A pesar del extraño (y sospechoso) anuncio de « » de la semana pasada, en el que 14 bandas cibernéticas afirmaban que habían «decidido desaparecer», los expertos señalan que sigue habiendo actividad ciberdelictiva vinculada a una de las bandas más notorias del grupo y advierten a los trabajadores de los servicios de asistencia técnica que se mantengan alerta. Estos grupos han reinventado y transformado viejas tácticas que se aprovechan de la bondad humana.
«Scattered Spider», un colectivo de ciberdelincuentes formado por jóvenes hackers conocido por su caos creativo, ha liderado esta ofensiva, dirigiendo sus ataques contra servicios de asistencia técnica de todo Estados Unidos y el Reino Unido al menos desde la primavera. Lejos de retirarse, el grupo parece estar alcanzando su máximo apogeo, tras haber perfeccionado un nuevo tipo de ataque informático que utiliza una amplia gama de tecnologías de vanguardia para llevar la ingeniería social a un nuevo nivel.
Este año, todo comenzó con una llamada telefónica al gigante minorista británico Marks & Spencer; después, al Co-op Group; y, a continuación, a Harrods. La campaña contra los comercios minoristas acaparó los titulares del Reino Unido durante semanas. Posteriormente, atacaron a las compañías de seguros estadounidenses.
En lugar de recurrir a ataques de tipo « », de ransomware o de «zero day» , estos piratas informáticos se hicieron pasar por empleados, inventaron historias verosímiles y convencieron al personal del servicio de asistencia informática para que restableciera las contraseñas y desactivara la autenticación multifactorial (MFA). Eso les dio a los atacantes las llaves del reino. Es más, en algunos casos, los intrusos no se limitaron a cifrar los sistemas, sino que sustrajeron datos de forma sigilosa, lo que dio lugar a una nueva oleada de amenazas de extorsión pura y simple que no requerían ningún tipo de malware.
Esta técnica perfeccionada está ganando cada vez más popularidad. En muchos de estos casos, los atacantes dotan de mayor realismo a sus engaños utilizando herramientas de audio «deepfake» para suplantar la identidad de directivos o del personal de TI, incluidos los propios agentes del servicio de asistencia técnica. En definitiva, los agentes del servicio de asistencia técnica se ven obligados a lidiar con llamadas urgentes, identidades falsas y súplicas desesperadas de personas que parecen ser —aunque quizá no lo sean— compañeros de trabajo reales.
«Es como un clásico ataque de ingeniería social del tipo “ ”», salvo que utiliza tecnología moderna para llevarlo a cabo, afirma Errol Weiss, director de seguridad de Health-ISAC (Centro de Intercambio y Análisis de Información). «Los atacantes presentan un argumento convincente —quizá alguien ha perdido el móvil y necesita restablecer su autenticación multifactorial— y el servicio de asistencia, en su afán por ayudar, acaba concediendo acceso».
Bienvenidos al infierno del servicio de asistencia técnica.
Los rumores sobre su retirada han sido muy exagerados
Desde su creación en el año 2022, Scattered Spider —un colectivo en el que predomina el inglés, formado por jóvenes y adolescentes procedentes de EE. UU. y el Reino Unido— ha evolucionado rápidamente, pasando de las estafas de intercambio de tarjetas SIM a ataques de ransomware y extorsión de alta precisión. Anteriormente, grupos como estos podrían haber empleado tácticas como el phishing para engañar a empleados confiados y que estos llevaran a cabo acciones imprudentes, como hacer clic en enlaces que activan malware. En la actualidad, están utilizando combinaciones de vishing (phishing por voz), smishing (una mezcla de SMS y phishing) y herramientas de inteligencia artificial para estafar a los trabajadores de primera línea.
«Los atacantes presentan una historia convincente —quizá alguien ha perdido su teléfono y necesita restablecer su autenticación multifactorial (MFA)— y el servicio de asistencia técnica, en su intento por ayudar, acaba concediendo acceso.»Errol Weiss, director de seguridad (CSO) de Health-ISAC (Centro de Intercambio y Análisis de Información)
La táctica funciona. El año pasado, solo Scattered Spider estuvo detrás de al menos seis campañas de gran repercusión basadas en el vishing, dirigidas a empleados de los sectores minorista, de seguros y de la aviación. Los métodos de este grupo son agresivos y están en constante evolución.
El punto de partida es muy sencillo. Las consecuencias pueden ser enormes. El ataque informático a la página web de Marks & Spencer, por ejemplo, le supondrá a la empresa minorista un coste estimado de 400 millones de dólares. Alrededor de 6.5 millones de personas sufrieron el robo de sus datos en el ataque a Co-op. Además, Harrods no pudo aceptar pedidos en línea de ropa y artículos para el hogar durante una semana. No reveló el impacto financiero. (La Agencia Nacional contra el Crimen del Reino Unido anunció la detención de cuatro presuntos autores de esta oleada de delitos cibernéticos: una mujer de 20 años y tres adolescentes varones, con edades comprendidas entre los 17 y los 19—in de julio.)
