Un grupo de ciberdelincuentes roba 1,3 millones de dólares mediante ataques BEC

 

Recomendados:  WEBINAR >> Teletrabajo: productividad, flexibilidad y seguridad a pleno rendimiento Registro  WEBINAR >> Autenticación y gestión de identidades, el nuevo perímetro de seguridad Registro

Al parecer, según explica Check Point, durante meses, el grupo de hackers The Florentine Banker tenía como principal objetivo manipular el correo electrónico, registrar dominios similares y realizar el cobro directo de cuatro transacciones bancarias que trataban de transferir dinero a cuentas bancarias no reconocidas. 

Mediante una operación de emergencia, esta firma de seguridad permitió recuperar 570.000 libras (en torno a 650.000 euros), aunque el resto se mantiene como una pérdida de fondos permanente.

En el caso de los fondos robados de capital privado británicos, los cibercriminales utilizaron un total de seis dominios diferentes. 

Cómo opera el grupo
Los investigadores de Check Point no han podido determinar con exactitud el origen de este grupo de cibercriminales, aunque sí tienen algunas pistas, ya que sólo interceptaban y modificaban conversaciones y transacciones en inglés, sólo operaban de lunes a viernes y las cuentas bancarias fraudulentas que utilizaban estaban localizadas en Hong Kong y Reino Unido.  

Por otra parte, la compañía ha podido estudiar el método de trabajo de “The Florentine Banker”. Tras seleccionar un objetivo, este grupo iniciaba su ataque a través de una campaña de phishing dirigida contra los encargados de realizar transacciones económicas como directores ejecutivos y financieros clave dentro de la empresa que será víctima del robo, con el objetivo de obtener las credenciales. Para ello, los cibercriminales empezaban dirigiendo estos correos a tan sólo dos destinatarios, aunque progresivamente iban aumentando el número de objetivos y variando las técnicas para obtener una visión panorámica de todo el panorama financiero de la empresa. 

Posteriormente, se inicia la segunda etapa, que consta de cinco pasos:

- Vigilancia: una vez obtienen el control de una cuenta de correo de la víctima, monitorizan todas sus comunicaciones durante semanas o meses para descifrar los procedimientos del negocio.

- Control y aislamiento: el siguiente paso de los atacantes es aislar a la víctima de terceros y de sus propios compañeros de trabajo, creando reglas de buzón maliciosas con el objetivo de desviar cualquier correo electrónico a una carpeta bajo su supervisión a través de ataques Man-in-the-Middle.

- Actividad en paralelo: los atacantes registran dominios con una apariencia visual similar a las webs originales de las entidades involucradas en la correspondencia de correo electrónico interceptado. Tras esto, comienzan a enviar mensajes desde estos nuevos dominios para establecer o mantener una conversación ya existente, haciendo creer a la víctima que la fuente es de fiar.

- Solicitar el dinero: empiezan a infiltrar información de cuentas bancarias fraudulentas a través de  dos técnicas: interceptando transferencias legítimas o creando nuevas solicitudes.

- Transferencia de dinero: continúan manipulando la conversación hasta que la víctima aprueba los nuevos datos bancarios y confirma la transacción. Si el banco rechaza la transacción por cualquier motivo, los atacantes pueden solventar estos detalles para conseguir el dinero. 

Check Point cree que, teniendo en cuenta el número de dominios registrados (39 en los últimos años, según sus investigaciones), los cibercriminales tienen más objetivos en su radar.

Consejos del especialista
Los ataques BEC son un gran riesgo para las empresas por lo que la compañía ofrece una recomendaciones para reducir evitarlos. Por un lado, incorporar más seguridad al correo electrónico y formar a los empleados.

Por otro, añadir sistemas de doble autenticación. Al tratarse de transferencias electrónicas, cree que es fundamental implementar un modelo de doble autenticación (código SMS, llamada telefónica al responsable de la cuenta, etc.) para evitar pérdidas por suplantación de identidad. 

Y, por último, en caso de sufrir alguna infracción de este tipo, informar inmediatamente a clientes y socios para evitar males mayores. “Retrasar estas comunicaciones beneficia al atacante”, señalan sus expertos.