Autora : Katie Boquetti | Edición : Craig Taylor
En CyberHoot sabíamos desde hace tiempo que la programación basada en IA (a veces llamada programación intuitiva) abriría más puertas al hacking de las que deseábamos. Este malware MDM corporativo parece haber sido programado con IA por los atacantes, dado el número de errores encontrados en el producto final. El uso de herramientas de programación con IA implica varias posibilidades: los hackers tenían prisa y poco tiempo para realizar pruebas, no tenían los conocimientos técnicos suficientes para probarlas correctamente, o quizás eran novatos en programación en general (posiblemente programación intuitiva ). Si bien se desconoce la causa de los errores, lo que sí está claro es el objetivo específico de los atacantes: atacar a empresas de logística para robar mensajes de texto (incluidos códigos MFA por SMS), desviar llamadas telefónicas y comprometer dispositivos. Estos datos robados pueden ayudar a los atacantes a robar su carga, su dinero y su reputación. Estos atacantes también alojaron páginas web de inicio de sesión falsas que permitían a los usuarios introducir códigos de autenticación, lo que facilitaba el robo. Esa es otra razón por la que me entusiasma tanto un método de autenticación multifactor más resistente llamado claves de acceso , ya que estas no tendrían ningún valor en páginas de inicio de sesión de sitios web falsos.
El artículo del blog de esta semana contiene mensajes sencillos y claros que puedes compartir con tu equipo: nunca instales aplicaciones de fuentes externas, adopta métodos de autenticación multifactor robustos y enseña al personal cómo informar rápidamente sobre posibles ataques como este para que se pueda dar la voz de alarma y compartir los detalles con todos los miembros del personal.
— Craig
Los equipos de logística mantienen camiones, barcos y envíos en movimiento con plazos ajustados, y una nueva campaña de spyware para Android intenta aprovecharse de esos días de mucho trabajo. Investigadores de seguridad de Have I Been Squatted descubrieron una aplicación maliciosa llamada Corp MDM , que simula ser un software de gestión de dispositivos de la empresa. Una vez instalada mediante carga lateral , copia nuevos mensajes de texto y reenvía llamadas telefónicas a delincuentes. La buena noticia es que unos sencillos hábitos detienen este ataque antes de que comience, y no se necesita un gran presupuesto de seguridad para implementarlos.
Los delincuentes crearon páginas falsas de Google Play utilizando los nombres y la imagen corporativa de dos empresas de logística reales: CEVA Logistics y TKW Logistics. Los empleados que visitan estas páginas ven una aplicación llamada Corp MDM, cuyo nombre imita el software de gestión de dispositivos que muchas empresas solicitan a sus empleados que instalen en los teléfonos de trabajo. Dado que el archivo no proviene de la tienda oficial de Google Play, la víctima debe instalarlo manualmente, un proceso conocido como instalación lateral (lo cual genera mucha desconfianza). Tras la instalación, la aplicación solicita permiso para leer mensajes de texto, gestionar llamadas y mostrar notificaciones. Luego, oculta su icono de la pantalla de inicio y continúa ejecutándose en segundo plano. Consejo : Las aplicaciones reales de las empresas se obtienen a través de las tiendas de aplicaciones oficiales o de su contacto de TI, por lo que un enlace a una página de descarga especial es una señal de alerta para que se detenga y pregunte antes de instalar cualquier cosa.
Corp MDM se conecta con el servidor del atacante cada 30 segundos y espera órdenes. La aplicación envía cada nuevo mensaje de texto entrante al delincuente, incluyendo quién lo envió, su contenido y la hora de llegada. Activa el desvío de llamadas, por lo que todas las llamadas entrantes suenan en el teléfono del atacante en lugar del tuyo. También se autoelimina a petición para borrar las pruebas. Una buena noticia es que el malware solo captura los mensajes de texto que llegan después de la instalación, por lo que tus mensajes antiguos permanecen privados. Los investigadores también encontraron varios errores en el código y creen que el autor del malware probablemente utilizó herramientas de IA para escribirlo. Incluso los delincuentes distribuyen software defectuoso. Su código, aunque poco eficiente, sigue funcionando lo suficientemente bien como para robar mensajes, por lo que cualquier aplicación que solicite leer tus mensajes de texto y gestionar tus llamadas merece una segunda revisión antes de pulsar Permitir.
Muchos bancos, proveedores de correo electrónico y aplicaciones empresariales siguen enviando códigos de un solo uso por SMS. Los códigos de restablecimiento de contraseña y recuperación de cuenta suelen llegar de la misma forma. Cuando un delincuente lee esos mensajes, una contraseña robada se convierte en el control total de la cuenta. El desvío de llamadas añade otra vía de acceso, ya que algunos servicios verifican la identidad mediante una llamada telefónica automatizada. En logística, los SMS también incluyen detalles de envío y entrega, lo que ayuda a los delincuentes a redirigir facturas o robar mercancías. Consejo: Los códigos por SMS son mejores que no tener un segundo paso al iniciar sesión, pero cambiar a una aplicación de autenticación o usar una clave de acceso ofrece mayor protección contra este tipo de engaños.