[Lea también: ¿Qué es la gestión de identidades y accesos?]
Una vez dentro, los atacantes instalan un programa de rescate o sustraen discretamente datos confidenciales. Cada vez más, se trata de lo segundo. La extorsión sin cifrado, en la que los atacantes roban datos y luego exigen un pago a cambio de no hacerlos públicos, es más rápida, más discreta y más rentable. Según Dragos, una empresa de ciberseguridad especializada en ataques a infraestructuras, informa de que este modelo de «extorsión pura basada en datos» está ganando terreno rápidamente, sobre todo en Europa.
Ataques al servicio de asistencia técnica: ¿qué sector será el siguiente?
Las empresas minoristas y las aseguradoras han sido los objetivos preferidos este año. Sin embargo, «Scattered Spider» sigue un patrón: ataca con fuerza a un sector y, a continuación, pasa a otro.
Se cree de forma generalizada que es el responsable de los 2023 ciberataques contra MGM Resorts International y Caesars Entertainment, en los que se utilizó el vishing para acceder a los sistemas corporativos e instalar ransomware. Las autoridades sospechan de que este grupo sea el responsable de una serie de ciberataques perpetrados este verano contra compañías aéreas. Este grupo es uno de los tres que, según , han reivindicado la autoría del devastador ciberataque perpetrado este mes contra Jaguar Land Rover, el cual provocó paradas en la producción a nivel mundial y pérdidas estimadas en cientos de millones de dólares. Además, un informe reciente de « » ( ), elaborado por ReliaQuest —una empresa especializada en análisis de amenazas — sugiere que los servicios financieros y el sector tecnológico podrían ser los próximos objetivos probables.
«Hay determinados sectores que corren un mayor riesgo», afirma Arda Büyükkaya, analista sénior de inteligencia sobre ciberamenazas de EclecticIQ. «El comercio minorista, el sector sanitario y otros sectores similares son especialmente vulnerables, ya que suelen contar con grandes servicios de asistencia técnica, entornos de trabajo de ritmo acelerado y procesos flexibles de verificación de identidad que los atacantes pueden aprovechar con mayor facilidad».
Metodología moderna: así es como funcionan los ataques al servicio de asistencia técnica
Los ciberdelincuentes recurren a LinkedIn, a las redes sociales y a las bases de datos de datos robados (bases de datos con nombres de usuario, contraseñas y otros datos personales sustraídos) para elaborar perfiles detallados de los empleados. A continuación, realizan una llamada de «vishing» al servicio de asistencia técnica, a menudo haciéndose pasar por un ejecutivo que se encuentra de viaje y que ha perdido el acceso a su teléfono y a su correo electrónico. Utilizan la jerga propia del sector y transmiten la urgencia justa para parecer creíbles. Algunos llegan incluso a suplantar los números de teléfono reales de la empresa o a registrar dominios de phishing, como «vpn-suempresa-servicio de asistencia.com».
«. Los servicios de asistencia técnica son objetivos atractivos y vulnerables porque su personal está capacitado para resolver problemas con rapidez.»Arda Büyükkaya, analista sénior de inteligencia sobre ciberamenazas de EclecticIQ
«Los servicios de asistencia técnica son objetivos atractivos y vulnerables porque su personal está capacitado para resolver problemas con rapidez, algo que los atacantes aprovechan creando situaciones urgentes y emotivas para presionarles a que eludan los protocolos de seguridad», afirma Büyükkaya. «Además, los servicios de asistencia técnica suelen tener acceso a funciones con un alto nivel de privilegios, como el restablecimiento de contraseñas y la autenticación multifactorial, lo que los convierte en puntos clave de control».
Ese acceso no siempre se utiliza con fines disruptivos. Cada vez más, se utiliza con fines de sigilo.
«El vishing facilita la extorsión pura y simple, ya que permite a los atacantes acceder de forma sigilosa a los sistemas sin necesidad de utilizar malware ni cifrado», afirma Büyükkaya. «En cambio, roban datos confidenci es y, a continuación, amenazan con divulgarlos a menos que se pague un rescate. «Este método supone un riesgo reducido para los atacantes, es rápido de ejecutar y, a menudo, pasa desapercibido hasta que se formula la demanda de extorsión».
Planificación de una respuesta ante los ataques al servicio de asistencia técnica
Entonces, ¿qué pueden hacer las empresas al respecto?
«[Empower workers to challenge anything] if they really feel that something is off, that a call is not legitimate, or that it doesn’t make sense.»Christopher Hadnagy, director ejecutivo de Social-Engineer
«Los equipos de seguridad pueden adoptar medidas inmediatas, como devolver siempre las llamadas a las personas utilizando números de contacto de confianza, implementar procesos de verificación en varios pasos en lugar de basarse únicamente en llamadas telefónicas y exigir frases de contraseña secretas para acciones que requieran privilegios elevados, como el restablecimiento de contraseñas», afirma Büyükkaya. «Además, deberían verificar las identidades mediante una cámara web o exigir una verificación presencial para las acciones de carácter sensible. «La formación periódica del personal del servicio de asistencia, incluidas las simulaciones de ingeniería social, y la aplicación de normas claras para rechazar las solicitudes urgentes o de alto riesgo son, asimismo, medidas fundamentales».
