Lo que encontró Microsoft
Entre el 3 y el 5 de agosto, un atacante no identificado envió más de un millón de correos a usuarios de empresas para intentar que los equipos financieros pagaran una factura falsa, según Microsoft en una entrada de su blog de seguridad publicada el 10 de septiembre. Los mensajes suplantaban a miembros del equipo directivo de cada empresa atacada, como su consejero delegado, su director financiero o su presidente, y pedían al departamento de cuentas por pagar de esa misma empresa que tramitara una transferencia ACH (Automated Clearing House) de casi 50.000 dólares.
Estados Unidos recibió el 87,7 % de la campaña, según Microsoft. El atacante envió los correos a través de varias cuentas de servicios de correo de terceros, y el desglose por sectores de Microsoft sitúa los servicios de TI y asesoría empresarial y los bienes de consumo entre los afectados. Microsoft no identificó al autor de la campaña y su entrada no indica si se llegó a realizar algún pago.
Cómo funcionaba el engaño
El nombre del directivo aparecía en tres lugares: el nombre visible del remitente, el nombre visible de la dirección de respuesta y la firma del correo. El cuerpo incluía una breve aprobación de la “factura de abajo” e invitaba al destinatario a pedir una versión en PDF si la necesitaba. Los asuntos usaban palabras clave financieras como “due bill” (factura vencida).
Para que la petición pareciera rutinaria, el atacante añadía un hilo de correo reenviado entre el directivo suplantado y ServiceNow, empresa que también era suplantada, junto con una factura inventada por una suscripción anual a la plataforma de ServiceNow. Microsoft también identificó un dominio similar, service-nowinc[.]com, registrado el 31 de julio, poco antes de que se observara la actividad. Se usó para la dirección falsa del presidente de ServiceNow y aparecía en la factura falsa como correo de contacto. Un segundo dominio, domainlify[.]net, se usaba en la dirección de respuesta.
Los indicios de IA
Microsoft afirmó haber observado varios indicios compatibles con el desarrollo de plantillas asistido por IA: abundantes comentarios HTML, etiquetas de sección estructuradas y una construcción de plantillas muy uniforme. Uno de los ejemplos que publicó es un comentario HTML extenso que describe una sección del correo, un rasgo que según Microsoft se observa con frecuencia en el código generado por IA. También citó el uso de rayas largas y de largas líneas de signos de igual como rasgos que se han asociado al uso de IA.
Microsoft es prudente sobre lo que demuestran esas pruebas. Los indicios apuntan a la intervención de IA generativa, escribió la empresa, pero no establecen por sí solos en qué medida la IA generó el contenido de la campaña. Es decir, se trata de la valoración de Microsoft sobre cómo se construyeron los correos a partir de rastros en su código, no de una conclusión sobre qué herramienta se usó ni quién la usó.
Una semana de IA en los ataques
El informe llega tras otros dos publicados esta semana que describen a atacantes usando IA. El 8 de septiembre, el equipo de inteligencia de amenazas de Google describió a un presunto actor con motivación económica que usó un sistema autónomo de múltiples agentes para montar una campaña de robo de credenciales en menos de seis horas. Un día después, GreyNoise informó de que un atacante utilizó cientos de agentes de IA para comprometer a 395 organizaciones a través de fallos en el software de gestión de impresión PaperCut.
El informe de Microsoft no describe exploits ni agentes. Lo que describe es un fraude antiguo, la suplantación de directivos dirigida a quienes pagan las facturas, enviado a un volumen de más de un millón de mensajes con plantillas que muestran señales de ayuda de la IA.
Lo que recomienda Microsoft
Las recomendaciones de Microsoft se centran en controles del correo, muchas de ellas en sus propios productos Defender. Aconseja configurar la interrupción automática de ataques, activar la purga automática de hora cero (Zero-hour auto purge), invertir en protección avanzada contra el phishing y configurar el flujo de correo con conectores. También recomienda implantar la autenticación de correo SPF, DKIM y DMARC.
Petri publicó los hallazgos el mismo día, a partir de la entrada de Microsoft. Los dos dominios que nombró Microsoft ofrecen a los equipos de seguridad algo concreto que buscar en los registros de correo, y el patrón que describe, la aprobación de un directivo sobre un hilo reenviado de un proveedor, es algo que el personal de cuentas por pagar puede aprender a reconocer.
