Una ataque sofisticada contra una empresa de monedas digitales
Una ataque ciblada contra una empresa de monedas digitales en Asia del Este ha destruido el portafolio del empleado de 11,8 millones de dólares en monedas digitales. Los ladrones han utilizado un falso entrevisto de contratación en LinkedIn y un test de código para comprometer el ordenador profesional del desarrollador.
Las etapas de la ataque
La ataque comenzó con un mensaje en LinkedIn, donde el estafador se presentaba como el recruteur de una empresa relacionada con las monedas digitales. El desarrollador participó en varios entrevistos en Google Meet, pero su interlocutor siempre mantuvo la cámara apagada. Luego recibió un enlace a un sitio falso donde debía realizar un test de programación.
La falla
La falla decisiva de la ataque no estaba en un wallet o un protocolo, sino en un ordenador profesional comprometido por un falso recruter. Los ladrones robaron el token de sesión Bitbucket del desarrollador, lo que les permitió acceder al compte y modificar las instrucciones de depósito automático de los logiciels de la empresa.
Las consecuencias
El daño causado asciende a 11,8 millones de dólares estadounidenses, es decir, aproximadamente 15,1 millones de dólares singapurenses. La policía de Singapur y la agencia nacional de seguridad cibernética recomiendan verificar cada recruter por los canales oficiales de la empresa y rechazar cualquier descarga proveniente de un sitio desconocido.
Las lecciones aprendidas
Esta ataque muestra cómo un simple test de contratación puede abrir la puerta hasta los sistemas financieros de una empresa. Las empresas deben proteger sus claves API, reforzar la autenticación multifactor, supervisar sus depósitos de código y cloisonar sus procedimientos de depósito.
Las medidas a tomar
En caso de duda, las empresas deben aislar inmediatamente el aparato, revocar todas las sesiones activas, cambiar los identificadores y verificar los registros de acceso. Es importante también nunca ejecutar un test técnico en una máquina profesional conectada a los sistemas internos.
