Información general
En marzo de 2023, un importante cliente de Microsoft experimentó una serie de ciberataques de spam que provocaron interrupciones en el sistema del cliente.
¿La causa? Un aluvión de cuentas de Microsoft Outlook y Hotmail creadas de manera fraudulenta que buscaban cosechar los beneficios de los servicios del cliente proporcionados como pruebas de prueba a posibles usuarios, a pesar de que estas cuentas falsas no tenían intención de pagar por esos servicios. Como resultado, el cliente bloqueó todas las nuevas inscripciones de cuentas de Microsoft Outlook y direcciones de Hotmail.
De hecho, lo que estaba detrás de este ataque era una empresa fraudulenta más grande con sede en Vietnam, un grupo que Microsoft llama Storm-1152.
Storm-1152 gestiona sitios web y páginas de redes sociales ilícitas en las que vende cuentas fraudulentas de Microsoft y herramientas para eludir el software de verificación de identidad en conocidas plataformas tecnológicas. Los servicios de Storm-1152 actúan como puerta de enlace al ciberdelito al reducir el tiempo y el esfuerzo necesarios para que los delincuentes lleven a cabo una serie de conductas delictivas y abusivas en línea. En total, el grupo creó para su venta aproximadamente 750 millones de cuentas fraudulentas de Microsoft, lo que ha reportado al grupo millones de dólares en ingresos ilícitos y ha supuesto a las empresas un coste aún mayor para combatir su actividad delictiva.
Resulta que varios grupos estaban utilizando las cuentas de Storm-1152 para participar en ransomware, robo de datos y extorsión, incluyendo Octo Tempest, Storm-0252, Storm-0455 y otros. Su negocio de ventas de cuentas lo convirtió en uno de los mayores proveedores de cibercrimen como servicio en línea.
Microsoft había estado rastreando el aumento de esta actividad maliciosa desde 2022, aumentando el uso de algoritmos de aprendizaje automático para prevenir y detectar patrones observados para la creación de estas cuentas fraudulentas. Sin embargo, la primavera de 2023 marcó un punto de inflexión debido al creciente abuso de las plataformas de Microsoft y sus socios. Se requirió una acción más agresiva y se formó un equipo multifuncional en Microsoft y con nuestro socio Arkose Labs.
El esfuerzo coordinado dio como resultado que la Unidad de Delitos Digitales (DCU) de Microsoft tomara la primera acción legal en diciembre de 2023 para incautar y cerrar los sitios web que Storm-1152 utilizaba para vender sus servicios. Inmediatamente después de la acción, observamos una disminución aproximada del 60 % en el tráfico de registro. Esta disminución coincide estrechamente con el 60 % o más de las suscripciones que nuestros algoritmos o socios identificaron posteriormente como abusivas y que posteriormente suspendimos de los servicios de Microsoft. El 23 de julio, presentamos una segunda demanda civil para interrumpir la nueva infraestructura que el grupo había intentado establecer después de nuestra demanda de diciembre.
Este informe de amenazas emergentes explica entre bastidores cómo se desarrolló la acción y destaca la importancia de colaborar en toda la industria para perseguir las amenazas cibernéticas. El caso es un ejemplo de cómo la industria puede utilizar los canales legales para ayudar a disuadir a otros grupos y mantener a las personas seguras en línea. También habla de la importancia de las interrupciones continuas y de cómo las acciones legales siguen siendo un método eficaz contra los ciberdelincuentes, incluso cuando cambian sus tácticas. Al final del día, ninguna operación se completa a la primera.
Seguir a Seguridad de Microsoft