Vishing, una amenaza en la que no has pensado

La COVID-19 sigue obligando a las empresas a prestar sus servicios de forma remota. Una amenaza creciente, quizás desconocida para algunos lectores, es el vishing . El vishing es una técnica de piratería informática que consiste en llamadas telefónicas y mensajes de voz que simulan provenir de empresas de renombre, convenciendo a las personas para que revelen información personal, como números de cuenta bancaria o de tarjeta de crédito, u otra información personal no pública. Es similar al phishing y al smishing , pero utiliza sistemas telefónicos y correo de voz en lugar de correo electrónico.

El vishing está en aumento

El FBI y la Agencia de Seguridad de Infraestructura Cibernética de EE. UU. (CISA) anunciaron recientemente una alerta conjunta sobre ciberseguridad para advertir a los empleadores sobre el aumento de las estafas de suplantación de identidad por voz, o "vishing", dirigidas a trabajadores remotos. Hasta hace poco, el vishing se dirigía a poblaciones vulnerables, como las personas mayores; sin embargo, el reciente cambio a entornos de trabajo remoto ha envalentonado a los ciberdelincuentes, permitiéndoles aprovecharse de la debilidad de los protocolos de seguridad y del aislamiento de la fuerza laboral. En estos ataques, las víctimas reciben llamadas telefónicas solicitando información bancaria o de tarjetas de crédito de una cuenta "comprometida", llamadas del "IRS" para verificar el número de la Seguridad Social de una persona, o estafas dirigidas a Medicare y la Seguridad Social.

Recientemente, las estafas de vishing han evolucionado hasta convertirse en campañas coordinadas y sofisticadas cuyo objetivo es obtener información confidencial, propiedad intelectual y secretos comerciales de una empresa. Los hackers acceden a esta valiosa información a través de la red privada virtual (VPN) de la empresa, explotando a sus propios empleados que trabajan de forma remota. Las VPN se utilizan ampliamente en entornos de trabajo remoto para acceder a recursos corporativos que se encuentran en las instalaciones de la empresa, en lugar de en la nube. Si bien esta infraestructura tradicional y el acceso remoto a través de una VPN suelen estar fuertemente protegidos, los hackers han encontrado maneras ingeniosas de eludir estas medidas de seguridad.

La anatomía de un sofisticado ataque de vishing

Según el informe del FBI y la CISA , estas estafas de vishing siguen una serie de acciones comunes:

Fase 1: Reconocimiento

Los piratas informáticos seleccionan una empresa objetivo y comienzan a investigar exhaustivamente su fuerza laboral. 

• Los atacantes compilan “expedientes” sobre las víctimas empleadas basándose en el “scraping” de sus cuentas de redes sociales.
• A partir de los perfiles públicos de redes sociales de un empleado (es decir, LinkedIn y Facebook), los piratas informáticos crean expedientes que incluyen el nombre del empleado, la ubicación, el lugar de trabajo, el puesto y la duración del empleo.
• A veces, los empleados tienen perfiles públicos con mucha más información, incluida la dirección de su domicilio, pasatiempos, membresías en grupos, artículos vendidos en Craigslist, Facebook Marketplace y eBay.

Fase 2: Construcción de la trampa

A continuación, los piratas informáticos registran un dominio y crean páginas web de phishing que duplican la página de inicio de sesión de VPN interna de una empresa.

• Los piratas informáticos crean páginas web VPN similares, diseñadas para capturar la contraseña de un empleado y la información más importante. autenticación de dos factores simbólico.

Esto permite a un pirata informático eludir rápidamente estas fuertes protecciones e ingresar rápidamente a la VPN de una empresa y potencialmente acceder a sus datos sensibles y confidenciales.

Fase 3: Ejecución de la trampa

Los hackers contactan a los empleados a través de sus teléfonos personales haciéndose pasar por técnicos de TI o empleados del Help Desk con un grave problema de seguridad. La reacción del empleado lleva a una escalada de tono y a una mayor importancia de «proteger los recursos de la empresa de los atacantes».

