuentes buscan extraer datos personales o financieros confidenciales, recopilar información de pago, establecer una relación de confianza para futuros fraudes o derivar a la víctima hacia otros canales bajo su control.
Controles fallidos
El volumen detectado demuestra la velocidad con la que los cibercriminales pueden desplegar campañas masivas de ingeniería social en el tejido empresarial. Puesto que estos emails carecen de ejecutables o enlaces maliciosos y utilizan un lenguaje muy similar al de las campañas comerciales financieras legítimas, los filtros tradicionales basados en reputación de dominio o firmas suelen pasarlos por alto. Por eso, la evaluación de la amenaza ha de basarse en interpretar la intención y el contexto del mensaje más que en buscar elementos dañinos preexistentes.
El adecuado análisis de la amenaza sirve para demostrar que los atacantes están evolucionando más allá de las técnicas de phishing convencionales para evadir los controles de seguridad. Al eliminar los hipervínculos y archivos adjuntos dañinos, la campaña sortea las herramientas de detección de legacy basadas en firmas o reputación de URLs.
También se pone de manifiesto la eficacia continua de la ingeniería social y de los ataques basados en la confianza contra las organizaciones. Explotar la ansiedad económica y aprovechar procesos administrativos de rutina permite a los cibercriminales manipular la conducta humana con un elevado nivel de éxito.
Queda patente la importancia de contar con soluciones avanzadas de seguridad del correo electrónico y con una adecuada concienciación de los usuarios para defenderse frente a las amenazas modernas de phishing. Resulta indispensable disponer de soluciones impulsadas por inteligencia artificial (IA) que examinen la intención del mensaje, la conducta del remitente y el contexto de la campaña para bloquear estas amenazas antes de que alcancen al usuario y comience la conversación de riesgo.