Más allá del buzón de correo: reconocimiento mediante Graph y enumeración de usuarios de ServiceNow en un nuevo ataque de suplantación de identidad

La suplantación tradicional del correo electrónico empresarial (Business Email Compromise, BEC) suele verse como un problema relacionado con el buzón: una cuenta robada, un acceso no autorizado a los correos, reglas de reenvío y, a veces, mensajes salientes enviados haciéndose pasar por el usuario afectado. Sin embargo, los incidentes más recientes demuestran hasta qué punto estas intrusiones pueden ir mucho más allá del simple correo electrónico, una vez que un atacante consigue hacerse con el control de una identidad en la nube.

En un caso reciente analizado por el equipo de respuesta a incidentes de Sophos X-Ops, un atacante utilizó el vishing (phishing por voz) y el abuso del restablecimiento autónomo de contraseña (Self-Service Password Reset, SSPR) para hacerse con el control de una cuenta de Microsoft 365, establecer una sesión en el dispositivo basada en un Primary Refresh Token (PRT) y moverse lateralmente hacia varias plataformas SaaS. En lugar de limitarse a acceder al buzón de correo, el atacante aprovechó la identidad comprometida como punto de partida para penetrar en el ecosistema SaaS más amplio de la organización atacada.

Las actividades posteriores a la violación se detectaron a partir de una sola cuenta de usuario comprometida e incluyeron actividades dereconocimiento a través de Microsoft Graph, acceso al contenido de correos electrónicos y SharePoint, con la descarga de casi 100 000 documentos, acceso a Salesforce y la exportación confirmada de la tabla de usuarios de ServiceNow, que contenía unos 2 500 registros.

El equipo de respuesta a incidentes de Sophos X-Ops también trabaja con clientes que no han comprado antes otras soluciones de Sophos, como XDR. En la parte final de este análisis, echaremos un vistazo rápido a las funciones de protección preventiva, reactiva y basada en el comportamiento que ofrece Sophos a través de sus otros servicios.

Lee el artículo completo en inglés: https://www.sophos.com/en-us/blog/graph-reconnaissance-and-servicenow-user-enumeration-in-a-modern-identity-intrusion