• Los piratas informáticos se ganan la confianza de los empleados aprovechando la información compilada en el “dossier” de cada empleado, recopilada en la fase de reconocimiento, para convencer al empleado de que necesita iniciar sesión en un nuevo enlace VPN para recibir una actualización o un parche crítico al que de otro modo no podría acceder desde los servidores corporativos.
• Los piratas informáticos envían al empleado un enlace a una página VPN falsa, que parece idéntica al sitio de inicio de sesión de VPN de la propia empresa, y en la que los empleados deben ingresar sus credenciales e iniciar sesión.

Los piratas informáticos ahora tienen el conjunto completo de credenciales del empleado.

Fase 4: Extracción de la miel (datos corporativos)

Los piratas informáticos utilizan este acceso VPN temporal y por tiempo limitado para extraer datos de las bases de datos, registros y archivos de la empresa para ver y exfiltrar (robar) información de la empresa y mejorar sus amenazas de ransomware al atacar la confidencialidad de sus datos por encima de su disponibilidad.

• • En los ataques de ransomware modernos, los hackers amenazan con divulgar su información confidencial a la red pública, poniendo en riesgo la exposición pública de los datos críticos de su empresa. Esto explica la reciente oleada de ataques al sector sanitario, en los que los hackers amenazaron con divulgar historiales médicos a la red pública.

La información confidencial de la empresa está en juego, lo que genera costos de rescate sustanciales, honorarios y costos forenses, daños a la reputación de empleados y clientes y una responsabilidad potencialmente significativa por violaciones de seguridad.

¿Qué debe hacer para protegerse?

Es fundamental que las empresas colaboren con su personal para ayudarles a ampliar sus conocimientos de ciberseguridad y así estar preparados ante ataques como estos. CyberHoot recomienda:

• Capacite a sus empleados sobre cómo detectar y evitar ataques de vishing y otras amenazas;
• Asegurar un pago servicio de bloqueo de llamadas automáticas;
• emplear el principio de menor privilegio e implementar políticas de restricción de software;
  • • Monitoreo de accesos y usos de usuarios autorizados;
• Implementar un autenticación de dos factores proceso para comunicaciones críticas entre empleados o incluso entre empleados y clientes (como cuando llama a su banco);
  • El segundo factor se utiliza para autenticar la llamada telefónica antes de que se pueda discutir información confidencial;

• Restrinja las conexiones VPN únicamente a los dispositivos administrados por la empresa. Utilice mecanismos como comprobaciones de hardware, certificados VPN instalados y temporizadores de actividad que se reinician tras un periodo de 2 a 3 horas, lo que requiere que los empleados se autentiquen periódicamente.
• Restringir las VPN de las siguientes maneras:
  • Limitar los horarios de acceso permitidos al horario comercial;
  • Habilitar filtros de geolocalización que bloquean todo acceso desde países y ubicaciones extranjeras;
  • Exigir una autenticación fuerte de dos factores y dispositivos de la empresa al conectarse;
• Utilizar la monitorización de dominios para rastrear la creación o los cambios en dominios corporativos y de marca;
• Escanee y monitoree activamente las aplicaciones web para detectar accesos no autorizados, modificaciones y actividades anómalas.

Conclusiones

Es mejor mantenerse a la vanguardia y estar al tanto de las nuevas amenazas de ciberseguridad para su empresa y de las medidas que debe tomar para protegerla. Trabaje con CyberHoot hoy mismo para ayudar a su empresa a ser más consciente y segura mediante capacitación, gobernanza de políticas y pruebas de phishing. 

Para obtener más información sobre Vishing, mire este breve video:

Fuentes: BusinessWise , CBROnline , Lexology

Lectura adicional: Vishing – Término de CyberHoot