A pesar del anuncio extraño (y sospechoso) de la semana pasada por parte de 14 pandillas cibernéticas que afirman que “decidieron oscurecer”, los expertos señalan la actividad ciberdelincuente en curso vinculada a una de las pandillas más notorias del grupo y advierten a los trabajadores del centro de asistencia que estén alerta. Estos grupos han reinventado y transformado tácticas antiguas que explotan la amabilidad humana.
Scattered Spider, un colectivo ciberdelincuente de hackers jóvenes conocido por su caos creativo, ha estado liderando este cargo, apuntando a mesas de ayuda en los Estados Unidos y el Reino Unido al menos desde la primavera. Lejos de jubilarse, el grupo parece estar dando un paso al frente, habiendo ajustado una nueva marca de piratería informática que utiliza una gama de tecnologías de vanguardia para elevar la ingeniería social al siguiente nivel.
Este año, comenzó con una llamada telefónica al gigante minorista del Reino Unido Marks & Spencer, luego Co-op Group, y luego Harrods. La ola de minoristas dominó los titulares del Reino Unido durante semanas. Más tarde, golpearon a las compañías de seguros de los EE. UU.
En lugar de manejar el ransomware o los ataques de día cero, estos hackers se hicieron pasar por colaboradores, dirigieron historias creíbles y convencieron a los miembros del personal del centro de asistencia de TI para que restablecieran las contraseñas y deshabilitaran la autenticación multifactor (multifactor authentication, MFA). Eso dio a los atacantes las claves del reino. Además, en algunos casos, los intrusos no solo cifraban los sistemas; exfiltraban los datos silenciosamente, lo que creaba una nueva ola de amenazas de extorsión puras que no necesitaban malware.
Esta técnica evolucionada es cada vez más popular. En muchos de estos casos, los atacantes agregan realismo a sus engaños mediante el uso de herramientas de audio falsas para hacerse pasar por ejecutivos o personal de TI, incluidos los propios agentes del centro de asistencia. En última instancia, los agentes reales del centro de asistencia se quedan haciendo malabares con las llamadas urgentes, las identidades falsas y las declaraciones de pánico por lo que suenan, pero pueden no ser, compañeros de trabajo reales.
“Es como un ataque clásico de ingeniería social”, excepto que utiliza tecnología moderna para despejarse, dice Errol Weiss, CSO para Health-ISAC (Centro de Análisis y Compartir Información). “Los adversarios cuentan una historia convincente, tal vez alguien perdió su teléfono y necesita que se restablezca su MFA, y el centro de asistencia, tratando de ser útil, termina dando acceso”.
Bienvenido al infierno del centro de asistencia.
Los informes de su retiro han sido muy exagerados
Desde su formación en 2022, Scattered Spider, un colectivo predominantemente de habla inglesa compuesto por hombres y adolescentes jóvenes de los EE. UU. y el Reino Unido, ha evolucionado rápidamente de estafas de intercambio de SIM a ataques de ransomware y extorsión guiados por precisión. Antes, grupos como estos podrían haber empleado tácticas como la suplantación de identidad para engañar a los empleados para que tomen acciones poco aconsejadas, como hacer clic en enlaces que lanzan malware. Ahora, están utilizando combinaciones de vishing (phishing de voz), smishing (una combinación de SMS y phishing) y herramientas de IA para confrontar a los trabajadores de primera línea.
“Los adversarios cuentan una historia convincente, tal vez alguien perdió su teléfono y necesita que se restablezca su MFA, y el centro de asistencia, tratando de ser útil, termina dando acceso”.Errol Weiss, CSO, Health-ISAC (Centro de Análisis y Compartir Información)
La táctica funciona. El año pasado, Scattered Spider solo estaba detrás de al menos seis campañas impactantes dirigidas por vishing, dirigidas a empleados en los sectores minorista, de seguros y de aviación. Los métodos del grupo son agresivos y evolucionan constantemente.
El punto de entrada es mundano. Las consecuencias pueden ser masivas. El ataque de Marks & Spencer, por ejemplo, le costará al minorista aproximadamente 400 millones de dólares. Alrededor de 6.5 millones de personas tuvieron sus datos robados en el ataque cooperativo. Y Harrods no pudo tomar la ropa en línea y los pedidos para el hogar durante una semana. No divulgó el impacto financiero. (La Agencia Nacional contra el Delito del Reino Unido anunció los arrestos de cuatro supuestos autores de esta presa cibernética: una mujer de 20 años de edad y tres adolescentes de sexo masculino, de 17 a 19—in años de edad en julio).
