Compromiso de Cuenta de Correo (EAC): Cómo los Hackers Secuestran Tu Bandeja de Entrada
El Compromiso de Cuenta de Correo (EAC) ocurre cuando los atacantes obtienen acceso no autorizado a cuentas de correo legítimas mediante robo de credenciales, ingeniería social o malware. A diferencia del Compromiso de Correo Empresarial que se dirige a ejecutivos corporativos, el EAC afecta a individuos y empresas de todos los tamaños. Según el Centro de Quejas de Delitos por Internet del FBI, el EAC resultó en pérdidas superiores a $2.700 millones en 2022, con pérdidas promedio individuales de $8.000 por incidente. Una vez dentro de la cuenta, los delincuentes operan silenciosamente durante días o semanas, estudiando patrones de correo, relaciones y transacciones financieras. Buscan información sensible incluyendo documentos fiscales, contraseñas almacenadas en correos, extractos bancarios y facturas comerciales. La cuenta comprometida se convierte en una herramienta para lanzar ataques contra los contactos de la víctima, quienes tienden a confiar más en correos de remitentes conocidos. La sofisticación de los ataques EAC ha aumentado dramáticamente. Los atacantes ahora utilizan inteligencia artificial para imitar estilos de escritura, crear cadenas de correo convincentes respondiendo a conversaciones existentes, y cronometrar sus solicitudes fraudulentas cuando las víctimas están viajando o no disponibles. El incidente típico de EAC dura entre 1 a 30 días antes de ser detectado, durante los cuales los atacantes pueden drenar cuentas bancarias, redirigir transferencias bancarias, presentar declaraciones fiscales fraudulentas o vender información personal robada en mercados oscuros.
Common Tactics
- • Cosecha de credenciales a través de páginas de inicio de sesión falsas: Los atacantes envían correos suplantando servicios legítimos (Microsoft, Google, bancos) con enlaces a páginas de réplica convincentes que capturan nombres de usuario y contraseñas cuando se ingresan.
- • Ataques de rociado de contraseñas: Los delincuentes intentan contraseñas comunes en miles de cuentas de correo, dirigiéndose a proveedores con medidas de seguridad débiles o usuarios que reutilizan contraseñas en múltiples servicios.
- • Secuestro de sesión a través de WiFi público: Los atacantes monitorean conexiones no encriptadas en redes públicas para interceptar cookies de sesión que permiten acceso a cuentas de correo sin necesidad de contraseñas.
- • Creación de reglas de reenvío de correo: Una vez dentro, los atacantes crean reglas de bandeja de entrada ocultas que reenvían automáticamente copias de todos los correos entrantes a direcciones externas, permitiendo vigilancia continua incluso después de cambios de contraseña.
- • Phishing dirigido de cuentas de alto valor: Los delincuentes investigan a las víctimas en redes sociales y profesionales para crear correos personalizados que contienen malware o enlaces de robo de credenciales diseñados específicamente para esa persona.
- • Intercambio de SIM para eludir la autenticación de dos factores: Los atacantes convencen a operadores móviles para transferir el número de teléfono de una víctima a una tarjeta SIM que controlan, interceptando códigos de autenticación enviados por SMS y obteniendo acceso a la cuenta.
How to Identify
- Notificaciones inesperadas de restablecimiento de contraseña o alertas de seguridad que no iniciaste, particularmente múltiples intentos de inicio de sesión fallidos desde ubicaciones o dispositivos desconocidos que se muestran en tu registro de actividad de cuenta.
- Correos faltantes en tu bandeja de entrada o carpeta de enviados, indicando que alguien ha eliminado correspondencia para ocultar sus rastros, o la aparición de correos marcados como leídos que nunca abriste.
- Contactos reportando que recibieron correos extraños de tu dirección, como solicitudes urgentes de dinero, enlaces sospechosos o mensajes fuera de lo normal enviados a horas inusuales.
