Kaspersky ha descubierto que los ciberdelincuentes han comenzado a explotar otro servicio legítimo con fines maliciosos. En esta ocasión se trata de Tencent EdgeOne Pages, una plataforma para crear y alojar aplicaciones web. Los ciberdelincuentes están utilizando sus funcionalidades para generar correos electrónicos de phishing dirigidos a usuarios corporativos. Anteriormente, Kaspersky ya había descrito campañas similares que aprovechaban servicios de Google y aplicaciones web creadas con Bubble, una plataforma de desarrollo impulsada por inteligencia artificial, para robar credenciales corporativas.
Entre los objetivos de esta campaña se encuentran empleados de múltiples sectores, incluidos industria, ventas y organismos gubernamentales. El objetivo de los ciberdelincuentes es obtener credenciales de acceso a recursos corporativos. Solo en los últimos 30 días, los analistas de Kaspersky han detectado más de 8.000 correos electrónicos de phishing que utilizan esta técnica, incluyendo mensajes en inglés, coreano y ruso.
Tencent EdgeOne Pages se presenta como una plataforma que permite crear y desplegar rápidamente aplicaciones web mediante Inteligencia Artificial. Los ciberdelincuentes están aprovechando esta funcionalidad para generar y publicar páginas de phishing en cuestión de minutos, sin necesidad de contar con conocimientos avanzados de desarrollo web.
Los ciberdelincuentes alojan las páginas fraudulentas en la infraestructura legítima en la nube de EdgeOne y utilizan dominios de confianza. Como resultado, estos sitios pueden parecer legítimos y seguros para muchas soluciones de protección, dificultando la detección de los ciberataques.
Cómo comienza el ataque
La víctima recibe un correo electrónico supuestamente enviado por el “equipo de soporte del correo corporativo”. En el mensaje se indica que las credenciales de acceso a la cuenta expirarán en 48 horas y que, si no se actualizan, podrían producirse problemas para enviar o recibir correos electrónicos. Para evitar restricciones, se invita al usuario a hacer clic en un enlace e introducir sus datos.
No obstante, este tipo de campañas no se limita a este pretexto. Los ciberdelincuentes pueden utilizar cualquier comunicación corporativa habitual, como mensajes del departamento de Recursos Humanos o notificaciones sobre documentos pendientes de descarga.nAl hacer clic en el enlace, la víctima accede a una página que solicita su nombre, dirección de correo electrónico y contraseña. Se trata de una página de diseño sencillo, con muy pocos elementos adicionales. Una vez que el usuario introduce sus datos de acceso, la información se envía a un servidor controlado por los ciberdelincuentes.
“Estamos observando la continuación de una tendencia en la que los ciberdelincuentes utilizan plataformas de inteligencia artificial y herramientas no-code como parte de su infraestructura de phishing. Anteriormente identificamos un esquema similar utilizando la plataforma Bubble, y ahora vemos otro ejemplo más. Aunque el contenido de estos correos de phishing es relativamente habitual y se ha utilizado numerosas veces, la técnica empleada reduce significativamente las barreras de entrada para los ciberdelincuentes y acelera la creación de recursos fraudulentos. Antes era necesario contar, al menos, con conocimientos básicos de desarrollo web; ahora, una infraestructura para campañas de phishing puede crearse en cuestión de minutos”, explica Roman Dedenok, experto antispam de Kaspersky.
Para protegerse frente a esta amenaza, Kaspersky recomienda:
Formar a los empleados para que comprendan que las credenciales corporativas solo deben introducirse en plataformas oficiales y verificadas de la empresa.
Implantar soluciones de seguridad robustas capaces de bloquear el acceso a páginas de phishing conocidas o sospechosas.
Implementar tecnologías avanzadas de protección antiphishing en las pasarelas de correo electrónico para reducir la exposición a mensajes maliciosos.
Mantenerse al día sobre las nuevas técnicas utilizadas por los ciberdelincuentes e integrar inteligencia de amenazas en las operaciones de seguridad.
