UNC6671: La nueva ola de vishing que amenaza a las empresas

Contexto y antecedentes

En los últimos meses, el grupo de cibercriminales conocido como UNC6671 ha intensificado su campaña de ataques de voz phishing, o vishing, dirigiéndose a empleados de empresas del sector financiero, capital privado y servicios profesionales. Este enfoque no es novedoso, pero su ejecución ha evolucionado con el tiempo, adaptándose a las nuevas tecnologías y metodologías de trabajo. La pandemia de COVID-19, que impulsó el teletrabajo, ha creado un entorno propicio para que los atacantes encuentren vulnerabilidades en las redes corporativas y los dispositivos personales de los empleados.

Históricamente, el vishing ha sido utilizado por grupos de amenazas avanzadas para engañar a sus objetivos y obtener información sensible. A diferencia de los ataques de phishing tradicionales, que utilizan correos electrónicos fraudulentos, el vishing se enfoca en comunicarse directamente con la víctima a través de llamadas telefónicas. Este método ha mostrado ser particularmente efectivo, ya que los individuos son más propensos a confiar en una voz humana que en un correo electrónico que podría ser fácilmente rechazado como spam.

Recientemente, se ha observado un aumento en la sofisticación de estos ataques. UNC6671 ha estado contactando a empleados haciéndose pasar por personal del servicio de soporte técnico, alegando que se están llevando a cabo migraciones de seguridad urgentes. La combinación de urgencia y autoridad en la voz hace que las víctimas sean más susceptibles a revelar información sensible, lo que plantea un grave riesgo para las organizaciones afectadas y sus datos críticos.

Análisis técnico detallado

El ataque de UNC6671 se basa en la manipulación social, un enfoque que explota la confianza de los usuarios. Los atacantes utilizan técnicas de ingeniería social para crear un escenario creíble, a menudo haciendo uso de información preexistente sobre la empresa y sus empleados. Esto incluye detalles como nombre, cargo y, en ocasiones, información sobre proyectos o sistemas específicos, que obtienen a través de filtraciones de datos o redes sociales.

Una vez que el atacante ha establecido credibilidad, generalmente solicita que el empleado realice ciertos pasos que pueden incluir proporcionar credenciales de acceso, descargar software malicioso o incluso realizar pagos fraudulentos. En muchos casos, los atacantes instruyen a las víctimas para que se conecten a un sistema o servidor controlado por ellos, donde pueden robar información en tiempo real.

Además, el uso de herramientas de spoofing les permite falsificar el número de teléfono desde el cual realizan la llamada, haciendo que parezca que proviene de una línea legítima de la empresa o de un proveedor de servicios. Esto dificulta aún más la detección del fraude, ya que las víctimas confían en que están hablando con una fuente oficial y legítima.

Impacto real y alcance

El impacto de los ataques de UNC6671 se ha sentido en múltiples sectores, particularmente en el ámbito de los servicios financieros, donde la información robada puede ser utilizada para llevar a cabo fraudes aún mayores. Hasta la fecha, se estima que cientos de empleados han sido contactados, y decenas han sucumbido a las tácticas de los atacantes, comprometiendo información sensible.

Este tipo de incidentes no es nuevo; en 2020, un ataque de vishing dirigido a ejecutivos de alto nivel resultó en la pérdida de millones de dólares en una importante firma de capital riesgo. La diferencia en este caso radica en la meta de UNC6671, que parece centrarse más en la extorsión de datos que en el fraude financiero directo. Esto plantea un nuevo conjunto de desafíos para las organizaciones, ya que deben lidiar no solo con la posible pérdida de fondos, sino también con la exposición y el compromiso de datos críticos.

Vectores de ataque y metodología

• Investigación previa: Los atacantes recopilan información sobre la víctima y la empresa.
• Suplantación de identidad: Utilizan tecnología de spoofing para disfrazar su número como uno legítimo.
• Primera llamada: Contactan a la víctima haciéndose pasar por personal del soporte técnico.
• Creación de urgencia: Informan sobre una migración de seguridad urgente, generando presión para actuar rápidamente.
• Extracción de información: Piden credenciales de acceso o solicitan que se conecten a un sistema falso.

Recomendaciones de mitigación

• Capacitación de empleados: Implementar programas de concienciación sobre seguridad que incluyan tácticas de vishing y cómo identificarlas.
• Verificación de identidad: Establecer procedimientos de verificación para cualquier solicitud de información sensible recibida por teléfono.
• Uso de autenticación multifactor: Asegurarse de que las cuentas críticas estén protegidas con múltiples capas de autenticación.
• Monitoreo constante: Implementar sistemas de monitoreo que detecten comportamientos inusuales en las cuentas de los empleados.
• Colaboración con proveedores: Trabajar con proveedores de telecomunicaciones para identificar y bloquear números de teléfono fraudulentos.

Conclusión

El aumento de los ataques de vishing por parte de grupos como UNC6671 subraya la necesidad urgente de que las organizaciones implementen medidas robustas de ciberseguridad. La combinación de ingeniería social y tecnología de suplantación hace que estos ataques sean cada vez más difíciles de detectar, lo que requiere un enfoque proactivo y educativo para mitigar los riesgos. Las empresas deben reconocer que la seguridad no es solo una cuestión de tecnología, sino también de crear una cultura organizacional que priorice la defensa contra amenazas emergentes.

En un mundo donde la digitalización continúa avanzando, la ciberseguridad debe ser considerada como un componente integral de la estrategia empresarial. La educación y la preparación son clave para proteger no solo a las organizaciones, sino también a sus empleados y clientes frente a las crecientes tácticas de los cibercriminales.

Fuente original: thehackernews.com