Una empresa pierde $ 15 millones en un fraude

 Stu Sjouwerman

Una empresa en los EE. UU. Perdió $ 15 millones en una estafa de compromiso de correo electrónico empresarial de dos meses, informa BleepingComputer. Los investigadores de Mitiga que investigaron el ataque le dijeron a BleepingComputer que los ciberdelincuentes pasaron dos semanas tratando de obtener acceso a las cuentas de correo electrónico de la empresa objetivo. Una vez que lograron piratear la cuenta de Office 365 de un empleado, pasaron otra semana al acecho en la cuenta sin ser detectados mientras recopilaban información

    y finalmente identificaron una transacción que podrían secuestrar.

Durante las próximas cuatro semanas, los atacantes pudieron poner en peligro las cuentas de correo electrónico que pertenecen a los altos ejecutivos de la empresa y establecieron reglas de reenvío de correo electrónico para que pudieran recibir correos electrónicos incluso si estaban bloqueados en las cuentas. También establecieron dominios que falsificaron a esta empresa y a uno de sus socios comerciales para que pudieran interceptar ambos lados de sus conversaciones y modificar los detalles financieros cuando la transacción realmente tuvo lugar.

Después de que el dinero fue robado, los delincuentes pudieron mantener a ambas partes de la transacción comercial en la oscuridad sobre lo que había sucedido hasta que fue demasiado tarde.

“Los bancos pueden bloquear una transacción cuando el dinero va a la cuenta incorrecta y el error se marca a tiempo”, escribe BleepingComputer. “El actor de amenazas conocía bien este detalle y se había preparado para esta fase. Para ocultar el robo hasta que movieron el dinero a bancos extranjeros y lo perdieron para siempre, el atacante usó reglas de filtrado de la bandeja de entrada para mover mensajes de direcciones de correo electrónico específicas a una carpeta oculta. Fue una medida que mantuvo al propietario legítimo de la bandeja de entrada inconsciente de la comunicación sobre la transferencia de dinero. Duró unas dos semanas, dice Mitiga, lo suficiente para que el actor hiciera desaparecer los $ 15 millones ”.

Mitiga cree que este grupo también persigue a muchas otras organizaciones y los investigadores identificaron más de 150 dominios falsificados establecidos por el grupo.

“Aunque los investigadores investigaron los eventos en una sola víctima, encontraron pistas que indican que docenas de empresas en los sectores de la construcción, el comercio minorista, las finanzas y el legal están en su lista de objetivos”, dice BleepingComputer.

En particular, los delincuentes en este caso no utilizaron ningún malware. Todo el ataque se basó en la ingeniería social y el mal uso de funciones legítimas. La capacitación en concientización sobre seguridad en la nueva escuela puede ayudar a sus empleados a defenderse contra sofisticados ataques de ingeniería social.

¡Acércate a nosotros!

Más información