Así es como los hackers están usando las URL de almacenamiento de Google Firebase para estafar a las personas

Para los ciberdelincuentes, el acto de robar las credenciales de inicio de sesión de los usuarios o infectarlos con malware no es más que negocios, y como cualquier negocio, presenta su propio conjunto de desafíos. Los piratas informáticos intentan constantemente optimizar sus operaciones ilegales y hacerlas más efectivas. En un intento por hacer eso, los equipos de phishing comenzaron a usar las URL de Google Firebase en campañas recientes observadas por investigadores de Trustwave.

Los phishers abusan de la plataforma Firebase de Google para obtener credenciales de inicio de sesión

Firebase es una plataforma de desarrollo para aplicaciones móviles y web que fue adquirida por Google en 2014, y ahora está directamente vinculada a la enorme infraestructura de almacenamiento en la nube del gigante de los motores de búsqueda. Los delincuentes se dieron cuenta de que esto lo hace perfecto para almacenar páginas de phishing.

Según los investigadores de Trustwave, los phishers se han hecho pasar por diferentes proveedores de servicios y han creado varios escenarios en sus correos electrónicos. Sin embargo, el objetivo siempre es el mismo: engañar a los usuarios para que hagan clic en un enlace del correo electrónico y llevarlos a una página de phishing alojada en Firebase.

Los correos electrónicos convincentes pueden pillar desprevenidos a muchos usuarios

Los phishers han puesto mucho esfuerzo en los correos electrónicos. Una de las primeras cosas que puede observar en los ejemplos publicados por Trustwave es la clara falta de errores gramaticales y ortográficos que a menudo asociamos con las campañas de phishing. Como señalaron los investigadores, las fuentes y el formato no son perfectos en algunos lugares, pero los delincuentes aparentemente esperan que sus trucos de ingeniería social sean lo suficientemente fuertes como para compensar esto.

De hecho, algunos de los escenarios son bastante creíbles. Como ya mencionamos, los phishers no se hacen pasar por un solo proveedor de servicios, y no se dirigen a un solo conjunto de usuarios. Dicho esto, la mayoría de los correos electrónicos parecen estar dirigidos a empleados de organizaciones de varios tamaños.

El nombre de Microsoft se usa ampliamente en todas las campañas. En algunos de los ataques, los delincuentes intentan convencer al usuario de que algunos correos electrónicos no se han entregado debido a una migración del servidor. En otros, a la víctima se le dice que ciertos mensajes entrantes pueden haberse marcado como spam erróneamente y deben revisarse. En otra campaña más, se insta al usuario a actualizar su cuenta para que pueda usar una nueva versión del portal de correo web.

La pandemia de coronavirus también se ha utilizado. Una de las capturas de pantalla de Trustwave muestra que los delincuentes están tratando de hacerse pasar por los contadores del empleador de la víctima. Se le informa al usuario que debe completar un formulario de pago para recibir un pago pendiente relacionado con la directiva de trabajo desde el hogar. Por supuesto, muchos podrían abrir agujeros a través de los escenarios imaginados por los piratas informáticos, pero no es difícil ver cómo los usuarios inexpertos y menos expertos en tecnología podrían caer en la estafa.

¿Por qué los ladrones eligieron Firebase?

Sin embargo, la característica notable de estas campañas no es la ingeniería social, sino el uso de Firebase. Los ciberdelincuentes suelen alojar sus páginas de phishing en sitios web que comprometen de antemano. De esa manera, no necesitan registrar nuevos dominios o pensar en configurar servidores que alojen los formularios de inicio de sesión maliciosos. Sin embargo, piratear un sitio web no es necesariamente fácil y, a menudo, simplemente no vale la pena el esfuerzo. Tan pronto como los productos de seguridad detecten actividad maliciosa en el sitio web comprometido, todo el dominio puede ser incluido en la lista negra y toda la campaña podría terminar prematuramente.

Al usar Firebase, los phishers están aprovechando directamente la infraestructura en la nube de Google y su reputación. Es menos probable que los filtros de spam pongan las URL de Firebase bajo escrutinio directo, e incluso si se informa y elimina una página, los delincuentes pueden configurar otra con relativa facilidad.

En general, parece que los ciberdelincuentes han encontrado una nueva forma de hacer que sus ataques sean más ágiles y efectivos, y corresponde a Google contrarrestarlos. Mantener a los delincuentes fuera de sus plataformas no es algo nuevo para el coloso de los motores de búsqueda. Sin embargo, sus expertos ahora también deben centrarse en Firebase.