En los correos electrónicos de extorsión, los ciberdelincuentes amenazan con publicar información comprometedora sobre sus víctimas, como una foto vergonzosa, y exigen el pago en criptomonedas. Los atacantes suelen comprar las credenciales de inicio de sesión de las víctimas o las obtienen mediante filtraciones de datos para "probar" que su amenaza es legítima.
Para comprender mejor la infraestructura financiera que utilizan los atacantes en los correos electrónicos de extorsión, Barracuda se asoció con investigadores de la Universidad de Columbia para analizar más de 300.000 correos electrónicos capturados por los detectores basados en inteligencia artificial de Barracuda Networks durante un período de un año cuando se detectaron ataques de extorsión.
🔎Ejemplo de carta de presentación extorsiva (Imagen: Barracuda Networks)
A continuación, analizaremos más de cerca las monedas utilizadas en estos ataques, cómo los atacantes usan las direcciones de Bitcoin, el volumen de correos electrónicos enviados y las cantidades de dinero solicitadas.
Criptomonedas utilizadas por atacantes de extorsión
En el conjunto de datos examinado, Bitcoin es la única criptomoneda utilizada por los atacantes. Hay varias razones por las que los delincuentes utilizan Bitcoin como método de pago preferido para los rescates. Bitcoin es en gran medida anónimo, las transacciones se procesan a través de direcciones de billetera y cualquiera puede generar tantas direcciones de billetera como quiera.
Además, la infraestructura que rodea a Bitcoin está bien desarrollada, lo que facilita a las víctimas la compra de Bitcoin y permite a los atacantes anonimizar aún más sus acciones utilizando los llamados "mezcladores". Estos son servicios diseñados para ocultar el historial de transacciones combinando y dividiendo aleatoriamente Bitcoin de numerosas billeteras. Además, debido a la naturaleza pública de la cadena de bloques, los extorsionadores pueden verificar fácilmente si una víctima ha pagado o no, eliminando algunos de los problemas encontrados con las transacciones tradicionales.
Análisis de direcciones de Bitcoin
Aunque Bitcoin es anónimo, aún puedes obtener información muy interesante sobre los atacantes y su comportamiento analizando las direcciones de Bitcoin en sus correos electrónicos de extorsión. Por ejemplo, si se utiliza la misma dirección de Bitcoin en varios correos electrónicos recibidos de los usuarios, muestra que pertenece al mismo atacante o grupo de atacantes.
Al analizar el conjunto de datos examinados, los investigadores descubrieron que los ataques se concentran en un pequeño número de direcciones de Bitcoin. En total, había alrededor de 3.000 direcciones únicas de Bitcoin, de las cuales las 10 principales aparecieron en aproximadamente el 30 por ciento de los correos electrónicos y las 100 principales aparecieron en aproximadamente el 80 por ciento de los correos electrónicos. Esto sugiere que un pequeño número de atacantes son responsables de la gran mayoría de los correos electrónicos de extorsión. Entonces, si puedes detener a estos atacantes o bloquear efectivamente sus métodos, una gran parte de esta amenaza de correo electrónico puede neutralizarse.
Análisis cruzado de la dirección de Bitcoin y el remitente del correo electrónico
Otro dato importante para asignar correos electrónicos a atacantes específicos son los campos de correo electrónico. Por ejemplo, el campo "Remitente" de cada correo electrónico puede verse como un proxy del atacante. Si varios correos electrónicos provienen del mismo remitente, pertenecen al mismo atacante. La investigación agrupó los correos electrónicos por el campo "remitente" y contó la cantidad de correos electrónicos que envió cada remitente, así como la cantidad de direcciones Bitcoin únicas que utilizó cada remitente.
Esto demostró que la gran mayoría de todos los remitentes utilizaron la misma dirección de Bitcoin en sus ataques. Esto se aplica tanto a los atacantes que envían una gran cantidad de correos electrónicos como a los chantajistas que sólo trabajan con pequeñas cantidades. Además, de los 120.000 remitentes únicos en todo el conjunto de datos, menos de 3.000 remitentes enviaron más de diez correos electrónicos. Sólo ocho remitentes enviaron más de 500 correos electrónicos.
Esto demuestra que los atacantes son algo negligentes a la hora de ocultar sus identidades y en la gran mayoría de los casos utilizan la misma dirección de Bitcoin para sus estafas. Esto crea la posibilidad de que las fuerzas del orden puedan rastrear esta pequeña cantidad de direcciones de Bitcoin (y atacantes).
