Amenaza física: hackers que se hacen pasar por soporte informático
El Google Threat Intelligence Group da la voz de alarma: se perfila una nueva situación de amenaza en la que los ciberdelincuentes amplían sus métodos de ataque digitales con componentes físicos. El grupo de hackers UNC3753, conocido también como Luna Moth, Chatty Spider o Silent Ransom Group, se hace pasar por técnicos informáticos y accede directamente a las instalaciones de las empresas. Con memorias USB, los atacantes extraen después datos sensibles directamente de los equipos.
Esta evolución marca una peligrosa escalada en la ciberdelincuencia. Mientras que los atacantes suelen operar a distancia mediante correos de phishing u otros métodos digitales, ahora pasan a ataques directos y físicos cuando sus tácticas remotas fracasan.
Objetivos y modo de proceder de los atacantes
El grupo de hackers UNC3753 se centra principalmente en despachos de abogados de Estados Unidos, pero ataca también a empresas de seguros, finanzas y sanidad. Su foco está en los acuerdos jurídicos, los datos personales y la documentación financiera, que después se utilizarán para extorsionar.
El ataque empieza en el terreno digital
El modo de proceder de los delincuentes sigue un esquema meditado. Primero investigan los datos de contacto en los sitios web corporativos y contactan con sus víctimas por teléfono o correo electrónico. Al hacerlo se presentan como empleados del departamento de TI o de seguridad de la empresa correspondiente.
Los atacantes advierten a la víctima de supuestas brechas de seguridad u ofrecen ayuda en proyectos inventados de migración de datos. Con estas maniobras de engaño construyen sistemáticamente confianza e intentan convencer a sus víctimas de iniciar sesiones de mantenimiento remoto.
Uso de software legítimo
Especialmente pérfido es el uso de software habitual de pantalla compartida como Zoom, Microsoft Terminal Services, Microsoft Teams o Quick Assist. En un caso documentado, un atacante mantuvo cinco conversaciones con su víctima por Teams en tres días.
Además, los delincuentes intentan que sus víctimas instalen software remoto específico, como AnyDesk, Bomgar o Zoho Assist. En un caso, un usuario debía incluso descargar mediante cURL un «SuperOps RMM agent».
Transferencia de datos y ataques físicos
Robo digital de datos
Una vez ganada la confianza de las víctimas, comienza la extracción de datos propiamente dicha. Los atacantes inician sesión directamente en el navegador de la víctima en cuentas de intercambio de archivos y suben archivos, ya sea por sí mismos o guiando a la víctima. Incluso imitan la imagen de marca de la empresa objetivo.
Para la transferencia de datos utilizan programas como WinSCP o Rclone. En un caso documentado, los atacantes transfirieron unos 1,7 gigabytes de datos desde una carpeta local de OneDrive a una cuenta de Google Drive. Además, indicaron a las víctimas que enviaran archivos del software jurídico iManage directamente por correo electrónico a los hackers.
La infiltración física como último recurso
Si sus tácticas remotas fracasan, los atacantes van un paso más allá e intentan hacerse con los datos físicamente. El FBI ya advirtió de esta evolución a finales de mayo. Los delincuentes se presentan de nuevo como soporte informático y fingen tener que realizar una copia de seguridad. Para ello utilizan discos duros externos o simples memorias USB.
Tras la extracción exitosa de los datos llega la extorsión: los hackers envían un correo extorsivo a la empresa afectada y amenazan con publicar la información robada.
Medidas de protección y estrategias de prevención
Control de accesos y formación del personal
El FBI recomienda un control estricto de las autorizaciones de todas las personas que acceden a las instalaciones de la empresa. Un control de accesos profesional puede ayudar a identificar a las personas no autorizadas y limitar el acceso a las zonas sensibles.
Al mismo tiempo, la formación del personal es de importancia decisiva. Los empleados deben estar sensibilizados frente a los ataques de ingeniería social y aprender a reconocer los contactos sospechosos. Limitar la posibilidad de conectar unidades externas constituye otra medida de protección importante.
Supervisión y control técnicos
Google aconseja una vigilancia estricta del tráfico de datos saliente y de la red. La salida de varios gigabytes de datos no debería pasar desapercibida. Las empresas deberían bloquear los servicios de intercambio de archivos no autorizados y registrar los volúmenes de datos transferidos en los registros del cortafuegos.
Merece especial atención el tráfico SSH en el puerto 22, que debería comprobarse específicamente en busca de transferencias masivas. Las copias de seguridad realizadas con regularidad ofrecen protección adicional frente a la pérdida de datos.
Importancia para la seguridad empresarial
Este nuevo método de ataque muestra que la ciberseguridad va hoy mucho más allá del ámbito puramente digital. La combinación de ingeniería social, ataques digitales e intrusión física exige un concepto de seguridad integral.
Las empresas deben replantear sus estrategias de seguridad e implantar medidas de protección tanto digitales como físicas. La amenaza de UNC3753 evidencia que los delincuentes están dispuestos a asumir un esfuerzo considerable para hacerse con datos valiosos.
Las advertencias de Google y del FBI subrayan la urgencia de crear conciencia de seguridad e implantar las correspondientes medidas de protección. Solo mediante una combinación de soluciones técnicas, medidas organizativas y personal formado pueden las empresas protegerse eficazmente frente a esta amenaza novedosa.
