En un entorno empresarial, los empleados usan Google Translate de forma regular para obtener acceso a los documentos con los que necesitan trabajar o sitios web que están en otro idioma.
Modus Operandi
Ahora, una banda “Actores” de Ciberextorsión Sexual ó Sextortion están utilizando nuevas tácticas para evadir y saltar los filtros de spam empresariales y gateway de seguridad para el correo, con el objetivo que sus correos electrónicos criminales se entreguen a los usuarios de la organización.
Las estafas de Sextortion generalmente indican que los “Actores” han hackeado la estación de trabajo de algún empleado y que pueden monitorear los sitios web que fueron visitados y grabarlos a través de la cámara web.
Luego, afirman tener un video del empleado mirando sitios web para adultos y enviarán el video a todos los contactos a menos que se pague el monto de la extorsión. Esta es una estafa común donde los filtros de spam y gateway de seguridad para el correo actuales son bastante buenos para bloquear este tipo de corre basura (SPAM).
Sin embargo, hay una nueva táctica de evasión que utiliza ingeniería social para evitar los filtros de spam y gateway de seguridad para el correo, los atacantes han comenzado a usar una nueva táctica. Envían correos electrónicos de Sextortion en distintos idiomas extranjeros y dividen las direcciones de bitcoin en dos partes.
Esto se ilustra en un nuevo correo electrónico de Sextortion compartido con Bleeping Computer donde los estafadores “Actores” envían los correos electrónicos de estafa a usuarios de habla inglesa pero con el contenido escrito en ruso. Cómo se puede ver en el correo electrónico anterior, el único texto en inglés son las instrucciones para "Usar el traductor de Google".
Además de usar un idioma extranjero cuando se dirigen a usuarios de habla inglesa, los estafadores “Actores” también dividen la dirección de bitcoin en dos partes y luego proporcionan instrucciones para combinar las dos partes para crear la dirección real de bitcoin a la que se debe enviar el pago por la extorsión.
Agregar estas dos tácticas hace que sea un poco más difícil para el destinatario entender lo que está recibiendo, pero los atacantes “Actores” esperan que las posibles capacidades de evasión superen la complejidad de traducir el mensaje.
Como usted y yo sabemos, algunos usuarios verán sitios web para adultos utilizando la red de la compañía. Sí, están sus gateway y listas de bloqueo, pero siempre están un poco atrasados. En el peor de los casos, un correo electrónico de Sextortion llega a uno de esos empleados que nunca lo hacen bien y pueden desesperarse por mantener su trabajo. Es un camino fácil hacia su red porque los “Actores” ahora tienen influencia.
Fuente: KnowBe4
Visión de Inntesec
Los usuarios dentro de su organización necesitan trabajar con una elevada sensación de seguridad, una que haga sonar las campanas de alarma en el momento en que vean algo que parezca que está fuera de lugar o que incluso es un poco sospechoso. Esta sensación de seguridad se deriva a través de la Capacitación continua de concientización sobre seguridad “Security Awareness”, diseñada para educar al usuario sobre cómo desempeñan un papel en la seguridad de la organización y sobre los métodos utilizados por los estafadores “Actores” para intentar engañar a los usuarios para que se conviertan en participantes de ataques involuntarios.
Implementar un Programa de Concientización de Ciberseguridad es clave, nuestra visión disruptiva, es llevar al usuario que es el eslabón más débil de una organización a un nivel de Human Firewall a través de un programa anual (USD 30 usuario/mes, incluye implementación y administración) de Security Awareness Program, que mide el nivel de madurez de cada usuario y a su vez de toda la organización llevándola desde un 50% de probabilidad real que sea víctima de un fraude, suplantación de identidad o data breach a menos de un 3% totalmente medible, dicho programa incluye:
Charlas de Concientización sobre Cyber Security para Altos Ejecutivos.
e-Learning a través de Newsletter, Videos Educativos y Videos de Entrenamiento Interactivos en materia de Cyber Security, con entrega de certificado para los usuarios que han pasado satisfactoriamente el curso e-Learning.
Simulador de Ataques Ethical Phishing, Vishing, USB Attack, Social Engineering y mucho más.
Fuente: Inntesec
Comments