[Leer también: ¿Qué es la gestión de identidad y acceso?]
Una vez dentro, los atacantes instalan ransomware o alejan silenciosamente los datos confidenciales. Cada vez más, es este último. La extorsión sin cifrado, donde los atacantes roban datos y luego exigen el pago para mantener su privacidad, es más rápida, silenciosa y rentable. Dragos, una empresa de ciberseguridad especializada en ataques de infraestructura, informa que este modelo de “extorsión de datos puros” está ganando terreno rápidamente, especialmente en toda Europa.
Ataques del centro de asistencia: ¿Qué industria es la siguiente?
Las empresas minoristas y las aseguradoras han sido los objetivos preferidos este año. Pero Scattered Spider tiene un patrón: golpee duro a una industria y luego continúe.
Se cree ampliamente que está detrás de los 2023 ciberataques de MGM Resorts International y Caesars Entertainment, que involucraron el uso de vishing para obtener acceso a los sistemas corporativos e implementar ransomware. Las autoridades sospechan que el grupo está detrás de una serie de ciberataques este verano en las aerolíneas. El grupo está entre los tres que reclamaron responsabilidad por el devastador ciberataque de este mes contra Jaguar Land Rover, que desencadenó cierres de fabricación globales y cientos de millones de dólares en pérdidas estimadas. Y un informe reciente del conjunto de análisis de amenazas ReliaQuest sugiere que los servicios financieros y el sector tecnológico probablemente sean los próximos objetivos.
“Ciertas industrias están más en riesgo”, dice Arda Büyükkaya, analista sénior de inteligencia de ciberamenazas en EclecticIQ. “Los sectores minorista, de atención médica y similares son particularmente vulnerables porque a menudo tienen grandes operaciones de centro de asistencia, entornos de trabajo rápidos y procesos flexibles de verificación de identidad que los atacantes pueden explotar más fácilmente”.
Metodología moderna: así es como funcionan los ataques del centro de asistencia
Los delincuentes cibernéticos extraen LinkedIn, las redes sociales y los volcados de filtración (bases de datos de nombres de usuario, contraseñas y otros detalles personales robados) para crear perfiles detallados de los empleados. Luego, realizan una llamada de vishing a un centro de asistencia, a menudo haciéndose pasar por un ejecutivo itinerante que perdió el acceso a su teléfono y correo electrónico. Descartan solo la jerga y urgencia internas suficientes para sonar legibles. Algunos incluso suplantan los números de teléfono reales de la empresa o registran dominios de phishing, como “vpn-yourcompany-helpdesk.com”.
“Los centros de asistencia son objetivos atractivos y vulnerables porque su personal está capacitado para resolver problemas rápidamente”.Arda Büyükkaya, analista sénior de inteligencia de ciberamenazas, EclecticIQ
“Las mesas de ayuda son objetivos atractivos y vulnerables porque su personal está capacitado para resolver problemas rápidamente, que los atacantes explotan al crear escenarios urgentes y emocionales para presionarlos a omitir los protocolos de seguridad”, dice Büyükkaya. “Además, los centros de asistencia a menudo acceden a funciones altamente privilegiadas como restablecimientos de contraseña y autenticación multifactor, lo que los convierte en puntos de control claves”.
Ese acceso no siempre se utiliza para la interrupción. Cada vez se utiliza más para el sigilo.
“El vishing respalda la extorsión pura al permitir a los atacantes obtener acceso silencioso a los sistemas sin usar malware o cifrado”, dice Büyükkaya. “En cambio, roban datos confidenciales y luego amenazan con liberarlos a menos que se pague un rescate. Este método es de bajo riesgo para los atacantes, rápido de ejecutar y a menudo pasa desapercibido hasta que se realiza la demanda de extorsión”.
Planificación de una respuesta a los ataques del centro de asistencia
Entonces, ¿qué pueden hacer las empresas al respecto?
“[Empodere a los trabajadores para que desafíen cualquier cosa] si realmente sienten que algo está mal, que una llamada no es legítima o que no tiene sentido”.Christopher Hadnagy, director ejecutivo, ingeniero social
“Los equipos de seguridad pueden tomar medidas inmediatas, como siempre devolver la llamada a las personas utilizando números de contacto confiables, implementar verificaciones de varios pasos en lugar de depender solo de llamadas telefónicas y requerir frases secretas para medidas de alto privilegio, como restablecimientos de contraseña”, dice Büyükkaya. “También deben verificar las identidades a través de una cámara web o requerir verificación en persona para acciones confidenciales. La capacitación regular para el personal del centro de asistencia, incluidas las simulaciones de ingeniería social y la aplicación de reglas claras para detener solicitudes urgentes o de alto riesgo también son pasos críticos”.
