En un panorama de ciberseguridad cada vez más complejo, es crucial comprender cómo los grupos de riesgo pueden intentar acceder a cuentas a través de técnicas de ingeniería social. Recientemente, las autoridades de seguridad han señalado un esfuerzo específico que apunta a cuentas de funcionarios basados en Ucrania y otras regiones, con el objetivo de obtener información sensible mediante el compromiso de claves de recuperación.

El foco de la amenaza es un ataque de phishing en el que los atacantes se hacen pasar por servicios de soporte de una aplicación de mensajería legítima. Su objetivo es convencer a las víctimas de enviar su Backup Recovery Key, una clave que, una vez expuesta, podría permitir a un tercero tomar control de la cuenta de mensajería y de cualquier otra cuenta creada con el mismo número de teléfono.

Un aviso conjunto de diferentes agencias de seguridad describe la campaña y detalla que los atacantes buscan datos de alto valor en personal militar, gubernamental y figuras relevantes, ubicadas en Estados Unidos, Europa y Ucrania. Los mensajes pueden presentarse como comunicaciones automáticas que solicitan activar la copia de seguridad de mensajes, advirtiendo de riesgos o fallos de sincronización para generar un sentido de urgencia.

La clave para la víctima es no compartir la Backup Recovery Key. Si ya se ha filtrado, algunas plataformas recomiendan crear una nueva clave para invalidar las anteriores y evitar un posible secuestro de la cuenta.

Para reducir el riesgo de caer en estas tácticas, es importante adoptar prácticas de seguridad sólidas:

• Las comunicaciones de soporte suelen llegar desde direcciones oficiales verificables. Verifica siempre la legitimidad del origen antes de responder o compartir información sensible.
• Los servicios de atención al cliente nunca pedirán que compartas tu Backup Recovery Key a través de la aplicación o por mensajes automatizados.
• Nunca te pedirán verificar o restaurar tu cuenta mediante mensajes automatizados de soporte.

Además, para fortalecer la protección de Signal u otras cuentas, considera:

• Usar un passkey cuando sea posible, aprovechando la verificación biométrica del dispositivo para autenticar el inicio de sesión.
• Adoptar autenticación multifactor resistente al phishing siempre que sea viable.
• Verificar cuidadosamente la legitimidad de mensajes y correos, favoreciendo direcciones oficiales.
• No compartir tus Backup Recovery Keys a menos que estés intentando recuperar acceso a través de un servicio legítimo.

La concienciación y la verificación de la fuente son herramientas clave para mantener la seguridad de la información y prevenir que técnicas de phishing exitosas comprometan cuentas personales y profesionales.

from Latest from TechRadar https://ift.tt/cUE5Z1u
via IFTTT IA