- Reglas de reenvío de correo, filtros o configuraciones de bandeja de entrada desconocidas que no creaste, particularmente reglas que eliminan o redirigen automáticamente tipos específicos de mensajes como notificaciones bancarias.
- Notificaciones de inicio de sesión desde ubicaciones donde nunca has estado, o en momentos cuando no estabas usando tu dispositivo, visibles en registros de actividad de seguridad proporcionados por la mayoría de servicios de correo.
- Incapacidad para acceder a tu cuenta con tu contraseña correcta, o descubrir que tu dirección de correo de recuperación o número de teléfono ha sido cambiado sin tu autorización, bloqueando tu acceso a la recuperación de cuenta.
How to Protect Yourself
- Habilita la autenticación multifactor (MFA) usando aplicaciones de autenticación como Google Authenticator o Microsoft Authenticator en lugar de códigos SMS, que son vulnerables a ataques de intercambio de SIM y proporcionan protección significativamente más fuerte.
- Crea contraseñas únicas y complejas de al menos 16 caracteres para tu cuenta de correo usando un gestor de contraseñas como Bitwarden o 1Password, y nunca reutilices esta contraseña en ningún otro sitio web o servicio.
- Revisa regularmente tu configuración de seguridad de cuenta de correo al menos mensualmente, verificando reglas de reenvío no autorizadas, dispositivos desconocidos con acceso, contactos de recuperación desconocidos y actividad de inicio de sesión reciente desde ubicaciones inesperadas.
- Evita acceder a cuentas de correo en redes WiFi públicas sin usar un servicio VPN de buena reputación, o si debes hacerlo, nunca ingreses contraseñas y solo usa sesiones previamente autenticadas con certificados de seguridad actuales.
- Configura alertas de correo para cambios críticos de cuenta incluyendo modificaciones de contraseña, actualizaciones de información de recuperación, creación de reglas de reenvío e inicios de sesión desde nuevos dispositivos para detectar acceso no autorizado inmediatamente.
- Crea una dirección de correo separada exclusivamente para cuentas financieras y restablecimientos de contraseña que nunca publicites ni uses para compras en línea, redes sociales o suscripciones a boletines, reduciendo su exposición a brechas de datos.
Real-World Examples
Una propietaria de pequeña empresa recibió lo que parecía ser una alerta de seguridad de Microsoft 365 indicando que se había detectado actividad inusual en su cuenta. El correo incluía un enlace para "verificar tu identidad" que llevaba a una réplica convincente de la página de inicio de sesión de Microsoft. Después de ingresar sus credenciales, los atacantes accedieron a su correo y estudiaron su correspondencia comercial durante dos semanas. Luego enviaron un correo a su contador, usando una cadena de factura existente, con instrucciones de transferencia bancaria actualizadas para un pago de $47.000, que fue enviado antes de que se descubriera el fraude.
Un diseñador gráfico independiente notó que no podía acceder a su cuenta de Gmail una mañana. Cuando intentó restablecer su contraseña, descubrió que su número de teléfono de recuperación había sido cambiado. El atacante había utilizado credenciales compradas de una brecha de datos en la web oscura, accedió a su correo e inmediatamente cambió la configuración de seguridad. Durante cinco días, el criminal envió correos de phishing a los 300+ clientes del diseñador, resultando en 23 cuentas comprometidas antes de que Google suspendiera la cuenta. El diseñador perdió varios clientes de largo plazo que lo culparon por la brecha.
La cuenta de correo de una pareja jubilada fue comprometida a través de una red WiFi pública en su hotel mientras estaban de vacaciones. Los atacantes crearon una regla de reenvío oculta y monitorearon correos durante tres semanas. Cuando el asesor financiero de la pareja envió su resumen de inversión trimestral, los delincuentes lo interceptaron, crearon un correo falso urgente sobre una oportunidad de inversión sensible al tiempo, y convencieron a la pareja de transferir $125.000 a una cuenta fraudulenta. El crimen no fue descubierto hasta que la pareja regresó a casa y contactó a su asesor real sobre la "inversión".