¿Cuánto dinero exigen los chantajistas?
Para comprender mejor el comportamiento de los atacantes, los investigadores también examinaron cuánto dinero exigieron los atacantes y qué tan consistente era la cantidad en el conjunto de datos examinados. De los 200.000 correos electrónicos de los que se pudieron extraer direcciones de Bitcoin, el 97 por ciento pedía dólares estadounidenses, el 2,4 por ciento euros y el 0,6 por ciento restante libras esterlinas, dólares canadienses, bitcoins, etc. los investigadores lo convirtieron al valor equivalente en dólares estadounidenses del día en que se envió el correo electrónico para compararlo. Los resultados fueron los siguientes:
- Casi todos los atacantes exigen una cantidad entre 400 y 5.000 dólares.
- El 25 por ciento de los correos electrónicos solicitan una cantidad inferior a 1.000 dólares.
- Más del 90 por ciento de los correos electrónicos de extorsión solicitan una cantidad inferior a 2.000 dólares.
- Los atacantes suelen exigir cantidades entre 500 y 2.000 dólares.
Esto sugiere que las cantidades de dinero exigidas por los atacantes están más concentradas en un área de "punto óptimo". Esto es lo suficientemente alto como para ser significativo para el atacante, pero no tan alto como para que la víctima no realice el pago o investigue si el atacante realmente tiene información comprometedora (lo que generalmente no es el caso). Además, el importe no activa ninguna alarma para el banco o las autoridades fiscales de la víctima.
Formas de protegerse contra los ataques de extorsión
Si las autoridades policiales localizan aunque sea a un pequeño número de atacantes, las operaciones delictivas pueden verse gravemente perturbadas. Además, a medida que los extorsionadores adoptan tácticas unos de otros, los proveedores de seguridad del correo electrónico deberían poder bloquear un gran porcentaje de estos ataques utilizando herramientas de detección simples. A continuación se presentan cuatro prácticas recomendadas que las empresas pueden utilizar para defenderse de este tipo de ataques:
- Protección basada en IA: Los atacantes adaptan los ataques de extorsión para evitar las puertas de enlace de correo electrónico y los filtros de spam, por lo que es imprescindible contar con una buena solución de phishing que proteja contra la extorsión.
- Protección contra adquisición de cuenta: Muchos ataques de extorsión provienen de cuentas comprometidas. Por tanto, es importante asegurarse de que los estafadores no utilicen la empresa como base para estos ataques. Aquí es donde pueden ayudar las tecnologías que utilizan inteligencia artificial para detectar cuándo las cuentas han sido comprometidas.
- Investigaciones proactivas: Dada la naturaleza vergonzosa de las estafas de extorsión, los empleados pueden estar menos dispuestos que de costumbre a denunciar estos ataques. Por lo tanto, las empresas deben realizar análisis periódicos de los mensajes entregados para identificar correos electrónicos relacionados con cambios de contraseña, advertencias de seguridad y otro contenido.
- Capacitación en concientización sobre seguridad: Las empresas también deberían educar a los usuarios sobre los ataques de extorsión y hacer que el tema forme parte de su programa de capacitación en concientización sobre seguridad. Se debe garantizar que los empleados reconozcan estos ataques, comprendan su naturaleza fraudulenta y se sientan cómodos denunciándolos. El uso de simulaciones de phishing también ayuda a probar la efectividad de la capacitación e identificar a los usuarios más vulnerables a los ataques de extorsión.
La extorsión por correo electrónico es una amenaza importante: los atacantes envían millones de mensajes maliciosos a las víctimas cada año, pero parece ser cometida por un pequeño número de perpetradores y estos grupos utilizan tácticas similares. Esto nos hace ser optimistas sobre la lucha contra esta amenaza de correo electrónico en particular.
Por la Dra. Klaus Gheri, vicepresidente y director general de seguridad de red de Barracuda Networks
Acerca de Barracuda Networks Barracuda se esfuerza por hacer del mundo un lugar más seguro y cree que todas las empresas deben tener acceso a soluciones de seguridad para toda la empresa habilitadas para la nube que sean fáciles de comprar, implementar y usar. Barracuda protege el correo electrónico, las redes, los datos y las aplicaciones con soluciones innovadoras que crecen y se adaptan a lo largo del viaje del cliente. Más de 150.000 XNUMX empresas en todo el mundo confían en Barracuda para poder concentrarse en hacer crecer su negocio. Para obtener más información, visite www.barracuda.com.
Artículos relacionados con el tema