Atrás 
Resumen
En julio de 2024, Netskope Threat Labs rastreó un aumento de 2.000 veces en el tráfico de páginas de phishing entregadas a través de Microsoft Sway. La mayoría de las páginas de captura de credenciales investigadas utilizaron "Quishing", una forma de phishing que utiliza un código QR para engañar a los usuarios para que accedan a un sitio web malicioso. Las campañas de phishing se dirigieron a las credenciales de MS Office, utilizando documentos para atraer a los usuarios para que iniciaran sesión. Las campañas se han dirigido a las víctimas principalmente en Asia y América del Norte en múltiples segmentos liderados por la tecnología, la fabricación y las finanzas.
Los atacantes instruyen a sus víctimas para que usen su dispositivo móvil para escanear el código QR con la esperanza de que estos dispositivos móviles carezcan de las estrictas medidas de seguridad que generalmente se encuentran en los emitidos por las empresas, lo que garantiza un acceso sin restricciones al sitio de phishing. Además, estas campañas de phishing QR emplean dos técnicas de publicaciones anteriores: el uso de phishing transparente y Cloudflare Turnstile. El phishing transparente garantiza que las víctimas accedan al contenido exacto de la página de inicio de sesión legítima y puede permitirles eludir medidas de seguridad adicionales como la autenticación multifactor. Mientras tanto, Cloudflare Turnstile se utilizó para ocultar la carga útil de phishing de los escáneres de contenido estáticos, preservando la buena reputación de su dominio.
Echemos un vistazo más de cerca a estas campañas de phishing:
Se abusa de Microsoft Sway para publicar contenido de suplantación de identidad (phishing)
Sway es una aplicación gratuita dentro de Microsoft 365 que ayuda a los usuarios a presentar ideas con un lienzo basado en la web, lo que significa que cualquier persona con una cuenta de Microsoft puede enviar presentaciones sin costo alguno. Este acceso gratuito, sin embargo, lo hace atractivo para los atacantes por el abuso, como hemos observado anteriormente sobre su propensión a usar aplicaciones gratuitas en la nube.
Mediante el uso de aplicaciones legítimas en la nube, los atacantes proporcionan credibilidad a las víctimas, ayudándolas a confiar en el contenido que sirven. Además, una víctima usa su cuenta de Microsoft 365 en la que ya ha iniciado sesión cuando abre una página de Sway, lo que también puede ayudar a persuadirlos sobre su legitimidad. Sway también puede compartirse a través de un enlace (enlace URL o enlace visual) o incrustarse en un sitio web mediante un iframe.
En los últimos seis meses, Netskope Threat Labs observó poco o ningún tráfico malicioso utilizando Microsoft Sway. Sin embargo, en julio de 2024, observamos un aumento de 2.000 veces en el tráfico a páginas de phishing únicas de Microsoft Sway. Las páginas que investigamos estaban orientadas a cuentas de Microsoft 365.
Es importante tener en cuenta que Microsoft anunció en 2023 que las aplicaciones y servicios de Microsoft 365 orientados al usuario están unificados en un dominio único y coherente (*[.] nube[.] Microsoft), que incluye Sway (anteriormente usando sway[.] microsoft[.] com). Cualquier regla para controlar previamente el tráfico a Microsoft Sway mediante el nombre de dominio debe actualizarse y los usuarios deben tener cuidado cuando una página de Sway les pida que inicien sesión. Use el siguiente formato de URL como referencia para identificar rápidamente una página de Microsoft Sway:
https://sway.cloud.microsoft/{16_alphanumeric_string}?ref={sharing_option}
Las opciones para compartir pueden ser enlace, Correo electrónico, Twitter, etc.
Phishing con código QR (Quishing)
Muchas de las campañas de phishing analizadas utilizaron el phishing con código QR, o "Quishing". El quishing es una forma de phishing en