{"id":387,"date":"2026-03-27T13:33:20","date_gmt":"2026-03-27T13:33:20","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/27\/el-phishing-de-aitm-se-dirige-a-cuentas-comerciales-de-tiktok-mediante-la-evasion-de-torniquete-de-cloudflare-cyberdefensa-mx\/"},"modified":"2026-03-27T13:33:20","modified_gmt":"2026-03-27T13:33:20","slug":"el-phishing-de-aitm-se-dirige-a-cuentas-comerciales-de-tiktok-mediante-la-evasion-de-torniquete-de-cloudflare-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/27\/el-phishing-de-aitm-se-dirige-a-cuentas-comerciales-de-tiktok-mediante-la-evasion-de-torniquete-de-cloudflare-cyberdefensa-mx\/","title":{"rendered":"El phishing de AitM se dirige a cuentas comerciales de TikTok mediante la evasi\u00f3n de torniquete de Cloudflare \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Los actores de amenazas est\u00e1n utilizando p\u00e1ginas de phishing de adversario en el medio (AitM) para tomar el control de las cuentas de TikTok for Business en una nueva campa\u00f1a, seg\u00fan un informe de Push Security.<\/p>\n<p>Las cuentas comerciales asociadas con plataformas de redes sociales son un objetivo lucrativo, ya que los delincuentes pueden utilizarlas como arma para realizar publicidad y distribuci\u00f3n de malware.<\/p>\n<p>\u00abHist\u00f3ricamente se ha abusado de TikTok para distribuir enlaces maliciosos e instrucciones de ingenier\u00eda social\u00bb, Push Security <a href=\"https:\/\/pushsecurity.com\/blog\/tiktok-phishing\" rel=\"noopener\" target=\"_blank\">dicho<\/a>. \u00abEsto incluye m\u00faltiples ladrones de informaci\u00f3n como Vidar, StealC y Aura Stealer entregados a trav\u00e9s de instrucciones estilo ClickFix con videos generados por IA que act\u00faan como gu\u00edas de activaci\u00f3n para Windows, Spotify y CapCut\u00bb.<\/p>\n<p>La campa\u00f1a comienza enga\u00f1ando a las v\u00edctimas para que hagan clic en un enlace malicioso que las dirige a una p\u00e1gina similar que se hace pasar por TikTok for Business o una p\u00e1gina dise\u00f1ada para hacerse pasar por Google Careers, junto con una opci\u00f3n para programar una llamada para analizar la oportunidad.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/not-fast-enough-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhlXM830ruQd2xT6M7JNeNRjaFa1onD12WjSCHihTFMTzbyfT9h-irPmXy_h3E1HGSs6sdv7FTmnyNVTM5kmSb7BuUtZe8gKoTQt99P1sSzRcqqXpOJP6eoAOhR3DGb6qHx9kOZ_HBZUMmVnsnd0DM7QfUp81bgzTvvgLww6oqB-EhnDfWXH5pWCYhAsyLs\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Vale la pena se\u00f1alar que una versi\u00f3n anterior de esta campa\u00f1a de phishing de credenciales fue <a href=\"https:\/\/sublime.security\/blog\/google-careers-impersonation-credential-phishing-scam-with-endless-variation\/\" rel=\"noopener\" target=\"_blank\">marcado<\/a> por Sublime Security en octubre de 2025, con correos electr\u00f3nicos disfrazados de mensajes de divulgaci\u00f3n utilizados como t\u00e1ctica de ingenier\u00eda social.<\/p>\n<p>Independientemente del tipo de p\u00e1gina servida, el objetivo final es el mismo: realizar una verificaci\u00f3n de Cloudflare Turnstile para impedir que los bots y los esc\u00e1neres autom\u00e1ticos analicen el contenido de la p\u00e1gina y ofrecer una p\u00e1gina de inicio de sesi\u00f3n de phishing AitM maliciosa dise\u00f1ada para robar sus credenciales.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEj2y_7VDGoJkbMTXJPYUne7q0TPXAUPBRaahyphenhyphenp_SfI0lpfBNlAqBw3y4MlD77YlA3Gbzpue6y3z8fjoRJ0aoOsaC44oBpz6w4tMgVfmYXL4ZGyqjDe7kD0TVJEwCGW3MXY23R_L3zoLTMTTXbF323BLjp1UyjlKoNUvSrVyxVSZgdqoNkwZDwIHzR4FmQjk\/s1700-e365\/timeline.png\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEj2y_7VDGoJkbMTXJPYUne7q0TPXAUPBRaahyphenhyphenp_SfI0lpfBNlAqBw3y4MlD77YlA3Gbzpue6y3z8fjoRJ0aoOsaC44oBpz6w4tMgVfmYXL4ZGyqjDe7kD0TVJEwCGW3MXY23R_L3zoLTMTTXbF323BLjp1UyjlKoNUvSrVyxVSZgdqoNkwZDwIHzR4FmQjk\/s1700-e365\/timeline.png\" alt=\"\" border=\"0\" data-original-height=\"954\" data-original-width=\"1802\"\/><\/a><\/div>\n<p>Las p\u00e1ginas de phishing est\u00e1n alojadas en los siguientes