Hackers explotan herramienta Gamma mediante Cloudflare Turnstile para robar credenciales de Microsoft
Recientemente, expertos en ciberseguridad han descubierto una campaña de phishing sofisticada y de múltiples etapas que aprovecha Gamma, una herramienta de presentaciones impulsada por inteligencia artificial (IA). Los atacantes están utilizando esta plataforma junto con Cloudflare Turnstile, un servicio diseñado para verificar usuarios humanos y prevenir bots, con el objetivo de robar credenciales de Microsoft.
Mecanismo del ataque
El ataque comienza con un correo electrónico de phishing que parece legítimo, invitando a la víctima a acceder a un documento o presentación almacenada en Gamma. Cuando el usuario hace clic en el enlace, es redirigido a una página falsa de inicio de sesión de Microsoft, diseñada para imitar la interfaz oficial. Aquí es donde entra en juego Cloudflare Turnstile:
- La página fraudulenta utiliza Turnstile para validar que el tráfico proviene de un navegador real, evitando así detecciones automatizadas.
- Una vez superada esta verificación, se solicita a la víctima que ingrese sus credenciales de Microsoft.
- Los datos robados son enviados a servidores controlados por los atacantes, quienes luego pueden acceder a cuentas corporativas o personales.
Técnicas de evasión empleadas
Este ataque destaca por su uso innovador de herramientas legítimas para fines maliciosos. Los ciberdelincuentes aprovechan la confianza que los usuarios tienen en servicios como Gamma y Cloudflare para aumentar la efectividad del engaño. Además, emplean técnicas avanzadas como:
- Dominios similares (typo-squatting) que imitan URLs oficiales.
- Certificados SSL válidos para las páginas fraudulentas.
- Redireccionamientos dinámicos que dificultan el rastreo.
Implicaciones para la seguridad corporativa
Este tipo de ataques representa un riesgo significativo para organizaciones de todos los tamaños, particularmente porque:
- Bypassea muchas soluciones tradicionales de seguridad de correo electrónico.
- Explota la confianza en servicios SaaS populares.
- Puede conducir a compromisos de cuentas privilegiadas y acceso a sistemas críticos.
Las empresas deben implementar medidas adicionales de protección, incluyendo:
- Autenticación multifactor (MFA) robusta para todas las cuentas.
- Entrenamiento continuo de concienciación sobre seguridad.
- Soluciones avanzadas de detección de phishing que analicen el comportamiento de las páginas web, no solo firmas conocidas.
Recomendaciones para usuarios finales
Para protegerse contra este tipo de amenazas, los usuarios deben:
- Verificar siempre la URL completa antes de ingresar credenciales.
- Desconfiar de enlaces en correos electrónicos, incluso si parecen provenir de contactos conocidos.
- Utilizar gestores de contraseñas que no autocompleten en sitios sospechosos.
- Reportar inmediatamente cualquier actividad sospechosa al equipo de seguridad de TI.
Este incidente demuestra cómo los atacantes continúan evolucionando sus tácticas, combinando herramientas legítimas con técnicas avanzadas de ingeniería social. Mantenerse informado sobre estas amenazas es crucial para la defensa organizacional.
