Una campaña de 'phishing' utiliza Meta Business Suite para atacar a pequeñas y medianas empresas en todo el mundo
Una campaña de 'phishing' utiliza funciones legítimas de Facebook Business Suite y el dominio facebookmail.com para enviar notificaciones falsas que simulan proceder directamente de Meta a las que pequeñas y medianas empresas con el objetivo de robar credenciales e información confidencial.
Facebook sigue siendo una de las principales redes sociales, con más de 5.400 millones de usuarios en todo el mundo, según datos de Statista. Es también un canal de marketing para pequeñas y medianas empresas, que encuentran en su plataforma un medio para tener una página web, para promocionarse y para comunicarse con los clientes.
Es este alcance y el nivel de confianza que genera lo que la convierte en un objetivo para los cibercriminales, que una campaña reciente han aprovechado su nombre para enviar notificaciones falsas a miles de organizaciones de todo el mundo.
La campaña, analizada por los investigadores de Check Point Software, se ha dirigido contra más de 5.000 organizaciones de distintos sectores de Estados Unidos, Europa, Canadá y Australia, a las que los cibercriminales han enviado más de 40.000 correos fraudulentos. Según su telemetría, la mayoría de las organizaciones recibió menos de 300, aunque una sola empresa llegó a registrar más de 4.200 mensajes.
Para reforzar el engaño, los cibercriminales crearon páginas falsas de Facebook Business, configuradas con logotipos y nombres que imitan a los oficiales de Meta, y emplearon la función de invitaciones empresariales de Facebook para enviar correos que aparentan ser alertas legítimas.
Estos correos se enviaron desde el dominio facebookmail.com, completamente legítimo, lo que hizo que tuvieran mayor credibilidad y pudieran evadir los mecanismos de detección automática, como explican desde Check Point Software en una nota de prensa.
Estos correos mostraban expresiones de urgencia como "Acción requerida: estás invitado a unirte al programa de créditos publicitarios gratuitos", "Invitación de socio de agencia de Meta" o "Verificación de cuenta requerida"; e incluían un enlace malicioso que redirige a sitios web fraudulentos, diseñados para robar credenciales e información confidencial.
"Esta campaña demuestra hasta qué punto los ciberdelincuentes están sabiendo aprovechar los servicios y marcas más confiables para ejecutar sus ataques", explica el director técnico de Check Point Software para España y Portugal, Eusebio Nieva, que incide en que "las organizaciones deben adoptar un enfoque integral de seguridad, basado en la prevención, el análisis de contexto y el comportamiento, que les permita adelantarse a las amenazas antes de que causen daño".
