El Phishing es uno de los mayores problemas de seguridad que podemos encontrarnos en Internet. Los piratas informáticos, utilizan estrategias para robar contraseñas y datos personales. En este caso, se trata de una campaña que apunta a cuentas de Microsoft 365 y de Google. Están utilizando VoidProxy, una plataforma de Phishing como servicio (PhaaS), lo que permite que cualquiera, sin tener demasiados conocimientos, pueda lanzar ataques de este tipo.
Este problema ha sido descubierto por parte de investigadores de seguridad de Okta Threat Intelligence, como puedes ver en su informe técnico publicado el 11 de septiembre. Utiliza diferentes tácticas de adversario en el medio (AitM) para robar credenciales, códigos de autenticación multifactor (MFA) y cookies de sesión en tiempo real. Todo esto le permite hacerse con las claves. El robo de cookies de sesión es especialmente peligroso porque permite a los atacantes mantener el acceso a la cuenta incluso si la víctima cambia su contraseña. Esta técnica, conocida como session hijacking, elude la autenticación multifactor (MFA) ya que la cookie actúa como un ‘pase temporal’ que el servidor reconoce como válido hasta su expiración.
Nuevo ataque pone en riesgo Microsoft 365 y Google
Los investigadores de seguridad de Okta, han mencionado que se trata de una táctica escalable, evasiva y sofisticada. El problema comienza con un correo electrónico. Utilizan cuentas comprometidas de diferentes proveedores como Constant Contact, Active Campaign y NotifyVisitors. Incluyen ahí enlaces acortados, con el objetivo de que la víctima haga clic y redirigirla a sitios de Phishing.
Esos sitios web maliciosos, de Phishing, están alojados en dominios de bajo coste, los cuales van desechando. Por ejemplo, dominios como .icu, .sbs, .xyz o .top. Todos ellos están protegidos a través de Cloudflare, para ocultar así su dirección IP real. Cuando alguien entra en esa página, lo primero que ven es un CAPTCHA de Cloudflare para filtrar bots y aumentar la sensación de legitimidad.
A partir de ahí, las posibles víctimas van a encontrarse con una página que simula el inicio de sesión de Google o de Microsoft. Al introducir las credenciales en ese formulario Phishing, las solicitudes se redirigen a través del adversario en el medio (AitM) de VoidProxy a los servidores de Google o Microsoft.
Ese servidor proxy del servicio retransmite el tráfico entre la víctima y el servicio legítimo, capturando nombres de usuario, contraseñas y códigos MFA en tránsito. Cuando el servicio legítimo emite una cookie de sesión, VoidProxy la intercepta y crea una copia que está disponible para los atacantes directamente en el panel de administración de la plataforma.
Con esto, los atacantes pueden lograr acceso a las cuentas de Microsoft o Google. Un ataque Phishing sofisticado, que pone en serio peligro las cuentas de los usuarios. Desde INCIBE, el Instituto Nacional de Ciberseguridad de España, consideran el Phishing como una amenaza muy grave y que hay que evitar.
Protégete
Desde Okta, los investigadores de seguridad detrás de esta investigación, han dado algunas recomendaciones esenciales para protegerse. Entre ellas, destacan las siguientes:
- Restringir el acceso a aplicaciones sensibles solo a dispositivos administrados.
- Implementar controles de acceso basados en el riesgo.
- Usar la vinculación de sesiones IP para aplicaciones administrativas.
- Forzar la reautenticación de los administradores que intenten realizar acciones sensibles.
| Acción Inmediata | Para tu cuenta de Google | Para tu cuenta de Microsoft |
|---|---|---|
| Revisar dispositivos conectados | Accede a myaccount.google.com → Seguridad → 'Tus dispositivos'. | Accede a account.microsoft.com → Seguridad → 'Dispositivos vinculados'. |
| Verificar actividad reciente | En la misma sección, revisa 'Actividad de seguridad reciente'. | En la misma sección, consulta la pestaña 'Historial de inicios de sesión'. |
| Cerrar sesiones sospechosas | Haz clic en cualquier dispositivo que no reconozcas y selecciona 'Cerrar sesión'. | Selecciona 'Quitar' en los dispositivos desconocidos para revocar el acceso. |
Nosotros, en RedesZone, te recomendamos siempre mantener el sentido común. Es clave no dar facilidades a los atacantes, por lo que te aconsejamos tener mucho cuidado a la hora de instalar aplicaciones, es esencial tener todo correctamente actualizado y no hacer clic en lugares indebidos. Especialmente, debes tener cuidado a la hora de iniciar sesión, ya que nunca deberías entrar desde enlaces que recibas por correo, redes sociales o cualquier otra plataforma, sino siempre desde sitios oficiales.
Si vas a instalar un antivirus, algo muy útil para detectar amenazas, es importante que te asegures de que es fiable y va a funcionar correctamente. Hay muchas opciones, como el propio Microsoft Defender, Avast o Bitdefender. Revisa muy bien valoraciones de otros usuarios, informes previos y descárgalos únicamente desde fuentes oficiales y seguras.
En este caso, este tipo de ataques ha afectado a cuentas de Microsoft y Google. Sin embargo, podrías encontrarte con algo similar en plataformas muy variadas, como pueden ser servicios de Streaming como Netflix, tiendas online como Amazon, cuentas bancarias, etc. Es clave siempre asegurarte de que estás protegido en la red y no dar facilidades a los atacantes.