Una nota de voz con sorpresa
Casi 8.000 organizaciones fueron blanco de una campaña de phishing en la que los atacantes disfrazan correos maliciosos de transcripciones automáticas de mensajes de voz. Los investigadores de Check Point Research detectaron una campaña que, al parecer, busca robar credenciales: contraseñas y acceso al correo electrónico, servicios corporativos y otros sistemas de trabajo.
Entre el 17 y el 31 de agosto, los especialistas identificaron más de 58.000 correos relacionados con el ataque. Afectaron a más de 7.800 organizaciones. Para el envío se utilizaron más de 38.400 direcciones de remitente falsas y más de 9.300 dominios falsos.
La estrategia se aprovecha de que los empleados están acostumbrados a la automatización. Cuando llega un mensaje de voz al teléfono o a un sistema corporativo, el servicio puede enviar su transcripción por correo electrónico. Es práctico en una oficina ruidosa y en situaciones en las que no conviene escuchar la grabación en voz alta. Precisamente ese formato familiar pretende bajar la guardia del destinatario.
El asunto de cada correo empezaba con «Automated transcript» —«Transcripción automática»—. A continuación aparecían un número de teléfono parcialmente oculto y una cadena de seguimiento aleatoria. La dirección del remitente estaba falsificada para que el correo pareciera proceder del dominio de la propia organización.
El mensaje incluía un archivo adjunto que parecía una grabación de una llamada. El nombre podía tener este aspecto: «▷ ——— 001min 09sec_….svg». Sin embargo, SVG no es audio, sino un formato de gráficos vectoriales. Estos archivos se basan en XML y pueden contener JavaScript, código que se ejecuta al abrirlos en un navegador.
En esta campaña, el script redirigía al usuario a una página de inicio de sesión falsa. La dirección de correo electrónico de la víctima estaba incorporada de antemano en el enlace, por lo que el campo del nombre de usuario se rellenaba automáticamente. Ese pequeño detalle hace que la página resulte más convincente: el destinatario cree que el sistema realmente le conoce y solo le pide la contraseña.
El SVG resulta atractivo para los atacantes por otro motivo. Los filtros de correo suelen revisar con especial atención los enlaces del texto y los adjuntos peligrosos más habituales, como EXE, DOCX o PDF. A menudo, los SVG quedan fuera de la lista de principales sospechosos, aunque pueden contener código activo.
Check Point Research considera que la campaña es un ejemplo de la rapidez con la que los atacantes se adaptan a los procesos de trabajo, en los que cada vez hay más notificaciones automáticas. La empresa recomienda comprobar incluso los mensajes habituales, sobre todo si supuestamente el remitente utiliza el mismo dominio que el destinatario.
También conviene que las organizaciones definan de antemano a qué tipos de archivos y dominios pueden acceder la inteligencia artificial y los agentes automáticos sin confirmación humana. Los adjuntos SVG deben analizarse como contenido activo, y no tratarse como simples imágenes. Dicho de otro modo, a veces un correo que promete limitarse a transcribir un mensaje de voz solo transcribe una cosa: la contraseña del usuario para los delincuentes.
PEREC.RU
Una campaña de ciberphishing ataca a organizaciones con correos falsos sobre la transcripción automática de mensajes de voz. Check Point Research detectó más de 58.000 mensajes enviados entre el 17 y el 31 de agosto contra más de 7.800 organizaciones. Para camuflarlos se utilizaron más de 38.400 direcciones de remitente falsas y más de 9.300 dominios falsos.
Los correos imitan notificaciones de trabajo habituales. El asunto empieza con «Automated transcript», seguido de un número de teléfono parcialmente oculto y una cadena de seguimiento aleatoria. La dirección del remitente está falsificada para que parezca que el mensaje procede del dominio de la misma organización. Así se despiertan menos sospechas entre los empleados, que reciben transcripciones automáticas de mensajes de voz con regularidad.
El principal peligro es el archivo adjunto con extensión SVG. Está presentado como una grabación de una conversación, pero SVG es un formato de gráficos vectoriales basado en XML que puede contener JavaScript. Al abrirlo en un navegador, el código integrado redirige al usuario a una página de autenticación falsa que le pide la contraseña.
El ataque también recurre a la personalización: la dirección de correo electrónico de la víctima se incluye de antemano en la URL, de modo que el campo del nombre de usuario se rellena automáticamente en la página falsa. Esto hace que parezca más auténtica.
También se elige SVG por las características de los sistemas de protección del correo. Los filtros suelen revisar los enlaces del texto y los adjuntos peligrosos más habituales, como EXE, DOCX y PDF. A menudo, los SVG se consideran imágenes corrientes y pueden no pasar por el mismo nivel de control, aunque son capaces de ejecutar código activo.
Los investigadores de Check Point consideran que la campaña ejemplifica cómo se adaptan los atacantes a los procesos corporativos actuales y al aumento de las notificaciones automáticas. Recomiendan a las empresas comprobar estos mensajes, sobre todo si el remitente supuestamente utiliza el mismo dominio que el destinatario. También es necesario establecer reglas sobre los tipos de archivos y dominios a los que pueden acceder los agentes de IA sin intervención humana. Los adjuntos SVG deben revisarse como contenido activo, no como imágenes inofensivas.
