Una empresa estadounidense de formación en ciberseguridad dijo que ataque de suplantación de identidad contra uno de sus empleados llevó a la redirección de 513 correos electrónicos a una cuenta externa desconocida.
El Instituto SANS con sede en Maryland dijo que la información personal, incluido el nombre, el cargo y la información de contacto profesional, estaba contenida en los correos electrónicos, pero no se perdieron datos financieros o de contraseñas.
En una investigación de rutina de su configuración de correo electrónico, los investigadores notaron una regla de redirección sospechosa que dirigía los correos electrónicos desde una cuenta interna a una fuente externa. La empresa, especializada en seguridad de la información, formación y certificación en el campo de la ciberseguridad, dijo que la investigación posterior mostró que un ataque de phishing contra un empleado llevó a la distribución de aproximadamente 28.000 registros con esta dirección externa.
Aunque el Instituto SANS afirma que la mayoría de los 513 correos electrónicos eran «inofensivos», dijo que algunos contenían información de identificación personal.
La investigación sobre el incidente aún está en curso, pero SANS ha atribuido el ataque al «consentimiento de phishing», una variante de un ataque basado en aplicaciones. Se engaña a las víctimas para que permitan que las aplicaciones maliciosas de Office 365 OAuth accedan a sus cuentas de Office 365. Una vez comprometidos, los atacantes pueden obtener acceso a correos electrónicos, archivos, contactos, notas, perfiles, así como información confidencial y recursos almacenados en sus sistemas SharePoint y OneDrive. .
Los datos tomados de SANS incluyeron direcciones de correo electrónico, cargos, nombre y apellido, datos de contacto de la empresa y dirección física. La compañía dijo que había identificado a personas cuyas cuentas habían sido comprometidas y que las contactaría por correo electrónico, pero enfatizó que no se había accedido a contraseñas o datos financieros en el ataque.
«Las estafas de phishing siguen siendo extremadamente comunes y esta última violación muestra que los ciberdelincuentes ni siquiera le temen a los institutos de seguridad cibernética cuando se trata de organizaciones», dijo. El especialista en ciberseguridad de ESET Jake Moore.
«Comprobación correos electrónicos auténticos nunca ha sido más importante, pero sigue siendo la mejor apuesta para vencer el fraude. Las empresas que no cuentan con los procedimientos de seguridad adecuados a menudo pueden dejar a sí mismas y a sus clientes vulnerables a un ataque de ingeniería social, pero la provisión constante de capacitación es vital para que las personas tomen conciencia del problema. Las empresas deben limitar el número de empleados que tienen acceso a información privada para reducir la posibilidad de una infracción. «
