Se informó que algunos criminales hackearon cuentas de Microsoft, para acceder a datos de nivel corporativo, sin la necesidad de conocer las contraseñas de las víctimas. Estos ataques permiten a los delincuentes entrar a los correos, archivos de OneDrive y charlas en Teams.
Al menos, así lo dio a conocer Kaspersky y dicho hallazgo se suma a otras campañas en las que los atacantes abusan de otros servicios legítimos. Como lo son Google Tasks y Forms, así como Bubble y Amazon Simple Email Service, para distribuir engaños que son más creíbles.
“Lo más preocupante de esta campaña, es que convierte la propia confianza del usuario en las plataformas oficiales, en una ventaja para los atacantes. El riesgo no se limita al robo de información, sino que incluye la posibilidad de usar cuentas legítimas”, dijo Leandro Cuozzo, investigador de Seguridad senior en Kaspersky.
En este caso, los ciberdelincuentes explotaron una función del proveedor la cual se conoce como OAuth 2.0 Device Authorization Grant. Que se diseñó para facilitar el inicio de sesión en equipos donde escribir contraseñas es complejo, así se hackearon cuentas de Microsoft.
Dicho mecanismo genera un código, que el usuario debe ingresar en otro dispositivo para así autorizar el acceso. Sin embargo, los atacantes invirtieron el proceso e iniciaban las sesiones desde sus propios dispositivos, obtenían un código válido y luego engañaban a sus víctimas.
Ahora los cibercriminales hackearon cuentas de Microsoft
Parte de la estrategia con la que los ciberdelincuentes hackearon cuentas de Microsoft, era convencer a las personas de ingresar sus códigos en la página oficial del proveedor. Con esto, se autorizó inadvertidamente la sesión iniciada por los criminales para conseguir su objetivo.
El informe de Kaspersky, reveló que el engaño comenzaba con un correo electrónico, que simulaba provenir de un bufete de abogados. Dentro del mensaje, se incluía un archivo PDF protegido con contraseña, que contenía un supuesto listado de documentos legales accesibles, todo mediante un enlace.
“Dichas cuentas legítimas, ahora se usan como punto de entrada para comprometer a otras personas dentro de la organización. Es decir, la estrategia de los cibercriminales consiste en aprovechar plataformas confiables, para reducir las sospechas de los usuarios. Lo que resulta bastante alarmante”, mencionó Cuozzo.
Este enlace inicialmente mandaba al usuario a una dirección legítima de la firma de servicios digitales, pero con parámetros configurados. Para enviarlos después a una página de fraude, de este modo los cibercriminales hackearon cuentas de Microsoft para vulnerar a empresas.
Según Kaspersky, los sitios falsos imitaban portales de consulta de documentos legales y utilizaban CAPTCHA, para evadir sistemas automatizados de seguridad. Finalmente, se mostraba un código de un solo uso, previamente generado por los atacantes y así se obtenían los datos confidenciales.
