Expertos en seguridad informática han detectado una nueva táctica utilizada por ciberdelincuentes para acceder a credenciales de empleados en entornos corporativos. Este método se despliega en dos fases y comienza con la saturación de las bandejas de entrada de correo electrónico con miles de mensajes legítimos, dificultando la detección del ataque.
Fase inicial: saturación del correo electrónico
Según datos proporcionados por Retarus, proveedor de servicios de mensajería, pequeños grupos de trabajadores pueden recibir hasta 3 000 mensajes en un solo día, alcanzando decenas de miles a nivel organizacional. Estos correos corresponden a suscripciones o notificaciones auténticas con autenticación válida y sin enlaces o archivos maliciosos, lo que impide que los filtros convencionales identifiquen esta actividad como maliciosa.
Fase secundaria: suplantación del soporte técnico
Una vez saturadas las bandejas de entrada, los atacantes contactan directamente con las víctimas mediante llamadas telefónicas o plataformas corporativas como Microsoft Teams. Se hacen pasar por el soporte técnico de la empresa con el objetivo de obtener credenciales de acceso o instalar software remoto, prometiendo solucionar el problema.
Medidas recomendadas para la defensa
Los especialistas señalan que es fundamental actualizar las defensas corporativas para detectar anomalías en el tráfico de correos, como incrementos repentinos en el volumen o errores de autenticación. Para ello, recomiendan el uso de plataformas de monitorización como Grafana, Splunk, Dynatrace o Elastic, que facilitan la observabilidad del sistema.
Además, el análisis en vivo del tráfico por remitente, asunto o rango temporal permite identificar la relación entre la saturación de mensajes y los intentos fraudulentos de contacto. Con estos datos, los administradores pueden bloquear dominios maliciosos rápidamente, minimizando el impacto del ataque.
También se enfatiza la necesidad de establecer políticas internas estrictas, formando a los empleados para desconfiar de solicitudes urgentes de credenciales y utilizar únicamente los canales oficiales de soporte técnico.