La empresa de infraestructura web Cloudflare reveló el martes que al menos 76 empleados y sus familiares recibieron mensajes de texto en sus teléfonos personales y de trabajo con características similares a las del sofisticado ataque de phishing contra Twilio.
El ataque, que ocurrió casi al mismo tiempo que Twilio fue atacado, provino de cuatro números de teléfono asociados con tarjetas SIM emitidas por T-Mobile y finalmente no tuvo éxito.
Los mensajes de texto apuntaban a un dominio aparentemente legítimo que contenía las palabras clave “Cloudflare” y “Okta” en un intento de engañar a los empleados para que entregaran sus credenciales.
La ola de más de 100 mensajes de smishing comenzó menos de 40 minutos después de que se registrara el dominio falso a través de Porkbun, señaló la compañía, y agregó que la página de phishing fue diseñada para transmitir las credenciales ingresadas por los usuarios desprevenidos al atacante a través de Telegram en tiempo real.
Esto también significó que el ataque podría vencer los obstáculos de 2FA, como la contraseña de un solo uso basada en el tiempo (TOTP) los códigos ingresados en la página de inicio falsa se transmitieron de manera análoga, lo que permitió al adversario iniciar sesión con las contraseñas y los TOTP robados.
Cloudflare dijo que tres de sus empleados cayeron en el esquema de phishing, pero señaló que pudo evitar que sus sistemas internos fueran violados mediante el uso de claves de seguridad físicas compatibles con FIDO2 necesarias para acceder a sus aplicaciones.
“Dado que las claves físicas están vinculadas a los usuarios e implementan el enlace de origen, incluso una operación de phishing en tiempo real sofisticada como esta no puede recopilar la información necesaria para iniciar sesión en cualquiera de nuestros sistemas”, dijo Cloudflare.
“Si bien el atacante intentó iniciar sesión en nuestros sistemas con las credenciales de nombre de usuario y contraseña comprometidas, no pudo superar el requisito de la clave física”.
Además, los ataques no se limitaron a robar las credenciales y los códigos TOTP. En caso de que un empleado supere el paso de inicio de sesión, la página de phishing se diseñó para descargar automáticamente el software de acceso remoto de AnyDesk, que, si se instala, podría usarse para apoderarse del sistema de la víctima.
Además de trabajar con DigitalOcean para apagar el servidor del atacante, la compañía también dijo que restableció las credenciales de los empleados afectados y que está reforzando su implementación de acceso para evitar inicios de sesión de VPN, proxies residenciales y proveedores de infraestructura desconocidos.
El desarrollo se produce días después de que Twilio dijera que piratas informáticos desconocidos lograron robar las credenciales de un número no revelado de empleados y obtuvieron acceso no autorizado a los sistemas internos de la empresa, usándolo para apoderarse de las cuentas de los clientes.