Los ataques de phishing con tem谩tica de claves de acceso se est谩n utilizando para comprometer las cuentas de Microsoft 365. He aqu铆 por qu茅 las organizaciones necesitan protecci贸n de identidad, detecci贸n de robo de cuentas y visibilidad posterior al inicio de sesi贸n para detener a los atacantes tras el acceso inicial.
El phishing mediante clave de acceso es una t谩ctica de ingenier铆a social en la que los atacantes utilizan claves de acceso, autenticaci贸n multifactor (MFA) o actualizaciones de inicio de sesi贸n 煤nico como se帽uelo para enga帽ar a los usuarios y conseguir que concedan acceso o cambien la configuraci贸n de autenticaci贸n.
Seg煤n una investigaci贸n reciente de Microsoft Security Research , ciberdelincuentes se han hecho pasar por personal de soporte t茅cnico y se han puesto en contacto directamente con los empleados mediante llamadas telef贸nicas y mensajes de texto. El mensaje es sencillo: Su clave de acceso, la autenticaci贸n multifactor o la configuraci贸n de inicio de sesi贸n 煤nico necesitan actualizarse. Siga estas instrucciones ahora o corre el riesgo de perder el acceso.
Suena rutinario. Y precisamente por eso funciona. Una vez que el usuario cae en la trampa, las cosas pueden descontrolarse r谩pidamente.
驴Qu茅 ocurre despu茅s de que un ataque de phishing con clave de acceso tenga 茅xito?
Lo primero que llama la atenci贸n en la investigaci贸n de Microsoft es que los atacantes no estaban realmente interesados en las claves de acceso. Estas solo eran un se帽uelo. El verdadero objetivo era acceder a las cuentas de Microsoft 365. Una vez que lo consiguieron, la campa帽a se diferenci贸 mucho de un ataque de phishing tradicional.
Los atacantes a帽adieron m茅todos de autenticaci贸n que controlaban. Exploraron el entorno de Microsoft 365. Identificaron informaci贸n valiosa. Luego comenzaron a recopilarla. En algunos casos, esta actividad se prolong贸 durante d铆as.
Eso es lo que hace que esta campa帽a sea importante. El compromiso no fue el evento en s铆, sino el comienzo.
驴Por qu茅 los atacantes se centran en la persistencia tras una brecha de seguridad en Microsoft 365?
Aqu铆 es donde las cosas se complican para los defensores. Microsoft observ贸 que los atacantes utilizaban Microsoft Graph, SharePoint, OneDrive, Exchange Online y otros servicios leg铆timos de Microsoft 365. Ninguna de estas actividades es inusual en s铆 misma. Los empleados buscan archivos, acceden a SharePoint, leen correos electr贸nicos y utilizan aplicaciones empresariales. A simple vista, gran parte de la actividad de los atacantes parec铆a id茅ntica.
El peligro solo se hizo evidente cuando se conectaron esos eventos. Tras un inicio de sesi贸n exitoso, se realizaron cambios en la autenticaci贸n multifactor (MFA). Estos cambios fueron seguidos por un reconocimiento del inquilino. El reconocimiento fue seguido por el acceso al buz贸n de correo y la recopilaci贸n de archivos.
Considerados individualmente, estos eventos parec铆an normales. Vistos en conjunto, revelaron un ataque que se propagaba a trav茅s del entorno.
驴Por qu茅 el robo de identidad se considera un incidente de seguridad en la nube?
Durante a帽os, las conversaciones sobre seguridad del correo electr贸nico se centraron en evitar que los mensajes maliciosos llegaran a las bandejas de entrada. Eso sigue siendo importante, pero ataques como este ponen de manifiesto un desaf铆o mucho mayor.
Una vez que los atacantes obtienen acceso a una identidad de Microsoft 365, ya no se limitan a atacar el correo electr贸nico. Su objetivo son las herramientas de colaboraci贸n, el almacenamiento en la nube, las comunicaciones internas, los procesos de negocio y el conocimiento organizacional.
En ese punto, te enfrentas a mucho m谩s que un simple ataque de phishing. Te enfrentas a un incidente de seguridad en la nube.
La seguridad se convierte en un problema diferente despu茅s de la autenticaci贸n.
La investigaci贸n de Microsoft refuerza una idea que muchos equipos de seguridad ya observan en la pr谩ctica: los controles de identidad robustos siguen siendo esenciales. Tecnolog铆as como las claves de acceso, Microsoft Entra, el acceso condicional, Microsoft Defender y Exchange Online Protection proporcionan una base s贸lida para proteger los entornos de Microsoft 365.
Pero el desaf铆o cambia tras la autenticaci贸n. Las preguntas clave son: 驴Ha comenzado una cuenta comprometida a enviar mensajes sospechosos? 驴Se ha a帽adido un nuevo m茅todo de autenticaci贸n? 驴Se est谩 produciendo alguna actividad inusual en el buz贸n de correo? 驴Ha comenzado alguien a recopilar archivos de SharePoint o OneDrive sin que se den cuenta?
Estas son las se帽ales que suelen aparecer m谩s adelante en el ciclo de vida del ataque. Tambi茅n explican por qu茅 muchas organizaciones est谩n haciendo mayor hincapi茅 en la detecci贸n de robo de cuentas, la remediaci贸n continua y la seguridad posterior a la entrega , junto con los controles de prevenci贸n tradicionales.
El objetivo no es simplemente bloquear las amenazas en la puerta principal. Se trata de comprender qu茅 sucede si una logra entrar.
驴C贸mo pueden los equipos de seguridad detectar los ataques posteriores al inicio de sesi贸n?
Quiz谩s la lecci贸n m谩s importante de esta campa帽a es que nadie habr铆a comprendido el ataque analizando un solo evento. Ni el inicio de sesi贸n. Ni el registro de MFA. Ni la actividad del buz贸n de correo. Ni el acceso a SharePoint. Ni las solicitudes de Microsoft Graph.
Microsoft se帽al贸 espec铆ficamente que la actividad de Graph debe evaluarse mediante la progresi贸n del comportamiento y la correlaci贸n entre eventos, en lugar de solicitudes individuales aisladas. Esta observaci贸n es v谩lida mucho m谩s all谩 de esta campa帽a. Los ataques modernos rara vez se limitan a un solo lugar. Se propagan a trav茅s de identidades, buzones de correo, aplicaciones, servicios en la nube y datos.
El reto consiste en conectar esas se帽ales antes de que el atacante tenga tiempo de lograr su objetivo.
驴Qu茅 deber铆an aprender las organizaciones de los ataques de phishing con claves de acceso?
Ser铆a f谩cil leer esta historia y concluir que trata sobre contrase帽as. Pero no es as铆. Las contrase帽as siguen siendo una de las tecnolog铆as de autenticaci贸n m谩s seguras disponibles.
La lecci贸n m谩s importante es que los atacantes siguen buscando maneras de sortear los controles de seguridad explotando algo mucho m谩s dif铆cil de defender que la tecnolog铆a: la confianza. Y una vez que entran, suelen ser pacientes.
Para las organizaciones que utilizan Microsoft 365, unos controles de identidad s贸lidos son solo una parte de la soluci贸n. Ataques como este ponen de manifiesto la importancia de detectar r谩pidamente las cuentas comprometidas, mitigar continuamente las amenazas emergentes y conectar la actividad entre identidades, correo electr贸nico, servicios en la nube y datos.
Porque el verdadero riesgo no reside en la concesi贸n inicial, sino en todo lo que sucede despu茅s.
Filtrado de contenido
Deja tu comentario