Cómo los Ciberdelincuentes Obtienen y Venden las Credenciales de Tus Usuarios

Las credenciales de cuenta, un vector de acceso inicial popular, se han convertido en una mercancía valiosa en el ciberdelito. Como resultado, un solo conjunto de credenciales robadas puede poner en riesgo toda la red de su organización.

Según el Informe de Investigación de Violaciones de Datos de Verizon de 2023, las partes externas fueron responsables del 83% de las violaciones entre noviembre de 2021 y octubre de 2022. El 49% de esas violaciones involucraron credenciales robadas.

¿Cómo comprometen las credenciales los actores de amenazas? La ingeniería social es una de las cinco principales amenazas de ciberseguridad en 2023. El phishing, que representa el % de los intentos de ingeniería social, es el método preferido para robar credenciales. Es una táctica relativamente económica que da resultados.

CON LA EVOLUCIÓN DEL PHISHING Y LA INGENIERÍA SOCIAL, LOS ACTORES DE AMENAZAS VAN MÁS ALLÁ DEL USO DE CORREOS ELECTRÓNICOS:

• Las campañas de phishing son ataques multiplataforma con múltiples etapas. Además de los correos electrónicos, los actores de amenazas utilizan mensajes de texto y correo de voz para dirigir a las víctimas a sitios web maliciosos, seguidos de una llamada telefónica de seguimiento para continuar el engaño.
• Los actores de amenazas están dirigidos activamente a dispositivos móviles. Las credenciales pueden comprometerse porque los usuarios pueden ser engañados por tácticas de ingeniería social en diferentes aplicaciones. La mitad de todos los dispositivos personales fueron expuestos a un ataque de phishing cada trimestre de 2022.
• La inteligencia artificial (IA) ha entrado en juego. La IA se utiliza para hacer que el contenido de phishing sea más creíble y ampliar el alcance de los ataques. Utilizando datos de investigación de víctimas, la IA puede crear mensajes de phishing personalizados y refinar esos mensajes para agregar una apariencia de legitimidad y obtener mejores resultados.

PHISHING COMO SERVICIO (PHAAS) ES EL CAMINO HACIA LAS CREDENCIALES ROBADAS:

• No se necesita mucho para comenzar a robar credenciales. El phishing se ha convertido en un buen negocio a medida que los actores de amenazas adoptan completamente el modelo de phishing como servicio (PhaaS) para externalizar su experiencia a otros. Con los kits de phishing que se venden en foros clandestinos, incluso los novatos sin habilidades para infiltrarse en sistemas de TI por sí mismos pueden tener la capacidad de lanzar un ataque.
• PhaaS opera como negocios SaaS legítimos. Hay modelos de suscripción para elegir y se requiere la compra de una licencia para que los kits funcionen.

HERRAMIENTAS AVANZADAS DE PHISHING UTILIZADAS PARA ATACAR CUENTAS DE MICROSOFT 365:

• W3LL’s BEC phishing ecosistema expuesto: Durante los últimos seis años, el actor de amenazas W3LL ha estado ofreciendo su kit de phishing personalizado, el Panel W3LL, en su mercado clandestino, la Tienda W3LL. Este kit fue creado para eludir la autenticación de múltiples factores (MFA) y es una de las herramientas de phishing más avanzadas en el mercado clandestino. Entre octubre de 2022 y julio de 2023, la herramienta se utilizó para infiltrarse con éxito en al menos 8,000 de las 56,000 cuentas de correo electrónico empresariales de Microsoft 365 que fueron objetivo. W3LL también vende otros activos, como listas de correos electrónicos de víctimas, cuentas de correo electrónico comprometidas, cuentas de VPN, sitios web y servicios comprometidos, y señuelos de phishing personalizados. Se estima que los ingresos de la Tienda W3LL en los últimos 10 meses fueron de hasta $500,000.
• Greatness phishing kit simplifica BEC: Greatness ha estado en circulación desde noviembre de 2022 con aumentos bruscos en actividad durante diciembre de 2022 y nuevamente en marzo de 2023. Además de la integración del bot de Telegram y el filtrado de IP, Greatness incorpora la capacidad de eludir la autenticación de múltiples factores, al igual que el Panel W3LL. El primer contacto se realiza con un correo electrónico de phishing que redirige a la víctima a una página de inicio de sesión falsa de Microsoft 365 donde la dirección de correo electrónico de la víctima ha sido prellenada. Cuando la víctima ingresa su contraseña, Greatness se conecta a Microsoft 365 y elude el MFA al pedir a la víctima que envíe el código MFA en la página señuelo. Ese código se envía luego al canal de Telegram para que el actor de amenazas lo use y acceda a la cuenta auténtica. El kit de phishing Greatness solo puede implementarse y configurarse con una clave de API.

EL MERCADO CLANDESTINO DE CREDENCIALES ROBADAS:

• En 2022, había más de 24 mil millones de credenciales en venta en la Dark Web, un aumento desde 2020. El precio de las credenciales robadas varía según el tipo de cuenta. Por ejemplo, las credenciales de nube robadas tienen un precio similar al de una docena de donas, mientras que las credenciales de inicio de sesión de la cuenta bancaria ING se venden por $4,255.
• El acceso a estos foros clandestinos puede ser difícil, con algunas operaciones que requieren verificación o tarifas de membresía. En algunos casos, como con la Tienda