Una campaña de ingeniería social está combinando avalanchas de correo no deseado con mensajes y llamadas fraudulentas por Microsoft Teams. El objetivo: convencer a los empleados de que entreguen acceso remoto a sus dispositivos mediante herramientas legítimas como Quick Assist, AnyDesk o ScreenConnect.
Arctic Wolf, firma de investigación en ciberseguridad, afirma haber observado más de 400 incidentes con un patrón similar. Aunque no se ha confirmado qué hacen los atacantes en todos los casos, la actividad podría servir para mantener el acceso a las redes y preparar una posible infección con malware o ransomware.
## Así se desarrolla el ataque
El primer indicio suele ser una entrada de cientos —o incluso miles— de mensajes de spam en la bandeja de correo de una persona en la organización. La avalancha puede ocultar correos importantes y generar confusión justo antes del siguiente paso.
Poco después, la víctima recibe un mensaje por Teams de una cuenta que aparenta pertenecer al servicio de asistencia informática. El perfil puede utilizar nombres como “IT Service Desk” y, en ocasiones, añadir un nombre de pila. El remitente asegura que está al tanto de los problemas con el correo y ofrece ayuda. En algunos casos, también llama a la persona por Teams para que la interacción parezca más convincente.
A continuación, le pide que permita el acceso remoto a su equipo. A menudo, la solicitud consiste en abrir Quick Assist, una herramienta integrada en Windows, y compartir un código de seis dígitos. En otros casos, se emplean herramientas comerciales como AnyDesk o ScreenConnect.
El uso de software legítimo puede hacer que la petición parezca rutinaria, pero no la convierte en segura. Según Arctic Wolf, los responsables de la campaña envían tanto el spam como los mensajes de Teams. Una vez que obtienen acceso, pueden instalar otra herramienta de administración remota para conservar una vía de control independiente y explorar la red de la organización.
## La configuración de Teams que facilita el contacto
La campaña no depende de una vulnerabilidad conocida de Microsoft Teams. Se aprovecha de una función legítima: el acceso externo o federación, que puede permitir que usuarios de otros entornos de Microsoft 365 contacten con los empleados.
Si la organización mantiene una configuración abierta, sus trabajadores podrían recibir mensajes de cuentas pertenecientes a otros inquilinos de Microsoft 365. Arctic Wolf señala que esta capacidad es uno de los elementos que los atacantes explotan con mayor frecuencia.
## Medidas para reducir el riesgo
Las organizaciones deberían revisar la configuración de acceso externo de Teams y evitar permitir comunicaciones indiscriminadas entre inquilinos cuando no exista una necesidad empresarial. En su lugar, pueden establecer una lista de organizaciones externas de confianza, de acuerdo con las recomendaciones de administración de Microsoft.
La configuración técnica debe complementarse con formación para los empleados. Conviene recordarles que un mensaje o una llamada por Teams no demuestra por sí solo que el contacto sea legítimo. También deben desconfiar de solicitudes inesperadas para compartir códigos de Quick Assist, instalar herramientas de acceso remoto o conceder el control de su equipo.
Ante una petición de este tipo, lo más prudente es interrumpir la interacción y verificarla mediante un canal conocido, como el número o el portal oficial de soporte interno. Si alguien ya compartió un código o permitió el acceso, debe avisar inmediatamente al equipo de seguridad o de TI para que puedan revisar el dispositivo y tomar medidas.
from Latest from TechRadar https://ift.tt/9sFCQT6
via IFTTT IA