Una de las defensas más efectivas es capacitar a los empleados del centro de asistencia sobre a qué estar atentos, dijo Christopher Hadnagy, director ejecutivo de Social-Engineer, una empresa de consultoría y capacitación en seguridad, en un seminario web reciente. Las antiguas reglas generales, como confiar en las voces que conoce y ser cauteloso con las que no conoce o las que tienen un acento, ya no se aplican. La tecnología moderna de deepfake puede generar grabaciones convincentes, y las herramientas impulsadas por IA como FraudGPT incluso pueden hacer que cualquier acento suene local, dijo.
Büyükkaya dice que parte de esa formación debe tratarse de educar a los colaboradores sobre las señales de alerta, como los pedidos urgentes de presionar al personal para que omita las medidas de verificación, las personas que llaman que parecen tener amplios conocimientos sobre el sistema interno, los pedidos de restablecimiento de contraseña o MFA sin pruebas de respaldo, las llamadas de números desconocidos o falsos y las consultas realizadas en horarios extraños o desde ubicaciones inusuales.
Otro tipo de “hack” del centro de asistencia: sospecha de soporte
La capacitación también debe ser sobre el empoderamiento.
Los empleados del centro de asistencia deben saber que “si realmente sienten que algo está mal, que una llamada no es legítima o que no tiene sentido”, pueden desafiarla, cerrarla e informarla sin consecuencias, incluso si fue su jefe o director ejecutivo, dijo Hadnagy en el seminario web.
Hadnagy señaló un ejemplo 2024 en el que un ejecutivo de Ferrari recibió mensajes e incluso una llamada telefónica falsa de alguien que se hacía pasar por el director ejecutivo Benedetto Vigna. Sospechoso, el ejecutivo le pidió a la persona que llama que recordara un libro que Vigna había recomendado recientemente. Cuando el impostor no pudo responder, el intento se develó rápidamente.
“Esa pregunta salvó a Ferrari de una filtración masiva”, dijo Hadnagy. “¿Y por qué? Debido a que el ejecutivo no tenía miedo de que si realmente cuestionaba al verdadero director ejecutivo, hubiera sido reprendido, engañado o avergonzado. Estaba facultado para saber que tenía el poder de cuestionar a ese tipo por teléfono y eso detuvo la filtración”.
Orientación gubernamental y de otros expertos para empresas estadounidenses y del Reino Unido
El Centro Nacional de Seguridad Cibernética (National Cyber Security Centre, NCSC), parte de la sede central de comunicaciones gubernamentales (Government Communications Headquarters, GCHQ) de Gran Bretaña, una organización de inteligencia y seguridad, también ha emitido orientación urgente para que las empresas del Reino Unido revisen y refuercen sus protocolos del centro de asistencia.
En los EE. UU., varios ISAC de la industria han estado emitiendo orientación igualmente útil. Weiss, que ayudó a construir el Centro de Inteligencia Cibernética de Citigroup, dice que el modelo de intercambio de amenazas del sector financiero podría servir como un modelo para las industrias minoristas y de atención médica.
“Teníamos inteligencia sobre amenazas incorporada en todo, desde la planificación estratégica hasta las operaciones en tiempo real”, dice. “Ese nivel de integración lo ayuda a adelantarse a lo que viene”.
Aunque la biometría puede estar desfavoreciendo como dispositivo de verificación, Weiss señala que la tecnología puede desempeñar un rol. “Hay tecnología de reconocimiento de voz y verificación de comportamiento que puede marcar anomalías en tiempo real”, dice. “Soluciones como Clear están explorando verificaciones activas de prueba de vida para confirmar la identidad. Eso podría ser parte de la respuesta”.
[Leer también: Un nuevo modelo de defensa cibernética descentralizado gana terreno en la UE]
Pero él y Büyükkaya están de acuerdo en la defensa más importante: la preparación.
“No solo entrene una vez y siga adelante”, dice Büyükkaya. “Ejecutar simulacros. Requiere frases de contraseña secretas. Y deje en claro que cualquier solicitud urgente es una señal de alerta, no una excusa para omitir el protocolo”.
En el panorama de amenazas actual, su mayor vulnerabilidad podría ser un empleado bien intencionado que solo intenta ayudar.
“Les decimos a las empresas todo el tiempo”, dice Weiss, “Si no está probando proactivamente su centro de asistencia y actualizando sus manuales de estrategias, ya está atrasado”.
