Al ciberataque contra el SEPE se unieron el mes pasado otros contra el Área Metropolitana de Barcelona o el Ayuntamiento de Castellón
Mensajes SMS que se hacían pasar por Correos, DHL, FedEx o MRW escondían en realidad amenazas contra usuarios de Android
Durante el pasado mes de marzo el laboratorio de ESET, la mayor empresa de ciberseguridad de la Unión Europea, observó cómo el ransomware seguía afectando a numerosas empresas e importantes organismos oficiales. De hecho, según apuntan desde la compañía, esta sigue siendo probablemente la amenaza más peligrosa a la que se enfrentan las empresas de todos los tamaños actualmente, mientras que los troyanos bancarios continúan obteniendo nuevas víctimas entre los usuarios particulares.
El ciberataque sufrido por el SEPE a principios de mes ha sido el incidente de ciberseguridad más comentado durante las últimas semanas en España: que un organismo oficial tan crítico en la actualidad fuera víctima de un ransomware llevó de nuevo a esta amenaza a la portada de los informativos de todo el país. Aun a día de hoy se desconoce el alcance total que tuvo este ciberataque o si los atacantes consiguieron obtener información confidencial desde los sistemas que consiguieron infectar. Lo que sí sabemos es que no fue el único incidente de estas características acontecido durante el mes pasado, ya que el Área Metropolitana de Barcelona también sufrió un ataque similar a mediados de mes.
También el Ayuntamiento de Castellón sufrió uno de estos incidentes que dejó bloqueado su sistema informático, impidiendo a los usuarios acceder a la página web municipal y a servicios como la sede electrónica o el portal tributario.
Continúa el auge de los troyanos bancarios
Si hay una amenaza que ha cobrado un especial protagonismo desde finales del año pasado, esa es la de los troyanos bancarios dirigidos a usuarios de Android. Desde entonces hemos visto numerosos ejemplos mediante el envío de mensajes SMS que se hacen pasar principalmente por empresas de logística como Correos, DHL, FedEx o, más recientemente, MRW, aunque los delincuentes también han suplantado la identidad de otras empresas sin relación con este gremio.
La finalidad de estos mensajes es convencer al usuario para que pulse sobre el enlace proporcionado y redirigirle a una web especialmente preparada desde la que se descarga una aplicación para, supuestamente, realizar el seguimiento de su envío. Sin embargo, lo que se descarga en el dispositivo es en realidad una amenaza con varias funcionalidades y que permite a los delincuentes obtener las credenciales de acceso a la entidad bancaria y a los mensajes de confirmación para realizar transferencias de dinero desde la cuenta de la víctima.
Además del uso de las empresas de logística como gancho, durante el pasado mes de marzo también vimos cómo los delincuentes usaban supuestas actualizaciones del sistema Android y del navegador para conseguir atraer a las víctimas a las webs de descarga de las apps maliciosas.
Por su parte, los troyanos bancarios dirigidos a usuarios de Windows y provenientes de Latinoamérica han seguido realizando sus campañas mediante emails suplantando, por ejemplo, a la DGT, a la Seguridad Social o usando la plantilla del burofax online. Desde el laboratorio de ESET también se observó cómo algunos de los dominios registrados por los delincuentes para alojar sus amenazas suplantaban a dominios legítimos usados por los servicios de salud en algunas Comunidades Autónomas.
Aprovechamiento de vulnerabilidades en Exchange, Chrome y Apple
Durante el pasado mes también se han encontrado numerosos ejemplos de cómo los delincuentes han estado aprovechándose de algunas de las numerosas vulnerabilidades descubiertas en las últimas semanas. Algunas de las más importantes fueron las que afectaban a servidores Exchange y para las que Microsoft lanzó una serie de parches de seguridad fuera de su ciclo habitual el día 2 de marzo.
Estas vulnerabilidades permiten a un atacante tomar el control de cualquier servidor Exchange accesible desde Internet sin ni siquiera conocer las credenciales de una cuenta válida. A pesar del relativamente rápido ritmo de aplicación de los parches de seguridad, no fueron pocos los delincuentes que trataron de aprovecharse de la situación, incluyendo numerosos grupos APT, y varios miles de servidores fueron comprometidos.
El navegador Chrome también fue protagonista en el mundo de la ciberseguridad durante marzo al verse obligada Google a publicar dos actualizaciones importantes con pocos días de diferencia para corregir vulnerabilidades zero-day que estaban siendo aprovechadas activamente por los atacantes. En una situación parecida se encontró Apple, quien tuvo que lanzar una actualización de emergencia para los usuarios de sus dispositivos con sistema operativo iOS y que afecta a varios modelos de iPhone, iPad o Apple Watch.
A finales de mes conocíamos que el repositorio Git oficial del lenguaje de programación PHP había sido comprometido por atacantes. Estos habrían conseguido modificar el código fuente para incluir una puerta trasera, aunque estas modificaciones fueron detectadas antes de que entraran en producción.
Phishing y estafas relacionadas con la COVID-19
En lo que respecta a aquellas amenazas relacionadas con la suplantación de identidad y las estafas, durante marzo varias autoridades alertaron de estafas que ofrecían vacunas falsas contra la COVID-19 a cambio de criptomonedas. Con millones de personas esperando su turno en el proceso de vacunación que se está llevando a cabo en varios países, los delincuentes han visto su ventana de oportunidad para ganar dinero de forma sencilla a costa de la necesidad de muchas personas.
En lo que respecta los casos de phishing más tradicionales, durante las últimas semanas hemos visto cómo los delincuentes seguían suplantando la identidad de entidades financieras como el BBVA para tratar de obtener las credenciales de acceso a la banca online, junto con los códigos de verificación requeridos para poder realizar transferencias de dinero.
