Tycoon2FA, una de las amenazas más peligrosas que pueden comprometer cuentas de Microsoft 365, está de vuelta. Nos hacemos eco de una nueva investigación realizada por parte de eSentire, empresa especializada en ciberseguridad. Allí alertan de cómo esta amenaza de phishing se ha vuelto muy popular entre los ciberdelincuentes para robar este tipo de cuentas. Vamos a explicarte en qué consiste y qué hacer para protegerte.
Ya hace algunas semanas, desde Abnormal Security alertaron del aumento de Tycoon2FA. Indicaban no solo que había vuelto a la normalidad, después de los esfuerzos de interrumpir su actividad por parte de una operación policial a nivel global, sino que habían introducido ciertas novedades para evitar ser detectado y comprometer la seguridad.
Tycoon2FA está de vuelta
Tycoon2FA ya no solo tiene la capacidad de robar contraseñas, sino que es capaz de robar sesiones, tokens OAuth y tener así acceso a cuentas empresariales. Pese a ser desmantelado por parte de Europol, con la colaboración también de Microsoft, ahora está de vuelta y los investigadores advierten de su mayor peligro.
Se trata de una plataforma de Phishing as a Service (phishing como servicio o PhaaS). Un atacante puede pagar por un kit y utilizarlo para robar cuentas y obtener así beneficios económicos. Funciona a modo de suscripción. Esto permite que cualquiera, incluso sin tener grandes conocimientos, pueda lanzar campañas maliciosas.
Previamente tenía la capacidad de robar la contraseña y la autenticación en dos pasos, pero ahora también puede convencer al usuario para que entregue directamente la sesión activa de Microsoft. Básicamente, están entregando la cuenta a manos de los cibercriminales.
Los investigadores indican que están enviando correos electrónicos con el objetivo de distribuir esta amenaza y que la víctima caiga en la trampa. Utilizan estrategias como una supuesta alerta de que la contraseña va a expirar, algún documento compartido importante o requerir que la víctima haga algo.
Estos correos suelen tener algún archivo PDF o códigos QR. Cuando el usuario hace clic en un enlace, el cual parece legítimo, llega a la web creada para iniciar el ataque. Todo parece algo real de Microsoft, por lo que la víctima podría no sospechar nada. De hecho, el usuario va a terminar en la web de Microsoft, aunque previamente conceda acceso OAuth al atacante.
Cómo protegerte
Para protegerte lo principal es el sentido común. Es esencial no caer en trampas de este tipo. Si recibes un e-mail sobre algún supuesto problema, como podría ser algo que debas hacer en tu dispositivo, un error con la contraseña o similar, desconfía siempre. Son estrategias que utilizan los atacantes para lograr su objetivo.
Nunca debes introducir códigos, ni enviarlos a través de enlaces de este tipo. Microsoft nunca va a solicitar algo así. Por ejemplo, si recibes algo que te indique que debes introducir ese código para verificar la cuenta, debes tener mucho cuidado. Esto podría ser una trampa y robar tu cuenta, ya sea de Microsoft o cualquier otra.
También es fundamental que utilices siempre autenticación en dos pasos, pero que evites hacer uso de códigos por SMS. Lo ideal es que utilices aplicaciones como Google Authenticator, las cuales aportan una mayor seguridad.
Si hubieras caído en alguna trampa, es importante que revoques sesión lo antes posible. No basta con cambiar la contraseña, ya que el atacante seguiría dentro. Es clave que expulses a posibles usuarios o dispositivos que estén dentro. Hecho esto, sí deberías cambiar las claves y activar la 2FA si no lo hubieras hecho.