Siguen los ataques de phishing: ¿estás a salvo?

Era un caluroso 4 de julio en Washington, DC. Estaba hablando en una conferencia en el área y mi familia decidió asistir a la celebración A Capitol Fourth que se televisa en PBS cada año desde los escalones del Capitolio de EE. UU. Llegamos temprano al Capitolio, pasamos la seguridad, conseguimos un excelente lugar para ver los fuegos artificiales y el concierto, y disfrutamos de lo que pensamos que sería una tarde y una noche relajadas para celebrar la independencia de nuestra nación. Poco antes de que comenzara el concierto, comencé a recibir alertas extrañas en mi teléfono. Se enviaban correos electrónicos desde nuestro dominio que no tenían sentido y el volumen de correo electrónico que se enviaba, en un día festivo, ciertamente no sumaba. Usando solo mi iPhone, desde los escalones del Capitolio, me di cuenta de que alguien estaba enviando cantidades masivas de correo electrónico desde nuestro dominio. El correo electrónico estaba mal diseñado y la página de inicio de sesión no se parecía en nada a nuestra página de inicio de sesión, pero un usuario se lo creyó e ingresó su nombre de usuario y contraseña en el sitio de phishing. in. Usamos Microsoft 365, así que me preguntaba si nos habían pirateado, o peor aún, si uno de nuestros usuarios había sido objeto de un ataque de phishing.

A medida que se acercaba la hora de inicio del concierto, mi El objetivo era averiguar qué cuenta o cuentas estaban comprometidas para poder restablecer las contraseñas y detener el flujo de correo electrónico. También estaba tratando de comunicarme con otros miembros de nuestro equipo técnico que también estaban en barbacoas y celebraciones del 4 de julio. Obviamente, tuvimos que tapar el agujero y luego, una vez que pude volver a una computadora, averiguar exactamente qué sucedió.

El concierto comenzó conmigo pegado a mi teléfono. Si ven la transmisión de PBS, pueden verme mirando mi teléfono en lugar de disfrutar del comienzo del concierto. Para cuando los Beach Boys comenzaron a jugar, la cuenta de usuario comprometida se había cerrado y el flujo de correo electrónico saliente se detuvo. En el momento en que los cañones estaban disparando para la Obertura 1812, todos los usuarios se habían enterado de lo que sucedió y se les notificó que miles de correos electrónicos se habían enviado externamente desde nuestro dominio y direcciones de correo electrónico.

Después de que terminaron los fuegos artificiales y condujimos a la multitud de regreso a nuestro hotel, pasé el resto de la noche en línea limpiando el desorden y analizando exactamente lo que sucedió y tratando de descubrir cómo asegurarme de que nunca me atraparan. televisión de nuevo limpiando un desastre como este.

Qué sucedió

Los malos actores enviaron furtivamente un correo electrónico de phishing a nuestros usuarios fingiendo ser de la Universidad de Purdue y pedir a nuestros usuarios que inicien sesión con sus credenciales de trabajo para recibir un mensaje de Purdue. El correo electrónico estaba mal diseñado y la página de inicio de sesión no se parecía en nada a nuestra página de inicio de sesión, pero un usuario se lo creyó e ingresó su nombre de usuario y contraseña en el sitio de phishing. Elegir un feriado como el 4 de julio también fue diabólico.

Esto permitió a los malos acceso total al buzón del usuario desde el cual inmediatamente comenzaron a enviar decenas de miles de mensajes de spam. Los malhechores también tenían acceso a nuestra lista de direcciones global completa, a la que también enviaron spam, phishing y suplantación de identidad.

Parecería que su objetivo era simplemente obtener acceso a un servidor de correo electrónico válido para enviar la mayor cantidad de spam. mensajes como pudieron antes de ser detenidos. A estos malos actores probablemente se les pagó por mensaje que entregaron y simplemente necesitaban un servidor de correo electrónico desde el cual enviar sus mensajes. Afortunadamente, eso es todo lo que hicieron, ya que no encontramos evidencia de acceso a archivos, eliminación de datos o incluso cargas maliciosas en los correos electrónicos. Acaban de enviar una tonelada de spam.

Pasamos el resto de la noche limpiando los correos electrónicos incorrectos en nuestro inquilino de Microsoft 365. Una vez que se eliminaron todos los correos electrónicos incorrectos, forzamos numerosos restablecimientos de contraseña. También tuvimos que comunicarnos con aquellos fuera de nuestra organización que recibieron mensajes de spam de nosotros a través del acceso del malhechor a nuestras listas de contactos.

La solución

Once se resetearon las cuentas nuestra atención volcó a la prevención. ¿Cómo evita que los usuarios sean engañados para que den sus nombres de usuario y contraseñas? ¿Qué medidas de seguridad puedes implementar en caso de que un usuario sea engañado nuevamente? Rápidamente implementamos una estrategia de 2 vertientes.

La primera vertiente fue la autenticación de 2 factores, también llamada autenticación de múltiples factores. 2FA o MFA requiere que el usuario inicie sesión con su nombre de usuario y contraseña y luego valide su inicio de sesión con un código u otra forma de autenticación que se le envíe directamente. En los primeros días, 2FA consistía en un mensaje de texto con un número a su teléfono celular. Ahora 2FA puede ser un mensaje de texto o cualquier cantidad de aplicaciones de autenticación.

Si hubiéramos estado usando 2FA cuando el usuario fue engañado, los malos actores habrían intentado iniciar sesión, el usuario habría recibido un mensaje de texto con un código de autenticación, y los malos actores habrían sido detenidos ya que no tendrían el código del usuario.

2FA no es perfecto, pero tenerlo es mucho mejor que no tenerlo, confíe en mí. 2FA no es conveniente, puede hacer que el soporte sea más desafiante y crea dolores de cabeza para los usuarios, pero la línea entre seguridad y conveniencia tiene que cambiar más hacia la seguridad si vamos a proteger los datos que se nos confían, sin mencionar nuestra reputación en línea.

Se mejoró la segunda vertiente y se incrementó la capacitación de los usuarios. La persona con los dedos en el mouse y el teclado está mejor posicionada para proteger su organización. Con suerte, la capacitación del usuario habría evitado que el usuario tuviera la tentación de hacer clic en el enlace e ingresar sus credenciales.

Hasta este punto, habíamos enviado advertencias ocasionales, pero no estábamos utilizando ningún tipo de capacitación formal y responsable para el usuario final. . Hoy somos. Puede leer más sobre nuestro uso del cortafuegos humano aquí.

La moraleja de la historia

En la versión de esta historia de felices para siempre, no seas como yo. 2FA puede ser una molestia y puede crear todo tipo de otros desafíos, pero vale la pena. Hágalo antes de que tenga que hacerlo porque si lo hace cuando tiene que hacerlo ya es demasiado tarde y es posible que ya haya sido visto en la televisión nacional tratando de limpiar un ataque de phishing exitoso.