dominios:<\/p>\n<ul>\n<li>bienvenidos.carreratornillos[.]com<\/li>\n<li>bienvenido.careerstaffer[.]com<\/li>\n<li>bienvenido.careersworkflow[.]com<\/li>\n<li>bienvenido.careerstransform[.]com<\/li>\n<li>bienvenido.careersupskill[.]com<\/li>\n<li>bienvenido.carreras\u00e9xito[.]com<\/li>\n<li>bienvenido.careersstaffgrid[.]com<\/li>\n<li>bienvenido.progresoprofesional[.]com<\/li>\n<li>bienvenido.careersgrower[.]com<\/li>\n<li>bienvenido.careersengage[.]com<\/li>\n<li>bienvenidos.carreratornillos[.]com<\/li>\n<\/ul>\n<p>El desarrollo se produce cuando se ha observado otra campa\u00f1a de phishing que utiliza archivos adjuntos de gr\u00e1ficos vectoriales escalables (SVG) para entregar malware a objetivos ubicados en Venezuela.<\/p>\n<p>Seg\u00fan un informe publicado por WatchGuard, los mensajes tienen archivos SVG con nombres de archivo en espa\u00f1ol, disfrazados de facturas, recibos o presupuestos. <\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/attack-stories-xmcyber-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEi10JhdzuuQKeU6vIJGPRAeffB5FYR9ajRiOfpp6hmgsP5GCmDcMdEKpiEEUZjkua9Y9R__l-63FpqNwAFgZzIdNR5lPIJcvvyBKIAu_nN7Z1TJoVUXrEvfQcWlJ0QhqMshOARvU3_B94NJNDbp-SiKAVfPFPibh_jcBpTfSPmCFxxJkPqL44kIFXL1WGEo\/s728-e100\/fs-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abCuando se abren estos SVG maliciosos, se comunican con una URL que descarga el artefacto malicioso\u00bb, dijo la compa\u00f1\u00eda. <a href=\"https:\/\/www.watchguard.com\/wgrd-security-hub\/secplicity-blog\/new-bianlian-ransomware-activity-detected-svg-phishing-campaign\" rel=\"noopener\" target=\"_blank\">dicho<\/a>. \u00abEsta campa\u00f1a utiliza ja.cat para acortar las URL de dominios leg\u00edtimos que tienen una vulnerabilidad que permite redirecciones a cualquier URL, de modo que apunten al dominio original donde se descarga el malware\u00bb.<\/p>\n<p>El artefacto descargado es un malware escrito en Go que comparte superposiciones con un <a href=\"https:\/\/redacted.com\/blog\/bianlian-ransomware-gang-gives-it-a-go\/\" rel=\"noopener\" target=\"_blank\">BianLian<\/a> muestra de ransomware <a href=\"https:\/\/securityscorecard.com\/wp-content\/uploads\/2024\/01\/bianlian-ransomware-deep-dive.pdf\" rel=\"noopener\" target=\"_blank\">detallado por SecurityScorecard<\/a> en enero de 2024.<\/p>\n<p>\u00abEsta campa\u00f1a es un fuerte recordatorio de que incluso tipos de archivos aparentemente inofensivos como los SVG pueden usarse para generar amenazas graves\u00bb, dijo WatchGuard. \u00abEn este caso, se utilizaron archivos adjuntos SVG maliciosos para iniciar una cadena de phishing que condujo a la entrega de malware asociado con <a href=\"https:\/\/unit42.paloaltonetworks.com\/bianlian-ransomware-group-threat-assessment\/\" rel=\"noopener\" target=\"_blank\">BianLian<\/a> actividad.\u00bb<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Los actores de amenazas est\u00e1n utilizando p\u00e1ginas de phishing de adversario en el medio (AitM) para tomar el control de las cuentas de TikTok for Business en una nueva campa\u00f1a, seg\u00fan un informe de Push Security. Las cuentas comerciales asociadas con plataformas de redes sociales son un objetivo lucrativo, ya que los delincuentes pueden utilizarlas [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":108,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[368,437,1348,704,24,833,1350,670,365,1349,1351],"class_list":["post-387","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-aitm","tag-cloudflare","tag-comerciales","tag-cuentas","tag-cyberdefensa-mx","tag-dirige","tag-evasion","tag-mediante","tag-phishing","tag-tiktok","tag-torniquete"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/387","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=387"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/387\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/108"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=387"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=387"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=387"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}