Miles de correos electrónicos en un solo día, seguidos poco después por una llamada del supuesto departamento de TI para resolver el problema. El proveedor de soluciones cloud, Retarus, advierte de una combinación de ataques que utiliza la sobrecarga del correo electrónico corporativo como punto de partida para comprometer la seguridad de las organizaciones.
Los expertos de la empresa están observando un número creciente de los denominados ataques de ‘inbox bombing’, en los que los ciberdelincuentes inundan buzones específicos con mensajes técnicamente legítimos. A continuación, se ponen en contacto con las víctimas, a menudo a través de herramientas de chat como MS Teams, haciéndose pasar por el servicio de asistencia técnica interno. Su objetivo es obtener credenciales de inicio de sesión, hacerse con códigos de autenticación multifactor o engañar a los empleados para que instalen herramientas de acceso remoto.
En uno de los casos observados, unos doce empleados recibieron cada uno entre 2.000 y 3.000 correos electrónicos en un solo día, lo que supuso más de 30.000 mensajes diarios para esa única empresa.
“Los bombardeos de correos electrónicos no sólo tienen como objetivo entorpecer el trabajo de un empleado. Los atacantes crean el caos y luego se presentan como los únicos que pueden resolverlo. Esta técnica convierte un problema aparentemente operativo en una oportunidad para robar credenciales u obtener acceso a los sistemas de la empresa”, afirma Yeray Fraga, Director General de Retarus España.
Fases del ataque
La primera fase del ataque se basa en suscripciones a boletines informativos, notificaciones push y otros mensajes inofensivos. Los atacantes utilizan diversas combinaciones de direcciones de remitente y destinatario, así como variaciones de subdominios, para ocultar cualquier patrón común.
Además, estos mensajes pueden autenticarse correctamente y no contienen enlaces peligrosos ni archivos adjuntos maliciosos. Por lo tanto, los filtros que evalúan cada correo electrónico de forma individual tienen dificultades para reconocer que forman parte de la misma campaña. La avalancha de mensajes resultante crea entonces el contexto para la segunda fase: un contacto externo de ‘ayuda’ a través de una llamada telefónica o un chat.
Más allá del filtro antispam
Para Retarus, esta combinación de canales exige una defensa que vaya más allá del simple análisis del contenido de los mensajes. La visibilidad del tráfico de correo electrónico, el rápido análisis de anomalías y la capacidad de respuesta resultan esenciales para identificar y contener el incidente.
Los filtros antispam y antiphishing ayudan a reducir la llegada de contenidos sospechosos o maliciosos. Sin embargo, cuando los correos electrónicos individuales no muestran signos claros de amenaza, es necesario analizar el panorama general: un aumento repentino de los e-mails entrantes puede entrañar un ataque que pasaría desapercibido si se examinara cada mensaje por separado.
Retarus Email Security proporciona métricas de observabilidad que permiten a los equipos de TI y de seguridad identificar cambios en el volumen de correo electrónico entrante, las tasas de cuarentena o los errores de autenticación. Estos datos pueden integrarse en plataformas de monitorización como Grafana, Splunk, Dynatrace o Elastic.
Además, myEAS Email Live Search permite analizar el tráfico por remitente, dirección IP, asunto y períodos de tiempo. Igualmente, la integración con sistemas SIEM facilita la correlación de esta información con datos de Microsoft Teams, sistemas de identidad y equipos corporativos para identificar sobrecargas de correo electrónico y contactos de soporte falsos como incidente.
Una vez identificada la campaña, la API de administración de Retarus permite bloquear remitentes o dominios mediante listas de restricción de entrada y listas de bloqueo antispam, tanto para destinatarios específicos como para toda la organización.
“La respuesta debe combinar la tecnología con procedimientos claros para los empleados. Detectar y contener rápidamente una avalancha de mensajes es tan importante como evitar que la urgencia lleve a las personas a confiar en un supuesto experto técnico. Los canales de asistencia establecidos deben seguir siendo la fuente de referencia, especialmente cuando alguien solicita credenciales, códigos de autenticación o acceso remoto”, concluye Fraga.
