Más de 40 mil correos maliciosos enviados a empresas.
El mundo hiperconectado ha facilitado más que nunca que empresas y consumidores intercambien documentos, aprueben transacciones y completen flujos de trabajo financieros críticos con un solo clic. Las plataformas de intercambio de archivos digitales y firma electrónica, ampliamente utilizadas en banca, bienes raíces, seguros y operaciones comerciales cotidianas, se han vuelto esenciales para la rápida evolución de las organizaciones modernas. Sin embargo, esa misma comodidad crea una brecha para los ciberdelincuentes.
Investigadores de seguridad de correo electrónico de Check Point descubrieron recientemente una campaña de phishing en la que los atacantes se hacen pasar por servicios de intercambio de archivos y firma electrónica para enviar señuelos con temática financiera que simulan notificaciones legítimas.
Los atacantes abusaron de la función de reescritura de enlaces seguros de Mimecast, utilizándola como cortina de humo para que sus enlaces parecieran seguros y autenticados. Dado que Mimecast Protect es un dominio de confianza, esta técnica ayuda a las URL maliciosas a evadir los filtros automáticos y despertar la sospecha del usuario.
Para aumentar la credibilidad, los correos electrónicos copiaban elementos visuales oficiales del servicio (logotipos de Microsoft y productos de Office), utilizaban encabezados, pies de página y botones de revisar documento similares a los de los servicios, y falsificaban nombres para mostrar como X vía SharePoint (Online), eSignDoc vía Y y SharePoint, que coincidían estrechamente con los patrones de notificación auténticos.
Además de la gran campaña de SharePoint/firma electrónica, los investigadores también identificaron una operación más pequeña, pero relacionada, que imita las notificaciones de DocuSign. Al igual que el ataque principal, se hace pasar por una plataforma SaaS confiable y aprovecha una infraestructura de redireccionamiento legítima, pero la técnica utilizada para enmascarar el destino malicioso difiere significativamente.
En la campaña principal, la redirección secundaria actúa como una redirección abierta, dejando la URL de phishing final visible en la cadena de consulta a pesar de estar envuelta en servicios de confianza. En la variante con temática de DocuSign, el enlace se mueve a través de una URL de GravityZone de Bitdefender y luego a través del servicio de seguimiento de clics de Intercom, con la página de destino real completamente oculta tras una redirección tokenizada. Este enfoque oculta por completo la URL final, lo que hace que la variante de DocuSign sea aún más sigilosa y difícil de detectar.
Los datos de telemetría de correo electrónico Harmony de Check Point muestran que, en las últimas dos semanas, se enviaron más de 40 mil correos electrónicos de phishing dirigidos a aproximadamente 6.100 empresas. La campaña se dirigió principalmente a organizaciones de Estados Unidos, Europa, Canadá, Asia-Pacífico y Oriente Medio
About The Author
