El phishing se muda al calendario
Los ataques de phishing ya no se limitan a correos sospechosos con enlaces y archivos adjuntos. Los delincuentes recurren cada vez más a herramientas de trabajo habituales: calendarios e invitaciones a reuniones.
Así lo explicó Soundharya Bharani Poomalai, Associate Threat Analyst en Barracuda. Según ella, hace tiempo que el calendario dejó de ser solo una agenda de reuniones. A través de él, los empleados reciben avisos para confirmar políticas corporativas, leer documentos internos, solicitar prestaciones y completar la formación obligatoria.
Una invitación que anuncia una actualización de la política de recursos humanos o una gestión relacionada con la nómina parece de lo más normal. Por eso puede despertar menos sospechas que un correo de un remitente desconocido. Además, el evento suele añadirse automáticamente al calendario casi sin intervención del usuario y puede seguir ahí incluso después de que el correo original se haya eliminado o puesto en cuarentena.
Los teléfonos inteligentes añaden otro riesgo: muchas notificaciones del calendario se gestionan en dispositivos móviles, que están menos protegidos por las herramientas diseñadas para el correo de escritorio.
El principal problema es la discrepancia entre lo que comprueban los sistemas de seguridad y lo que ve la persona. La seguridad tradicional del correo analiza el asunto, el texto y los archivos adjuntos. En cambio, un archivo .ics puede considerarse un objeto de calendario y no someterse al mismo nivel de análisis.
En realidad, un archivo .ics puede contener la descripción del evento, datos del organizador, el lugar, archivos adjuntos, URL y campos de metadatos personalizados. En ellos se puede ocultar contenido de phishing. Cuando se muestra el evento, la aplicación de calendario puede presentar el logotipo de una empresa, instrucciones o un código QR que parezcan legítimos.
Si el usuario introduce su nombre de usuario y contraseña y después confirma el inicio de sesión con la autenticación multifactor, los atacantes pueden interceptar las credenciales y los datos de la sesión. En los ataques de tipo adversary-in-the-middle, los delincuentes actúan como intermediarios: obtienen información durante la autenticación y la utilizan para acceder a la cuenta.
Las técnicas son conocidas: el código QR oculta la dirección de destino, una marca falsa genera confianza y una plataforma intermediaria intercepta los datos de inicio de sesión. La novedad está en el contenedor: el contenido malicioso no se envía en un correo corriente, sino en una invitación de calendario. Este canal suele pasar más desapercibido para las herramientas de seguridad.
Las organizaciones deberían considerar los eventos del calendario contenido activo, no simples datos inocuos sobre la hora y el lugar de una reunión. Hay que analizar los archivos .ics en busca de enlaces, archivos adjuntos, contenido HTML y códigos QR, y descodificar las direcciones a las que conducen.
La comprobación debe continuar después de la entrega. Un evento puede permanecer en el calendario durante días o semanas antes de que el enlace se active. Borrar el correo original no elimina automáticamente la entrada. Por eso, ante un incidente, hay que retirar tanto el correo como el evento relacionado de todos los buzones afectados.
Al mismo tiempo, los especialistas deben revisar la actividad de las cuentas: inicios de sesión desde dispositivos desconocidos, solicitudes inesperadas de MFA, nuevas sesiones y autorizaciones de OAuth. Si un empleado ha interactuado con la invitación, no basta con limpiar el calendario: su contraseña, los tokens de sesión o el acceso a la cuenta podrían haberse visto comprometidos.
Para reducir el riesgo se recomiendan métodos de MFA resistentes al phishing, como FIDO2 y WebAuthn, políticas de acceso condicional, supervisión de sesiones y la posibilidad de revocarlas rápidamente. Es importante explicar a los empleados que una notificación inesperada de recursos humanos, contabilidad o personal en formato .ics exige tanta cautela como un correo extraño. Los códigos QR dentro de eventos del calendario son especialmente sospechosos.
El ataque sigue una cadena: el correo crea un evento, el evento muestra contenido y ese contenido conduce a una página de inicio de sesión falsa o a un código QR malicioso. Cada fase puede desarrollarse en una aplicación distinta, con sus propias defensas o sin ninguna. Si una organización solo protege el buzón, vigila únicamente el primer tramo de un recorrido mucho más largo.
PEREC.RU
El artículo trata de una nueva forma de phishing en la que los delincuentes utilizan invitaciones de calendario y archivos .ics en lugar de los tradicionales correos sospechosos. El calendario ya no sirve solo para organizar reuniones: por él reciben los empleados avisos sobre cambios de personal, confirmación de políticas corporativas, prestaciones, gestiones de nómina y formación obligatoria. Por eso, una invitación de recursos humanos o contabilidad puede parecer normal y no despertar sospechas.
La clave del ataque es que el evento se añade automáticamente. Puede aparecer en el calendario casi sin intervención del usuario y quedarse allí incluso después de que el correo original se haya eliminado o puesto en cuarentena. Las notificaciones móviles añaden otro riesgo, ya que los teléfonos pueden quedar fuera del alcance de algunas herramientas de seguridad de escritorio.
Los sistemas tradicionales suelen revisar el asunto y el texto del correo, además de los archivos adjuntos. El archivo .ics se considera a menudo un objeto de calendario y se analiza con menos rigor. Sin embargo, puede contener la descripción del evento, datos del organizador, el lugar, archivos adjuntos, enlaces, URL, metadatos personalizados, contenido HTML y códigos QR. Al mostrarlos, el calendario puede presentar símbolos corporativos e instrucciones que transmitan una falsa impresión de legitimidad.
El código QR puede llevar a una página de inicio de sesión falsa. El nombre de usuario, la contraseña y los datos de sesión que introduzca la víctima pueden ser interceptados. En un ataque adversary-in-the-middle, el atacante actúa como intermediario durante el inicio de sesión y puede utilizar la información robada para acceder a la cuenta, incluso si la víctima ha confirmado la MFA.
El ataque emplea técnicas conocidas: suplantar una marca conocida, ocultar la dirección tras un código QR e interceptar los datos de autenticación. Lo que cambia es el método de entrega: el contenido peligroso pasa del correo al evento del calendario, donde puede ser objeto de menos controles.
Se recomienda a las organizaciones tratar las invitaciones como contenido activo. Hay que analizar los archivos .ics en busca de enlaces, archivos adjuntos, HTML y códigos QR, incluidas las direcciones de destino. El control debe continuar después de la entrega: el evento puede permanecer en el calendario durante días o semanas antes de que el usuario utilice el enlace.
Al detectar un ataque, hay que eliminar tanto el correo original como el evento relacionado de todos los buzones afectados. También se debe revisar la actividad de las cuentas: inicios de sesión desde dispositivos desconocidos, solicitudes inesperadas de MFA, nuevas sesiones y autorizaciones de OAuth. Si se ha abierto la invitación, hay que considerar que la contraseña, los tokens y las sesiones podrían estar comprometidos, y después revocar el acceso y proteger la cuenta.
Para reducir las consecuencias se recomiendan métodos de MFA resistentes al phishing, como FIDO2 y WebAuthn, políticas de acceso condicional, supervisión de sesiones y revocación rápida de tokens. Hay que enseñar a los usuarios a desconfiar de los archivos .ics inesperados de recursos humanos o contabilidad, sobre todo si incluyen un código QR. La conclusión general: proteger solo el correo entrante cubre únicamente un tramo de la cadena de ataque; hay que seguir la amenaza en todas las aplicaciones donde se muestra contenido o se desencadenan otras acciones.
