Informe Ejecutivo Ficticy SL
Enviado por angelsc21 • 11 de Diciembre de 2022 • Apuntes • 936 Palabras (4 Páginas) • 237 Visitas
Resolución Ejercicios Finales:
CASO 1
Informe Ejecutivo
En este informe se encuentra el análisis de un posible correo fraudulento recibido en la sede española de la empresa Ficticy SL el día 23 de noviembre de 2017 a las 10:00 am. El remitente corresponde a una cuenta de correo corporativa de otro país (m.walker.franch@ficticy.de) con el asunto “FW: Validate Email Account”, su contenido dice que están validando las cuentas de todos los empleados y que deben loguearse a través del enlace ofrecido para confirmar que sus cuentas están en uso.
Los empleados de la sede española comentan el hecho entre ellos y confirman que todos han recibido el email. Sin embargo, es extraño que desde una cuenta corporativa de otro país reciban un correo para validar sus cuentas. Para incrementar la incertidumbre, empiezan a llegar reportes de empleados indicando que les parece anormal.
Ante la sospecha de los empleados, cómo integrante del equipo de Análisis e Inteligencia de ciberseguridad, procedo a realizar un análisis de tráfico y estudiar los logs de emails recibidos por la cuenta “m.walker.franch@ficticy.de” en busca de pruebas. Rápidamente identifico un correo enviado el 23 de noviembre de 2017 a las 09:40 con el mismo asunto (FW: Validate Email Account). El remitente es verify@microfoft.com, deduciendo así un intento de suplantación al dominio microsoft.com con un nombre parecido (solo varía en un carácter) para que el correo parezca legítimo ante una víctima no entrenada en seguridad informática.
A partir de aquí la conclusión es clara, estamos ante un evidente caso de phishing. En primer lugar, se atacó a los empleados de la sede alemana y el propietario de la cuenta m.walker.franch@ficticy.de cayó en la trampa. Una vez desveladas sus credenciales, se envió el mismo correo desde su cuenta hacia las de nuestra sede para hacernos pensar que era legítimo. Una vez más se demuestra que el eslabón más débil de una empresa no es el software ni el hardware sino el factor humano.
En en el informe técnico se entra en detalles técnicos sobre el proceso realizado para detectar y analizar las consecuencias de este caso de phishing. Se agregan además medidas de mitigación para incidentes de este tipo y el plan de continuidad que debe llevar a cabo el equipo de seguridad.
El proceso se ha podido producir porque se han llevado a cabo los siguientes pasos:
- Se ha realizado un estudio sobre los empleados de la empresa Ficticy SL.
- Con los datos recopilados, han reenviado correos a los empleados de la empresa desde una presunta cuenta corporativa de otro país (en realidad, lo que han hecho es enviar correos dónde escriben “m.walker.franch@ficticy.de” en el subject para aparentar que el correo reenviado procede de una cuenta corporativa oficial). En el correo se dice estar validando las cuentas de correo activas y para comprobar que su cuenta lo está, los empleados deben clicar en el enlace e iniciar sesión.
- El enlace no redirige al empleado a la página oficial de outlook sino que lo lleva a un dominio visualmente idéntico.
- Una vez ubicado en este dominio engañoso, el empleado introduce sus credenciales e intenta loguearse. Al hacerlo, ocurren dos cosas:
- Se ejecuta un script php en el que se envían las credenciales a la dirección de correo ejercicio_modulo1@ciberinteligencia.es
- Al usuario se le redirige, esta vez sí, a la página oficial de outlook. Este se hace para aparentar que se ha equivocado introduciendo las credenciales y cuando las vuelva a introducir correctamente entrará en su cuenta de correo.
15583,20171123.094000,verify@microfoft.com,m.walker.franch@ficticy.de,FW: Validate Email Account,42KB,n,approved
CASO 2
Parece que en los días 21 y 22 se ha realizado el ataque pq la ip de logs access cambia
Se ha producido un ataque de suplantación de identidad.
El proceso se ha podido producir porque se han llevado a cabo los siguientes pasos:
- Se ha realizado un estudio sobre los empleados de la empresa Ficticy SL.
- Han filtrado por aquellas personas que estén relacionadas con los aspectos financieros de la empresa.
- Con los datos recopilados, envían correos haciéndose pasar por clientes de la empresa con el fin de cambiar la cuenta bancaria de destino y que las transferencias les lleguen a ellos.
Concretamente, han contactado con el responsable de pagos y transferencias, Juan Philips Todobene , comentándole que la cuenta bancaria del cliente a la que se envían las transferencias ha cambiado a una nueva. Juan le pide un comprobante y le dicen que se lo envían en los próximos días pero que es crítico que el cambio de cuenta se haga inmediatamente.
...