Los piratas informáticos detrás de Twilio Breach también se dirigieron a los empleados de Cloudflare

La compañía de infraestructura web Cloudflare reveló el martes que al menos 76 empleados y sus familiares recibieron mensajes de texto en sus teléfonos personales y de trabajo con características similares a las del sofisticado ataque de phishing contra Twilio .

El ataque, que ocurrió casi al mismo tiempo que Twilio fue atacado, provino de cuatro números de teléfono asociados con tarjetas SIM emitidas por T-Mobile y finalmente no tuvo éxito.

Los mensajes de texto apuntaban a un dominio aparentemente legítimo que contenía las palabras clave "Cloudflare" y "Okta" en un intento de engañar a los empleados para que entregaran sus credenciales.

La ola de más de 100 mensajes de smishing comenzó menos de 40 minutos después de que se registrara el dominio falso a través de Porkbun, señaló la compañía, y agregó que la página de phishing fue diseñada para transmitir las credenciales ingresadas por los usuarios desprevenidos al atacante a través de Telegram en tiempo real.

cloudflare

Esto también significó que el ataque podría vencer los obstáculos 2FA, ya que los códigos de contraseña de un solo uso basados ​​en el tiempo ( TOTP ) ingresados ​​en la página de inicio falsa se transmitieron de manera análoga, lo que permitió al adversario iniciar sesión con las contraseñas y TOTP robados.

Cloudflare dijo que tres de sus empleados cayeron en el esquema de phishing, pero señaló que pudo evitar que sus sistemas internos fueran violados mediante el uso de claves de seguridad físicas compatibles con FIDO2 necesarias para acceder a sus aplicaciones.

phishing

"Dado que las claves físicas están vinculadas a los usuarios e implementan el enlace de origen, incluso una operación de phishing en tiempo real sofisticada como esta no puede recopilar la información necesaria para iniciar sesión en cualquiera de nuestros sistemas", dijo Cloudflare.

"Si bien el atacante intentó iniciar sesión en nuestros sistemas con las credenciales de nombre de usuario y contraseña comprometidas, no pudo superar el requisito de la clave física".

Además, los ataques no se limitaron a robar las credenciales y los códigos TOTP. En caso de que un empleado supere el paso de inicio de sesión, la página de phishing se diseñó para descargar automáticamente el software de acceso remoto de AnyDesk, que, si se instala, podría usarse para apoderarse del sistema de la víctima.

Además de trabajar con DigitalOcean para apagar el servidor del atacante, la compañía también dijo que restableció las credenciales de los empleados afectados y que está reforzando su implementación de acceso para evitar inicios de sesión de VPN, proxies residenciales y proveedores de infraestructura desconocidos.

El desarrollo se produce días después de que Twilio dijera que piratas informáticos desconocidos lograron robar las credenciales de un número no revelado de empleados y obtuvieron acceso no autorizado a los sistemas internos de la empresa, usándolo para apoderarse de las cuentas de los clientes.

 

Fuente: Thehackernews.

Comments are closed.

Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies, pinche el enlace para mayor información.

ACEPTAR
Aviso de cookies