Explicación de la estafa de sextorsión de Microsoft: No, no tienen información comprometedora sobre usted
Tácticas inteligentes: los piratas informáticos aprovechan el portal de administración de Microsoft 365 para realizar estafas de sextorsión
Los cibercriminales han ideado un ingenioso método para eludir los filtros de spam y enviar correos electrónicos de sextorsión directamente a bandejas de entrada de personas desprevenidas aprovechando el Portal de administración de Microsoft 365. Utilizan el Centro de mensajes de Microsoft 365, una plataforma normalmente reservada para actualizaciones legítimas de servicios, para difundir sus mensajes engañosos. Al aprovechar su función «Compartir», estos piratas informáticos crean la ilusión de que sus comunicaciones son actualizaciones genuinas de Microsoft.
El esquema de sextorsión al descubierto
El contenido de estos correos electrónicos fraudulentos es inquietante; a menudo afirman que su dispositivo ha sido pirateado y que el remitente posee material incriminatorio, como videos o imágenes de usted en situaciones delicadas. Los estafadores exigen el pago en Bitcoin y amenazan con publicar este supuesto material si no se cumplen sus exigencias. El uso de una dirección de correo electrónico legítima de Microsoft agrega una capa de autenticidad, lo que hace que las amenazas parezcan más creíbles.
Evitando medidas de seguridad
Lo que diferencia a estos correos electrónicos es su capacidad para burlar las medidas de seguridad tradicionales del correo electrónico. Normalmente, los filtros de spam detectarían y marcarían este tipo de estafas. Sin embargo, dado que estos mensajes se originan desde una dirección de Microsoft verificada, específicamente o365mc@microsoft.com , evaden la detección. Esta hábil manipulación de la confianza agrega un nivel significativo de peligro a la situación.
Explotación de vulnerabilidades técnicas
Los atacantes han aprovechado el campo “Mensaje personal” dentro de las capacidades de uso compartido del Centro de mensajes de Microsoft 365. Diseñado para permitir notas explicativas breves, este campo suele admitir un máximo de 1000 caracteres. Sin embargo, los piratas informáticos han encontrado una forma de manipular el atributo maxlength en el elemento textarea de HTML mediante herramientas para desarrolladores de navegadores, lo que les permite superar este límite. En consecuencia, pueden incluir mensajes de sextorsión extensos que se procesan y envían sin truncamiento.
Descuidos de seguridad y concientización de los usuarios
Esta situación plantea serias preocupaciones con respecto a los protocolos de seguridad de Microsoft, ya que socava el principio fundamental de ciberseguridad de “nunca confiar en la entrada del usuario”. La confianza en las validaciones del lado del cliente, como los límites de caracteres, resulta insuficiente cuando no existen comprobaciones del lado del servidor. Por lo tanto, el sistema de correo electrónico procesa y envía sin saberlo los mensajes fraudulentos modificados.
Reconociendo la amenaza
A pesar de las tácticas inteligentes que emplean estos estafadores, es fundamental que los usuarios reconozcan estos correos electrónicos como intentos fraudulentos. Según informa Bleeping Computer , Microsoft está investigando actualmente este grave problema. Sin embargo, todavía no se han implementado medidas preventivas efectivas del lado del servidor para combatir este abuso.
El auge de las estafas de sextorsión avanzada
Recientemente se compartió en el foro de Microsoft Answers un ejemplo inquietante de un correo electrónico de sextorsión. El mensaje contenía símbolos extraños e información personal, como la fecha de nacimiento del destinatario, lo que aumentaba su credibilidad. El correo electrónico amenazaba con publicar imágenes supuestamente inapropiadas a menos que se realizara un pago en bitcoins en un plazo de 48 horas.
Si bien los esquemas de sextorsión no son nuevos, han evolucionado hacia operaciones más sofisticadas. Un segmento significativo de estas estafas está orquestado por grupos notorios, como los “Yahoo Boys” de África Occidental, que son conocidos por compartir guías instructivas en plataformas como TikTok y YouTube, dirigidas específicamente a adolescentes y adultos jóvenes en plataformas de redes sociales como Instagram y Snapchat.
Deja una respuesta