Entonces, ¿qué es un ciberataque a la cadena de suministro? Es cualquier intento malicioso de comprometer una organización al atacar a sus proveedores, socios o servicios de terceros.

El phishing en la cadena de suministro, al que los expertos también llaman phishing de compromiso de correo empresarial (BEC) o phishing de proveedores, ocurre cuando los atacantes comprometen a un proveedor, socio o prestador de servicios externo legítimo para atacar con phishing a los clientes o socios de ese proveedor. Este tipo de ataques provienen de fuentes esperadas, como direcciones de correo que reconoces, y tratan sobre cosas que parecen negocios normales.

Toma esto como ejemplo: Has entrenado a los empleados para que estén atentos a mensajes de direcciones de correo sospechosas que piden transferir dinero, pero con el phishing en la cadena de suministro, los mensajes provienen de correos legítimos de un empleado del proveedor.

Aquí los detalles importan. Tus proveedores tienen las llaves de tu puerta principal. Si comprometen a un solo proveedor, los atacantes obtienen acceso a decenas o cientos de objetivos, todo disfrazado de comunicación legítima que evade el security awareness training.

Los ataques a la cadena de suministro mediante phishing siguen un proceso metódico que comienza al comprometer a un proveedor de confianza. Para entender cómo funciona, debes conocer el guion completo que usan los atacantes:

Etapa 1: Compromiso del proveedor 

Primero, los atacantes comprometen a un proveedor o prestador de servicios real, por lo general mediante phishing, robo de credenciales o explotación de una vulnerabilidad. Obtienen acceso al sistema de correo del proveedor, a su lista de clientes o a cualquier canal de comunicación que tengan. En algunos casos, los atacantes comprometen la infraestructura del proveedor y envían actualizaciones envenenadas o enlaces maliciosos directamente a través de los canales oficiales.

Etapa 2: Reconocimiento 

Después de obtener acceso, los atacantes usan la cuenta robada para analizar el estilo de comunicación del proveedor. Estudian los correos del proveedor, y mientras más aprenden, mejor pueden crear mensajes de phishing que parecen 100% legítimos.

Etapa 3: El ataque 

Con acceso y conocimiento en mano, los atacantes ya pueden ponerse a trabajar. Las tácticas incluyen:

• Fraude de facturas: Enviar facturas falsas con datos bancarios modificados para el pago.

• Robo de credenciales: Distribuir enlaces a páginas de inicio de sesión falsas que imitan los servicios del proveedor.

• Entrega de malware: Enviar "actualizaciones" o "parches" que en realidad contienen ransomware o spyware.

• BEC: Hacerse pasar por ejecutivos del proveedor para solicitar transferencias urgentes o datos confidenciales.

Los atacantes suelen combinar varios tipos de phishing en una sola campaña. Por ejemplo, pueden usar spear phishing para atacar a contactos clave del proveedor, whaling para hacerse pasar por ejecutivos en solicitudes de pago, smishing (phishing por SMS) para llegar a proveedores de campo por mensaje de texto, y BEC para enviar facturas falsas desde dominios legítimos de proveedores. 

El phishing en la cadena de suministro tiene éxito por una sola palabra: Confianza. Las relaciones existentes con los proveedores crean puntos ciegos que los empleados suelen pasar por alto.

Tu equipo de finanzas no examina las facturas de proveedores contables con el mismo cuidado que aplicaría a correos sospechosos de desconocidos. Tu equipo de TI instala "actualizaciones urgentes" sin cuestionarlas.

Los atacantes convierten esta confianza ciega en un arma sin piedad. Saben que, una vez que vulneran a un proveedor, heredan las relaciones y la credibilidad que ese proveedor construyó con todos sus clientes. Los filtros de correo dejan pasar los mensajes confiables, y el entrenamiento de seguridad estándar rara vez prepara a los empleados para amenazas provenientes de fuentes conocidas.

