Los autores de llamadas de voz aprovechan la política BYOD para acceder a Microsoft 365 y a los datos corporativos

Cier­tos gru­pos de ci­ber­de­lin­cuen­tes están apro­ve­chan­do la prác­ti­ca de uti­li­zar dis­po­si­ti­vos per­so­na­les para ac­ce­der a re­cur­sos la­bo­ra­les con el fin de elu­dir las de­fen­sas de se­gu­ri­dad cor­po­ra­ti­vas. A tra­vés de lla­ma­das te­le­fó­ni­cas y men­sa­jes de texto di­ri­gi­dos a los te­lé­fo­nos par­ti­cu­la­res de em­plea­dos, ad­mi­nis­tra­do­res y eje­cu­ti­vos, los ata­can­tes se hacen pasar por per­so­nal de so­por­te téc­ni­co para en­ga­ñar­los y lo­grar que ac­tua­li­cen sus mé­to­dos de au­ten­ti­ca­ción. Me­dian­te en­la­ces de *phishing* que imi­tan pá­gi­nas le­gí­ti­mas de ini­cio de se­sión, los agre­so­res con­si­guen robar cre­den­cia­les, *to­kens* de se­sión y re­gis­trar sus pro­pios dis­po­si­ti­vos de au­ten­ti­ca­ción mul­ti­fac­tor.

Una vez que ob­tie­nen ac­ce­so ini­cial a las cuen­tas, los ata­can­tes uti­li­zan la in­ter­faz de pro­gra­ma­ción de apli­ca­cio­nes Mi­cro­soft Graph para rea­li­zar ta­reas de re­co­no­ci­mien­to y enu­me­ra­ción a gran es­ca­la den­tro del en­torno en la nube. Al en­fo­car sus ata­ques en di­rec­ti­vos y ad­mi­nis­tra­do­res con altos pri­vi­le­gios, pue­den ma­pear usua­rios, gru­pos, per­mi­sos y re­cur­sos sin le­van­tar sos­pe­chas, ya que las con­sul­tas a esta in­ter­faz sue­len pa­re­cer ope­ra­cio­nes co­ti­dia­nas. Pos­te­rior­men­te, pro­ce­den a ex­traer in­for­ma­ción con­fi­den­cial de ser­vi­cios como Sha­re­Point, One­Dri­ve y Ex­chan­ge me­dian­te la des­car­ga pe­rió­di­ca de pe­que­ños lotes de ar­chi­vos para pasar des­aper­ci­bi­dos.

In­ves­ti­ga­do­res de Mi­cro­soft han es­ta­do ras­trean­do estas ope­ra­cio­nes vin­cu­la­das a ac­to­res ma­li­cio­sos es­pe­cí­fi­cos que pos­te­rior­men­te trans­fie­ren el ac­ce­so ob­te­ni­do a gru­pos de ex­tor­sión, como ShinyHun­ters, aun­que to­da­vía no se ha es­ta­ble­ci­do una co­ne­xión di­rec­ta entre estas cam­pa­ñas y bre­chas cor­po­ra­ti­vas con­cre­tas. Para fre­nar estas tác­ti­cas, los ex­per­tos re­co­mien­dan im­ple­men­tar au­ten­ti­ca­ción mul­ti­fac­tor re­sis­ten­te a la su­plan­ta­ción de iden­ti­dad, li­mi­tar los per­mi­sos y el uso de có­di­gos de dis­po­si­ti­vos en he­rra­mien­tas de ac­ce­so con­di­cio­nal, y re­for­zar el mo­ni­to­reo de las so­li­ci­tu­des a la in­ter­faz Graph.