Hackers estafadores por teléfono apuntan a gigantes de Wall Street en complot de rescate

Read, Watch or Listen

1x 1.5x 2x

1x 1.5x 2x

Los hackers que buscan rescates se han dirigido a docenas de destacadas instituciones financieras estadounidenses y otras grandes empresas durante el último mes, según datos de Google y de inteligencia de internet revisados por Reuters. Los hackers idearon sitios web maliciosos destinados a robar contraseñas a empleados de empresas de capital privado y financieras, incluidas Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group, Clearlake Capital y Moody's. Google dijo en una entrada de blog publicada el jueves que los hackers operan bajo una variedad de nombres, incluyendo Redact, Pink, Falcon y Helix. Google declinó comentar sobre los hallazgos de Reuters. Su blog decía que en algunos casos, empresas que no nombró, pagaron rescates a los hackers. Reuters no pudo determinar qué empresas fueron comprometidas con éxito por los hackers. Los expertos dicen que el uso de tácticas de baja tecnología por parte de los hackers, como llamadas telefónicas para atacar la industria financiera, ilustra cómo, a pesar de sofisticados programas de seguridad y amenazas impulsadas por IA, las tácticas más antiguas siguen siendo de las más efectivas. Si tienen éxito, los hackeos podrían comprometer datos de algunas de las mayores firmas de capital privado de EE. UU. que proporcionan capital a las empresas. "Dado que la valla es ahora tan sofisticada y de alta tecnología, solo tenemos que engañar al guardia para que nos abra la puerta", dijo Lee Clark, gerente de producción de inteligencia de ciberamenazas con el ISAC de Comercio Minorista y Hostelería, un grupo de intercambio y análisis de información de la industria. "Ese elemento humano es consistentemente la razón por la que esto ha explotado de la manera en que lo ha hecho", dijo. KKR, Bain Capital, Clearlake Capital, CME, TPG y Apollo declinaron comentar. Blackstone, Bridgewater Associates y Moody's no respondieron de inmediato a las solicitudes de comentarios. En su entrada de blog, Google dijo que los hackers habían dirigido recientemente su atención a firmas de capital privado, bufetes de abogados y agencias de calificación financiera. Austin Larsen, analista principal de amenazas del Grupo de Inteligencia de Amenazas de Google, dijo que los hackers generalmente se dirigían a industrias basadas en cálculos financieros, a menudo con éxito. "En realidad, es una cuestión de dinero", dijo Larsen. "Piensan que estas firmas u organizaciones tienen datos lo suficientemente sensibles como para que, si se toman, pagarían para evitarlo." Google no identificó a ninguno de los objetivos de los hackers por nombre. Reuters realizó ingeniería inversa de muchas de las trampas en línea específicas de cada empresa utilizadas por los hackers ejecutando los 72 sitios web maliciosos que Google enumeró en su informe a través de plataformas de inteligencia web como DomainTools y urlscan, que señalaron subdominios maliciosos adaptados a cada firma. Hablando en general sobre los subdominios, Larsen dijo: "Todos probablemente se usaron en intentos de intrusión", aunque advirtió: "No todos tuvieron éxito." Google dijo que los hackers usaron "meticulosas tácticas de ingeniería social", contactando a los empleados en sus teléfonos celulares personales haciéndose pasar por el servicio de asistencia técnica de su empresa, a veces mostrando el número de teléfono correcto del servicio de asistencia. Los hackers dijeron a sus objetivos que había una directiva urgente de TI para actualizar sus contraseñas o autenticación multifactor y dirigieron a los empleados a un sitio web con trampas con nombres de dominio como "passkeyhelpdesk" o "secure-passkey". Si un empleado seguía las instrucciones para ingresar su contraseña, los hackers recopilaban su código de acceso de recuperación, generalmente enviado por mensaje de texto o generado por una aplicación, en vivo por teléfono y secuestraban su cuenta antes de que terminara la llamada. Larsen dijo que era erróneo pensar que la táctica era particularmente avanzada. "Sofisticado no es la palabra correcta", dijo. "Es simplemente muy efectivo." Reuters no pudo contactar a los supuestos hackers. Redact, que alguna vez se llamó Blackfile, dijo en su sitio web de la darknet que sus hackers "no son" y el mensaje se interrumpe.