Cita

"Those who are willing to pay a penny of security for a penny of usability will eventually have neither"

18 agosto 2014

Ataque de spearphishing contra funcionarios



El US-CERT se ha hecho eco de un informe del NCSC (siglas en inglés para el Centro Nacional de Ciberseguridad de Nueva Zelanda) sobre una campaña de spearphishing cuyo objetivo son los empleados públicos neozelandeses.

Los ataques de phishing (para el robo de usuarios y contraseñas) se están dando con mucha frecuencia en la red contra todo tipo de usuarios comunes, incluso en español. Ya hablé de ello en otra entrada del blog. Y si seguís mi cuenta de twitter o leeis algunos de los muchos blogs de seguridad que hay en internet, veréis que todavía andan por ahí "pululando".

La diferencia y la importancia radica ahora en que se trata de un ataque de spearphishing que tiene como objetivo preciso a empleados del gobierno neozelandés.

Las víctimas reciben un correo electrónico, donde figura como remitente la dirección de un contacto conocido, con un formato parecido al siguiente (en inglés):

Asunto: correo seguro.

Mensaje:

      Hola,

      Te he enviado un correo previamente, pero ha dado un fallo en la entrega. Por lo tanto, te lo he vuelto a enviar usando una línea de correo seguro. Pulsa aquí para leer el mensaje.

      Un saludo,

Si el receptor pulsa en el enlace, es dirigido a una página web donde se le pide el usuario y contraseña de su cuenta de correo; lo que permite al atacante acceder a ella.

https://1.bp.blogspot.com/-FPwN1cymgco/U2zAdd6y_rI/AAAAAAAAMSQ/kXqd4GxesM4/s1600/hack.jpg

No se puede descartar que los atacantes "exporten" el ataque para hacerlo funcionar en las administraciones públicas de otros países, incluyendo aquellos de habla hispana. Dado que el español es uno de los idiomas más hablados en el mundo, siempre resulta rentable para los cibercriminales traducir sus trampas a este idioma entre los primeros.
El NCSC está recomendando a los responsables de seguridad de los distintos departamentos, que adviertan a los empleados para que, en caso de recibir dicho correo, no respondan ni pulsen en el enlace. Y que, en caso de haber sido ya comprometidos, informen al propio NCSC, a través de dichos responsables.

Podéis descargaros el informe completo del NCSC (en inglés) en el siguiente enlace: