Cerrado el cibermarket; la campaña de correos ya se había disparado
Microsoft y la Agencia Nacional de Policía de Japón llevaron a cabo una operación conjunta contra varios servicios interconectados que ayudaban a delincuentes a enviar mensajes fraudulentos y crear sitios web falsos. En la operación también participaron Cloudflare, Oracle, Proofpoint, Resecurity y TRM Labs.
La investigación identificó tres elementos de la infraestructura criminal: YAM Store, CoGUI e Iron Man. Según Microsoft, se utilizaron para atacar a 75.000 organizaciones en más de 150 países. A través de estos servicios se enviaron más de mil millones de mensajes maliciosos, de los cuales unos 750 millones iban dirigidos a clientes de Microsoft. La actividad fraudulenta reportó millones de dólares a los delincuentes.
Los servicios funcionaban como un paquete listo para el phishing, es decir, para engañar a la gente y conseguir sus contraseñas, datos de pago y otra información sensible. A los clientes se les ofrecían sitios web falsos y mensajes ya preparados que imitaban a empresas y organizaciones conocidas. Entre los señuelos había páginas que se hacían pasar por Amazon, organismos públicos, entidades financieras y otras marcas conocidas. El cliente no necesitaba contratar a un programador ni crear desde cero una copia convincente de un sitio web.
CoGUI era un servicio PhaaS —«phishing como servicio»—: una infraestructura lista para usar que los delincuentes podían alquilar o emplear para lanzar ataques. El servicio recurría a métodos para eludir la detección, como la huella digital del navegador y las restricciones geográficas. En otras palabras, podía tener en cuenta las características del dispositivo y la ubicación del visitante, lo que dificultaba el trabajo de los filtros de seguridad.
Según la investigación, CoGUI apuntaba a víctimas de Japón y Estados Unidos, y después fue sustituido por un nuevo servicio, Iron Man. YAM Store era la plataforma a través de la cual los participantes obtenían acceso a otros elementos del ecosistema criminal. Microsoft asignó a este mercado la denominación Storm-3119 y lo calificó de Initial Access Broker, es decir, intermediario que proporciona acceso a cuentas y entornos digitales ya comprometidos o conseguidos mediante fraude, incluidos los de los servicios de Microsoft y Google.
Microsoft y las fuerzas del orden conocían los tres componentes, pero solo la colaboración permitió infiltrarse en la red de usuarios de estos servicios. La plataforma criminal funcionaba íntegramente en chino, por lo que se incorporaron hablantes nativos a la investigación para poder acceder a la clandestina YAM Store.
YAM Store también contaba con un método para mantener actualizada su oferta. La automatización detectaba entornos digitales o nombres de organizaciones caducados y utilizaba datos reales de sus clientes asociados para eludir los sistemas de detección existentes. Así podía renovar el conjunto de accesos y dificultar la identificación de las operaciones fraudulentas.
Como resultado, Microsoft incautó los dominios vinculados a la infraestructura de YAM Store, CoGUI e Iron Man, y los bloqueó o redirigió su tráfico. La operación interrumpió los servicios utilizados para lanzar campañas de phishing a gran escala, pero eso no significa por sí solo que desaparezcan automáticamente todos los mensajes que enviaron ni los datos que obtuvieron los delincuentes.
PEREC.RU
La ciberdelincuencia hace tiempo que dejó de parecerse a una escena de película con alguien encapuchado probando contraseñas a mano en un sótano. Ahora es un mercado de servicios: uno prepara los señuelos, otro vende el acceso, un tercero lanza la campaña de correos, y cada cual puede considerarse un simple subcontratista. Una moraleja muy conveniente: si se divide el delito en suficientes operaciones pequeñas, casi empieza a parecer una startup.
Aquí destaca especialmente la pulcritud empresarial de la infraestructura. Sitios web falsos, renovación automática de accesos, herramientas para esquivar la detección: todo recuerda a un servicio digital corriente, solo que el producto es la credulidad ajena. El mercado criminal también tiene su recorrido de cliente; solo que el botón final no lleva a pagar una suscripción, sino a robar datos.
Las empresas llevan años explicando a los usuarios que la seguridad es responsabilidad de todos. La fórmula suena muy noble hasta que se descubre que los estafadores saben aprovechar datos reales de organizaciones y copiar marcas familiares, mientras a la gente se le pide que distinga lo falso de lo auténtico por un detalle casi imperceptible. Así, la responsabilidad se desliza elegantemente hacia abajo: hasta quien lee un correo a toda prisa, entre el trabajo y la cena.
La operación conjunta demuestra que la infraestructura criminal tiene un punto débil: también depende de plataformas, dominios, intermediarios e idiomas. Pero cerrar el escaparate no es lo mismo que recuperar lo robado o borrar lo que ya se ha enviado. Ahí suele empezar la parte aburrida, que a los comunicados de prensa les gusta mencionar de pasada: las consecuencias duran más que los servidores.
Podemos felicitar a los participantes en la operación por haber dejado a un mercado sin dominios. Pero no conviene confundirlo con una victoria sobre el modelo en sí. Mientras los servicios digitales permitan montar rápidamente copias convincentes y el acceso robado siga teniendo valor, en el lugar de la tienda cerrada aparecerá otra, con nuevo nombre, interfaz y una presentación sobre «mejorar la conversión». El capitalismo sabe cambiarle el nombre incluso a lo que más valdría apagar sin más.
