La "industria" de los hackers parece haber encontrado un nuevo bastión para sus ataques. Prueba de ello es una reciente campaña de ataques dirigida a algunas de las principales firmas de capital privado de Estados Unidos, entre otras empresas estadounidenses de diversos sectores.
Según Reuters , que analizó datos recopilados por la división de seguridad de Google, un grupo de hackers desarrolló ataques dirigidos a empleados de empresas de gestión de activos como Blackstone , Apollo Global Management , KKR , TPG Capital y Bain Capital .
Además de centrarse en estos gigantes del capital privado, la lista de objetivos de estas amenazas incluye nombres como la gestora de fondos de cobertura Bridgewater Associates , la plataforma de negociación CME Group y la agencia de calificación crediticia Moody's .
En la campaña, que tuvo lugar el mes pasado, los hackers crearon 72 sitios web maliciosos para robar contraseñas de empleados de estas empresas. Según Google, que no reveló los nombres, algunas de estas empresas pagaron rescates a los ciberdelincuentes.
Los ataques también incluyeron llamadas telefónicas, una técnica más antigua y menos sofisticada, especialmente en un contexto donde los ciberdelincuentes ya utilizan inteligencia artificial para perfeccionar sus amenazas. Sea cual sea la táctica, lo cierto es que siempre habrá un punto débil en esta cadena.
“Dado que el sistema de seguridad es ahora tan sofisticado y de alta tecnología, lo único que tenemos que hacer es engañar al guardia para que nos abra la puerta”, dijo Lee Clark, gerente de producción de inteligencia sobre amenazas cibernéticas en Retail and Hospitality ISAC, un grupo de análisis e intercambio de información de la industria.
Clark añadió: "Ese factor humano es, sin duda, la razón por la que esto estalló de la forma en que lo hizo", afirmó.
Reuters realizó ingeniería inversa de algunas de las numerosas "trampas" utilizadas por los delincuentes, basándose en los sitios web que Google incluyó en su informe. Austin Larsen, analista principal del Grupo de Inteligencia de Amenazas de Google, declaró a la agencia que no todos los intentos de los piratas informáticos tuvieron éxito.
También destacó lo que convierte a estas empresas en el objetivo de los ciberdelincuentes. "Creen que estas empresas u organizaciones poseen suficientes datos confidenciales como para que, si fueran robados, pagaran para evitarlo".
Google también señaló que los piratas informáticos emplearon "tácticas meticulosas de ingeniería social", contactando a los empleados a sus teléfonos móviles personales y haciéndose pasar por llamadas de los centros de atención telefónica de las empresas. A menudo, incluso mostraban el número correcto de dichos centros.
En estas llamadas, les decían a las víctimas que el departamento de informática había emitido una directiva urgente para actualizar sus contraseñas y los dirigían a un sitio web malicioso. Si el empleado seguía los pasos indicados, los piratas informáticos lograban secuestrar su cuenta antes de que finalizara la llamada.
En este punto, Larsen volvió a destacar que esta técnica no es particularmente avanzada. Sin embargo, añadió una salvedad: «Sofisticada no es la palabra adecuada», afirmó. «Simplemente es muy eficaz».
