11 Nov 20264 minutes read
SendmarcAtaque de dumpster diving: cómo los datos desechados se convierten en suplantación de identidad por correo
Resumen del dumpster diving:
- Los atacantes recuperan hilos de correo de las carpetas de eliminados y de la papelera, donde los mensajes siguen siendo legibles hasta que se vacían.
- Los hilos recuperados aportan los nombres, las referencias y el lenguaje que hacen que los correos suplantados parezcan rutinarios.
- Los correos suplantados llegan a clientes, proveedores y socios a menos que la aplicación completa de DMARC los bloquee.
- Los servidores receptores que respetan p=reject bloquean los mensajes que no superan la autenticación, por convincente que sea el contenido.
El equipo de cuentas por pagar de un cliente recibe un correo con una factura que parece proceder de tu equipo de facturación. El nombre del remitente es correcto, la referencia de la factura coincide con un pedido abierto y la solicitud de actualizar tus datos bancarios sigue el lenguaje de tus correos habituales. Pero el correo no lo enviaste tú.
El dumpster diving es la forma en que los atacantes alcanzan ese nivel de precisión. Recuperan datos de correo desechados, como hilos antiguos y mensajes de aprobación que quedan en las carpetas de eliminados y de la papelera, y los usan para redactar correos que parecen rutinarios y que aparentan proceder de tu dominio.
Sin una aplicación completa de DMARC, esos correos llegan a las bandejas de entrada de los clientes, proveedores y socios que confían en tu organización.
Este artículo explica qué revela el dumpster diving, cómo lo usan los atacantes para llevar a cabo el compromiso del correo empresarial (BEC) y cómo la aplicación completa de DMARC bloquea los correos suplantados.
Descubre si tus dominios pueden ser suplantados. Usa el verificador de registros DMARC para ver en qué situación están tus dominios.
Los datos de correo que expone el dumpster diving
El dumpster diving es una técnica de recopilación de información, y MITRE la clasifica como un patrón de ataque. En el dumpster diving de correo, el contenedor de basura es la carpeta de eliminados o la papelera. Los mensajes eliminados siguen siendo legibles en estas carpetas hasta que el usuario las vacía o hasta que un periodo de retención las borra automáticamente.
Mientras permanecen, esos mensajes contienen la información que hace creíble un correo de suplantación.
Un ataque de dumpster diving puede exponer:
- Formatos de dirección y herramientas: los hilos antiguos revelan las convenciones de nombres de direcciones, los dominios internos y los nombres de las plataformas que usan tus equipos
- Nombres y cargos de los empleados: las firmas de correo, las listas de distribución y los hilos de mensajes identifican a los aprobadores de finanzas, los administradores de TI y los directivos cuyos nombres tienen autoridad
- Relaciones con los clientes: los correos de facturas y de remesas revelan a qué empresas facturas, tus condiciones de pago y las direcciones de correo de ambas partes
- Procesos de la organización: los flujos de aprobación y los ciclos de renovación muestran cómo se hacen normalmente las solicitudes
Un ataque de dumpster diving no requiere conocimientos técnicos. Aporta lo que le falta al phishing genérico: la precisión.
Cómo el dumpster diving facilita el BEC
Piensa en un atacante que recupera tres elementos: correos de facturas enviados a un cliente con referencias de pago, las firmas que muestran quién de tu equipo de facturación envía las facturas y un hilo de correo que muestra cómo se comunican los cambios de datos bancarios.
Con ese detalle, el atacante puede enviar al equipo de cuentas por pagar de un cliente una solicitud de cambio de datos bancarios que parece proceder de la dirección de correo de tu equipo de facturación. Usa nombres reales, una referencia de factura real y el lenguaje que el cliente espera.
El cliente paga a la cuenta del atacante en lugar de a la tuya, y tu empresa se queda con una factura sin cobrar. El fraude también daña la confianza del cliente en tu marca, porque llegó con tu nombre.
El dumpster diving es una de las formas en que los atacantes reúnen los detalles que hacen creíbles estas solicitudes.
Cómo la aplicación de DMARC limita un ataque de dumpster diving
DMARC te permite indicar a los servidores receptores qué hacer con el correo que afirma proceder de tu dominio pero no supera la autenticación. Un mensaje la supera si SPF o DKIM se validan y coinciden con el dominio de la dirección “De”. Con p=reject, los servidores receptores que respetan la política rechazan los mensajes que no superan esta comprobación, de modo que los correos no autenticados no llegan a las bandejas de entrada.
Este control funciona sin importar lo convincente que sea el contenido. Un atacante que realiza un ataque de dumpster diving puede recuperar el nombre de tu dominio, los nombres de tus empleados y los datos de tus clientes, y aun así no superar la autenticación porque la infraestructura de envío no está autorizada.
Con p=none, el resultado es distinto. Los informes DMARC muestran los fallos, pero los mensajes se siguen entregando. La supervisión ofrece visibilidad, no protección.
Llegar a p=reject requiere un inventario preciso de todos los remitentes que usan tus dominios.
Las plataformas de marketing, los sistemas de RR. HH., los equipos regionales y las entidades adquiridas suelen enviar correo con tu dominio sin figurar en tu registro SPF. Pasar a p=reject antes de autenticar a estos remitentes corre el riesgo de bloquear correo legítimo, como facturas y restablecimientos de contraseña. Un enfoque gradual de p=none a p=reject evita esa interrupción.
Cómo puede ayudar Sendmarc a reducir el riesgo de un ataque de dumpster diving
Los entornos grandes y distribuidos crean las condiciones de las que depende un ataque de dumpster diving: muchos remitentes, muchos dominios y poca visibilidad. Los equipos de seguridad y de TI ya están al límite, y hacer un seguimiento manual de cada remitente no escala.
La gestión de DMARC aborda el problema de los remitentes que explota un ataque de dumpster diving. Identifica los remitentes legítimos y no autorizados en todos los departamentos, centraliza la gestión de SPF, DKIM y DMARC entre departamentos y regiones, y detecta los errores de configuración antes de que se conviertan en incidentes.
Sendmarc ayuda a las empresas a llegar a p=reject y ofrece apoyo práctico de implementación que elimina la necesidad de contar con conocimientos internos de DMARC. El enfoque gradual mantiene en funcionamiento las comunicaciones críticas. La supervisión y la optimización continúan después de la aplicación, para que la protección se mantenga actualizada a medida que cambia tu entorno.
Los atacantes usan los detalles del dumpster diving para suplantarte. La aplicación completa de DMARC bloquea esos correos antes de que lleguen a una bandeja de entrada. Explora la gestión de DMARC para ver todos los remitentes que usan tus dominios y llevarlos a la aplicación completa.