Estos ejemplos de ciberataques a la cadena de suministro muestran cómo el compromiso del correo de un proveedor lleva a daños generalizados. Aquí tienes algunos ejemplos reales y recientes de ataques más amplios a la cadena de suministro:

• Kaseya (ataque de ransomware a VSA): Los atacantes explotaron errores en la herramienta de monitoreo remoto de este proveedor de software para MSP con el fin de desplegar el ransomware REvil. El ransomware se propagó a alrededor de 30 MSP y afectó los entornos de cientos de sus clientes. Los atacantes exigieron un total de $70 millones USD a cambio de un descifrador público. 

• Google y Facebook (fraude de facturas a gran escala): Entre 2013 y 2015, Evaldas Rimasauskas combinó phishing y fraude de facturas para hacerse pasar por un empleado de Quanta Computer y envió facturas falsas por correo a Google y Facebook. Durante dos años, le pagaron más de $120 millones antes de que las autoridades lo arrestaran y lo acusaran de fraude, lavado de dinero y robo de identidad.

• El robo de credenciales del proveedor confiable: Los ciberatacantes crearon sitios web falsos modificando los nombres de dominio de servicios SaaS conocidos, llevando a las personas que seguían esos enlaces a páginas de autenticación fraudulentas. Durante el tercer trimestre de 2024, los atacantes suplantaron a Microsoft con mayor frecuencia, representando más del 60% de todo el phishing con marca suplantada. Apple y Google quedaron en segundo y tercer lugar con 12% y 7%. 

• La conexión con contratistas: Los atacantes también atacaron sistemas de RR. HH. y nómina como Workday, usando información de empleados para crear spear phishing muy convincente mediante correos y llamadas telefónicas, usando proyectos específicos, nombres de gerentes y otra información correcta para dar legitimidad a las llamadas. 

Defenderse del vendor email compromise y del phishing en la cadena de suministro requiere verificación en cada punto de contacto. Proteger a tu organización de ciberataques a la cadena de suministro significa que necesitas seguir una estrategia integral:

Implementa protocolos de verificación estrictos 

Verifica las solicitudes de los proveedores por canales conocidos y exige aprobación dual para los cambios de pago.

Implementa detección y respuesta de amenazas a la identidad 

Las soluciones de seguridad tradicionales tienen dificultades para identificar el phishing en la cadena de suministro porque los atacantes envían correos desde direcciones comprometidas que parecen confiables. Esto hace que Managed ITDR sea esencial. Nuestra solución detecta actividad de autenticación anormal, movimiento lateral hacia sistemas sensibles y otros comportamientos anómalos que indican que los atacantes están aprovechando una cuenta de proveedor comprometida para atacar a tu organización.

Educa a los empleados sobre los riesgos de la cadena de suministro 

Una parte clave de un programa sólido de concientización en seguridad es un buen security awareness training. Asegúrate de que los empleados sepan que, aunque un correo parezca venir de un proveedor conocido, eso no significa que sea seguro. Entrénalos para identificar las señales reveladoras del phishing, incluso cuando el remitente sea familiar: urgencia o tono anormal, archivos adjuntos o macros inesperados, y enlaces o solicitudes que se salgan de los procesos habituales. 

Monitorea los compromisos de proveedores 

Monitorea los incidentes de seguridad de tus proveedores. Haz seguimiento de sus alertas de seguridad y mantén una lista de dependencias de terceros para evaluar rápidamente el impacto de una filtración. 

Segmenta el acceso y aplica el mínimo privilegio 

Restringe el acceso y las acciones de los proveedores dentro de tu entorno. Que un proveedor necesite conocer algunos datos o usar alguna aplicación no significa que deba tener acceso a todo. Segmenta tu red, implementa controles de acceso con privilegios mínimos y audita regularmente los niveles de acceso de los proveedores.

No puedes dejar de trabajar con proveedores, pero sí puedes dejar de regalarles victorias fáciles a los atacantes.

Huntress ofrece Managed ITDR, Managed SAT y capacidades de Managed SIEM que funcionan en conjunto para proteger a tu organización del compromiso de la cadena de suministro. Nuestra plataforma detecta acceso anómalo de proveedores y entrena a tu equipo para detectar incluso amenazas de fuentes confiables.

Descubre cómo Huntress detecta el compromiso de proveedores y el phishing en la cadena de suministro con ITDR. Prueba una demo de Huntress y comprueba cómo nuestra plataforma detecta y detiene las amenazas antes de que lleguen a ti.