El grupo analítico Google Threat Intelligence Group (GTIG) ha detectado una tendencia alarmante: los hackers de ransomware del grupo UNC6671 han cambiado radicalmente su táctica y ahora atacan de forma dirigida a fondos de inversión privados, firmas legales y agencias de calificación vinculadas a Wall Street. No se trata de un hackeo banal, sino de una campaña de alta tecnología que utiliza el vishing (phishing por voz), poniendo en riesgo a la élite financiera de Estados Unidos.
Cómo funciona el nuevo esquema de ataque
La metodología de los ciberdelincuentes es sofisticada y de múltiples etapas. Las llamadas se realizan directamente a los teléfonos móviles personales de los empleados, donde los hackers, haciéndose pasar por personal de soporte de TI, convencen a la víctima de «actualizar urgentemente el sistema de seguridad». A la víctima se la redirige a portales de autenticación falsos que son visualmente indistinguibles de los corporativos.
La característica clave es el uso de sistemas adversary-in-the-middle (AiTM). Estas plataformas interceptan en tiempo real no solo nombres de usuario y contraseñas, sino también tokens de autenticación multifactor (MFA), anulando la protección adicional. Tras obtener acceso, los hackers ejecutan scripts automáticos para extraer datos de servicios en la nube, incluidos Microsoft 365 y Okta.
«En todos los ataques se utiliza vishing personalizado en nombre del soporte de TI, paneles para interceptar datos mediante AiTM y el posterior robo de información de aplicaciones SaaS», se destaca en el informe.
Cambio de objetivos: de la tecnología a las finanzas
Es notable que hasta junio de este año el grupo buscaba secretos comerciales y código fuente en los sectores tecnológico, de transporte y hotelero. Sin embargo, en julio se produjo un giro brusco hacia el sector financiero. Gigantes como Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group, Clearlake Capital y Moody’s entraron en el punto de mira de los atacantes.
Mis colegas y yo realizamos un análisis independiente de la infraestructura de los atacantes. Al comparar 72 direcciones de internet publicadas a través de los servicios DomainTools y urlscan, logramos identificar subdominios pertenecientes a cada una de las empresas mencionadas. Esto confirma que los ataques no fueron aleatorios, sino operaciones cuidadosamente planificadas contra objetivos específicos.
Según los datos disponibles, algunas empresas ya han pagado el rescate, aunque los nombres de los afectados no se revelan. Sigue sin estar claro cuántas organizaciones lograron repeler la intrusión.
Mi comentario: Este ataque es un claro ejemplo de cómo los ciberdelincuentes se adaptan a las medidas de protección. El uso de ingeniería social para eludir la MFA es una señal seria para todo el sector financiero. Los fondos de inversión deben revisar sus protocolos de verificación de empleados e implementar claves de seguridad de hardware, en lugar de depender únicamente de métodos de autenticación por software.