Cómo es la nueva estafa del mail trucho que está vaciando empresas: ya se robaron casi u$s 3.000 millones

Un reciente informe da cuenta de cómo vienen avanzando las nuevas amenazas informáticos a través de correos electrónicos. Se calculan casi u$s 3.000 millones en pérdidas.

Las estafas y los ataques informáticos vienen creciendo en todo el mundo. En efecto, apenas un 15% de las empresas de todo el mundo están preparadas para afrontar los riesgos de ciberseguridad actuales, según el primer Índice de Preparación para la Ciberseguridad de Cisco. El caso de Argentina no difiere del escenario global: según la Unidad Fiscal Especializada en Ciberdelincuencia (UFECI), los fraudes bancarios crecieron un 3000% entre 2020 y 2021.

Ahora, en un reciente informe, Microsoft da cuenta de un aumento en la actividad cibercriminal en torno al compromiso del correo electrónico empresarial (BEC, por sus siglas en inglés). Microsoft ha observado un aumento del 38 por ciento en el cibercrimen como servicio dirigido al correo electrónico empresarial entre 2019 y 2022. Según datos del FBI, las pérdidas por esta modalidad de ciberataque rondarían los u$s 2.700 millones. Esto supone unas pérdidas casi 80 veces mayores que las del ransomware ya que cada incidente BEC puede costarle a la empresa afectada unos u$s 124.000.

Viejos ataques, nuevos métodos

A diferencia de otros ataques informáticos, que buscan aprovecharse de vulnerabilidades en los sistemas (como falta de actualización en los parches de seguridad) los ataques BEC explotan el tráfico de correo electrónico y otros mensajes para atraer a las víctimas a proporcionar información financiera o tomar medidas directas, tales como enviar fondos sin saberlo a cuentas de mulas de dinero que ayudan a los delincuentes a realizar transferencias de dinero fraudulentas.

Según los datos de la empresa, se observa una tendencia significativa en el uso de plataformas como BulletProftLink para estos ataques.  Se trata de un servicio para crear campañas de correo malicioso a escala industrial, que vende un servicio de extremo a extremo que incluye plantillas, alojamiento y servicios automatizados para BEC. Los adversarios que utilizan este CaaS (contenedores como servicio, por sus siglas en inglés) también reciben direcciones IP para ayudar a guiar la orientación BEC.

Es decir, si bien se trata de campañas de phishing en el sentido tradicional, ahora los atacantes están aprovechando cada vez más las herramientas de la automatización para realizar las campañas de ataque con más eficiencia.

Los ataques BEC pueden tomar distintas formas. Por caso, en el ataque de suplantación de la identidad de un abogado se busca a empleados recién contratados. En este ataque, el hacker se hace pasar por un abogado o un miembro del equipo jurídico y presiona o manipula al empleado para que realice una acción, como enviar datos o solicitar una transferencia bancaria. También puede tomar la forma de suplantación de identidad de un CEO u otro alto cargo dentro de la organización.

Aunque también puede darse el ataque de robo de datos, lo más habitual es que el atacante se centre en los miembros del equipo de Recursos Humanos o Finanzas e intente robar información personal sobre los empleados o clientes de la empresa.

Finalmente, también puede tomar la forma de un supuesto pago pendiente. El atacante se hace pasar por un proveedor y solicita el pago de un empleado por un servicio. En la mayoría de los casos, el atacante se presentará como un proveedor real y editará una plantilla de factura de proveedor oficial.