«Una de las defensas más eficaces consiste en formar a los empleados del servicio de asistencia técnica sobre los aspectos a los que deben prestar atención», afirmó Christopher Hadnagy, director ejecutivo de Social-Engineer, una empresa de consultoría y formación en materia de seguridad, en un seminario web reciente de . Las antiguas reglas generales, como confiar en las voces que conoce y desconfiar de las desconocidas o de aquellas con acento, ya no son válidas. La tecnología moderna de deepfake puede generar grabaciones muy convincentes, y las herramientas basadas en inteligencia artificial, como FraudGPT, pueden incluso hacer que cualquier acento suene como el de la zona, afirmó.
Büyükkaya afirma que parte de esa formación debería centrarse en enseñar a los empleados a identificar señales de alerta, como solicitudes urgentes que presionan al personal para que se salte los pasos de verificación, personas que llaman y que parecen tener un amplio conocimiento de los sistemas internos, solicitudes de restablecimiento de contraseñas o de la autenticación multifactorial (MFA) sin pruebas de respaldo, llamadas procedentes de números desconocidos o falsificados, y consultas realizadas a horas intempestivas o desde ubicaciones inusuales.
Otro tipo de «truco» del servicio de asistencia técnica: la sospecha de asistencia
La formación también debería centrarse en el empoderamiento.
Los empleados del servicio de asistencia deben saber que «si realmente tienen la sensación de que algo no cuadra, de que una llamada no es legítima o de que no tiene sentido», pueden cuestionarla, interrumpirla y denunciarla sin que ello les acarree consecuencias, incluso si se trata de su jefe o del director general, afirmó Hadnagy en el seminario web.
Hadnagy señaló un ejemplo de « 2024 » en el que un directivo de Ferrari recibió mensajes e incluso una llamada telefónica falsificada mediante deepfake de alguien que se hacía pasar por el director ejecutivo Benedetto Vigna. Con cierto recelo, el directivo pidió a la persona que llamaba que recordara un libro que Vigna le había recomendado recientemente. Cuando el impostor no supo qué responder, el intento se vino abajo rápidamente.
«Esa única pregunta salvó a Ferrari de una filtración de datos a gran escala», afirmó Hadnagy. «¿Y por qué? Porque el directivo no temía que, de haber cuestionado realmente al verdadero director general, hubiera sido amonestado, reprendido o humillado. «Se sintió empoderado al saber que tenía la capacidad de cuestionar a aquel hombre por teléfono, y eso impidió que se produjera la infracción».
Orientaciones del Gobierno y de otros expertos para empresas de EE. UU. y del Reino Unido
El Centro Nacional de Ciberseguridad (NCSC), que forma parte del Cuartel General de Comunicaciones del Gobierno británico (GCHQ), una organización de inteligencia y seguridad, también ha publicado unas directrices urgentes dirigidas a las empresas del Reino Unido para que revisen y refuercen sus protocolos de servicio de asistencia técnica.
En Estados Unidos, diversos ISAC del sector han publicado directrices igualmente útiles. Weiss, quien contribuyó a la creación del Centro de Inteligencia Cibernética de Citigroup, afirma que el modelo de intercambio de información sobre amenazas del sector financiero podría servir de modelo para los sectores minorista y sanitario.
«Habíamos integrado la información sobre amenazas en todos los ámbitos, desde la planificación estratégica hasta las operaciones en tiempo real», afirma. «Ese nivel de integración le permite adelantarse a lo que está por venir».
Aunque la biometría pueda estar perdiendo popularidad como método de verificación, el Sr. Weiss señala que la tecnología puede desempeñar un papel importante. «Existen tecnologías de reconocimiento de voz y de verificación del comportamiento que pueden detectar anomalías en tiempo real», afirma. «Soluciones como Clear están estudiando la posibilidad de realizar comprobaciones activas de que la persona está viva para confirmar su identidad». «Eso podría ser parte de la respuesta».
[Lea también: Un nuevo modelo descentralizado de ciberdefensa gana terreno en la UE]
Sin embargo, tanto él como Büyükkaya coinciden en cuál es la defensa más importante: la preparación.
«No se limite a entrenar una sola vez y pasar página», afirma Büyükkaya. «Realice ejercicios de entrenamiento. Exija el uso de frases de contraseña secretas. «Y deje claro que cualquier solicitud urgente es una señal de alerta, no una excusa para saltarse el protocolo».
En el panorama actual de amenazas, su mayor vulnerabilidad podría ser un empleado bienintencionado que simplemente intenta ayudar.
«Se lo repetimos constantemente a las empresas», afirma Weiss, «si no están probando de forma proactiva su servicio de asistencia técnica ni actualizando sus manuales de procedimientos, ya van con retraso».
