Una investigación de Kaspersky ha identificado más de 390.000 ataques de phishing durante los últimos doce meses que utilizaron infraestructuras cloud legítimas. Entre los servicios aprovechados por los atacantes aparecen Cloudflare Workers, Vercel, Netlify, GitHub Pages e IPFS.
La principal preocupación es que algunas de estas campañas incorporan mecanismos capaces de interceptar códigos de autenticación multifactor y cookies de sesión, lo que incrementa las posibilidades de comprometer cuentas protegidas mediante sistemas adicionales de verificación.
Los ciberdelincuentes utilizan la reputación de plataformas conocidas
El uso de servicios cloud legítimos representa una dificultad añadida para los sistemas tradicionales de detección de amenazas.
A diferencia de las páginas fraudulentas alojadas en dominios sospechosos, estas campañas aprovechan direcciones vinculadas a proveedores tecnológicos reconocidos. Esto puede provocar que tanto los usuarios como determinadas herramientas de seguridad interpreten inicialmente las conexiones como fiables.
Los cibermalos también se benefician de los planes gratuitos, la facilidad para desplegar páginas web y las posibilidades de ejecutar contenido dinámico.
Sin embargo, la presencia de una página en una infraestructura conocida no garantiza que su contenido sea seguro.
Un correo electrónico inicia el robo de las credenciales
Kaspersky ha documentado una campaña dirigida específicamente a usuarios de Microsoft 365 que combina varias técnicas para dificultar su identificación.
El ataque comienza cuando la víctima recibe un correo electrónico que aparenta proceder de una persona conocida. El mensaje incluye un enlace que invita a iniciar sesión. Al pulsarlo, el usuario accede a una página que simula un sistema de comprobación antibots.
En lugar de realizar una verificación convencional, el supuesto CAPTCHA solicita introducir una dirección de correo electrónico corporativa. Este primer formulario permite a los atacantes recopilar información sobre la víctima y determinar cómo continuar el proceso.
Posteriormente, el navegador redirige al usuario a una página alojada en un subdominio legítimo de Cloudflare Workers, donde aparece una segunda comprobación. En esta ocasión, el CAPTCHA es auténtico y se carga dinámicamente, una circunstancia que contribuye a dar credibilidad al procedimiento.
Una ventana falsa de Microsoft 365 permite capturar contraseñas
La siguiente fase utiliza una técnica conocida como Browser-in-the-Browser (BiTB), que consiste en reproducir visualmente una ventana del navegador dentro de una página web.
Los ciberdelincuentes muestran una interfaz prácticamente idéntica a la utilizada para acceder a Microsoft 365. La víctima cree encontrarse ante una ventana legítima de autenticación, aunque realmente está interactuando con un formulario controlado por los atacantes.
El sistema fraudulento está diseñado para obtener nombres de usuario, contraseñas, códigos de autenticación multifactor y cookies de sesión. La captura de estos últimos elementos resulta especialmente preocupante porque puede facilitar el acceso no autorizado a sesiones autenticadas.
Una vez recopilados los datos, la información se transmite a los responsables del ataque y la víctima termina en una página de error genérica. Este último paso busca disimular lo sucedido y evitar que el usuario sospeche inmediatamente del robo.
La autenticación multifactor también puede verse comprometida
Aunque la autenticación multifactor constituye una barrera importante frente al robo de contraseñas, no elimina completamente el riesgo de determinadas campañas avanzadas. Los ataques que interceptan códigos de verificación o secuestran sesiones activas pueden comprometer cuentas incluso cuando existe una segunda comprobación de identidad.
Olga Altukhova, experta en ciberseguridad de Kaspersky, advierte de que los delincuentes están combinando infraestructuras legítimas con procedimientos cada vez más elaborados para aumentar la eficacia de sus campañas.
Cómo evitar estos ataques de phishing
Una de las primeras señales de alerta es encontrar un CAPTCHA que solicita información personal. Las comprobaciones habituales para distinguir personas de programas automatizados no necesitan recopilar direcciones de correo electrónico.
También resulta fundamental desconfiar de las solicitudes inesperadas para iniciar sesión, incluso cuando aparecen en páginas con certificados de seguridad válidos.
Otra medida consiste en comprobar cuidadosamente la dirección real del navegador. Las ventanas falsas creadas mediante BiTB pueden imitar numerosos elementos visuales, pero no modificar la URL de la barra principal.
Acerca del autor