El mismo servidor que alberga Corp MDM también aloja páginas de inicio de sesión falsas y malware para Windows dirigido al sector logístico. Los investigadores detectan indicios de una conexión armenia o rusa, aunque nadie ha confirmado quién dirige la operación. A finales de 2025, Proofpoint informó que delincuentes instalaban herramientas de acceso remoto en empresas de transporte para robar mercancías. A principios de 2026, los investigadores describieron un grupo llamado Diesel Vortex, que utilizó un servicio de phishing llamado MC Profit Always para robar más de 1,600 credenciales de acceso del sector. El objetivo en cada caso era el dinero, mediante facturas redirigidas, intermediarios falsos y robo de mercancías. El sector logístico atrae a los delincuentes porque el movimiento de dinero y mercancías implica la circulación de objetos, y conocer esta realidad ayuda a los equipos a detectar las estafas con mayor rapidez.
Empiece por capacitar a su equipo sobre el origen de las aplicaciones reales de la empresa. Un mensaje breve como «Nunca le enviaremos un enlace para instalar software de trabajo» establece una regla clara que todos recuerdan. A continuación, desactive las instalaciones de fuentes desconocidas en los teléfonos Android de la empresa, opción que suele estar disponible en la configuración de Seguridad o Aplicaciones. Si ya utiliza una herramienta de administración de dispositivos móviles, verifique si existe una opción para bloquear las instalaciones de fuentes desconocidas para todos. Luego, cambie sus cuentas más importantes, comenzando con el correo electrónico y la banca, de códigos de mensajes de texto a claves de acceso (o, si no dispone de claves de acceso, a una aplicación de autenticación ) o a un token de hardware. Finalmente, pregunte a su operador de telefonía móvil cómo confirmar que el desvío de llamadas está desactivado y revise los permisos de las aplicaciones una vez al mes para detectar cualquier aplicación que lea mensajes de texto o administre llamadas sin una razón clara.
Elige un hábito de este artículo y ponlo en práctica esta semana. Comparte la regla de usar solo aplicaciones oficiales con tu equipo en la próxima reunión, o cambia el acceso a las cuentas de correo electrónico de tu empresa a (1) claves de acceso o (2) aplicaciones de autenticación. Los pequeños pasos suman, y cada decisión más segura que tomes hoy te coloca por delante de ayer. Los videos de capacitación cortos y amigables de CyberHoot, junto con las simulaciones de phishing, ayudan a todo tu equipo a desarrollar estos hábitos sin miedo ni vergüenza. ¡Ríete, aprende y únete a CyberHoot!
P: ¿Qué es MDM corporativo?
A: Corp MDM es un programa espía para Android disfrazado de software de gestión de dispositivos de la empresa. Copia los mensajes de texto nuevos y desvía las llamadas telefónicas a delincuentes.
P: ¿A quiénes tienen como objetivo los atacantes?
A: Empleados de empresas de logística y transporte de mercancías. Las páginas de descarga fraudulentas utilizan los nombres de CEVA Logistics y TKW Logistics.
P: ¿Aparece Corp MDM en la tienda oficial de Google Play?
A: No. Los delincuentes la alojan en páginas falsas de Google Play, y las víctimas deben instalarla manualmente. Utilice una solución MDM real para bloquear las instalaciones de aplicaciones desconocidas y detener este ataque. ¿No tiene MDM? Indique a su personal que pulse Cancelar en cualquier aviso de «Instalar aplicaciones desconocidas».
P: ¿Por qué los delincuentes quieren mis mensajes de texto?
A: Muchos servicios envían códigos de acceso, restablecimiento de contraseña y recuperación por mensaje de texto. Leer esos mensajes permite a un delincuente tomar el control de las cuentas protegidas por dichos códigos.
P: ¿Cómo puedo comprobar si mi teléfono está infectado?
A: Busca alguna aplicación que no reconozcas con permiso para leer mensajes de texto y gestionar llamadas, una notificación en segundo plano que nunca configuraste o llamadas que dejan de llegarte. Nota: Esta aplicación oculta su icono, así que revisa Ajustes > Aplicaciones. Si algo parece estar mal, avisa a tu contacto de TI, desinstala la aplicación, desactiva el desvío de llamadas (en la mayoría de las operadoras, marcar *#21# lo comprueba y ##21# lo desactiva, pero consulta con tu operadora para asegurarte) y cambia las contraseñas de las cuentas mediante códigos de SMS. Informar a tiempo protege a todo tu equipo, y no hay nada de malo en pedir ayuda.
The Hacker News: Un programa espía de MDM corporativo ataca a empresas de logística, roba nuevos SMS y redirige llamadas.
Descubra y comparta las últimas tendencias, consejos y mejores prácticas en ciberseguridad, junto con nuevas amenazas a las que debe prestar atención.
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Incluso antes de que Claude Code hiciera...
LEER MÁS
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Lo sabemos desde hace tiempo...
LEER MÁS
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Un CAPTCHA debería comprobar si...
LEER MÁSObtenga una visión más clara de los riesgos humanos, con un enfoque positivo que supera las pruebas de phishing tradicionales.
