Qakbot 2023: exposición a software malicioso

Las categorías de datos verificadas son direcciones de correo electrónico y contraseñas. La presencia de un campo de contraseña puede aumentar el riesgo de toma de control de cuentas cuando se ha utilizado la misma contraseña, o una similar, en otros servicios. Las direcciones de correo electrónico también pueden facilitar la selección de objetivos para ataques de phishing, avisos de seguridad falsos y suplantación del personal de soporte. En este contexto de malware, conviene que los usuarios consideren conjuntamente la protección de sus dispositivos y de su identidad.

Los números de teléfono, las direcciones físicas, la información de pago, los identificadores oficiales, los mensajes privados, la información de salud y otros campos de perfil no son categorías verificadas en este caso. Tampoco se puede concluir que una contraseña se almacenara en texto plano, que siga vigente, que apareciera junto a cada dirección de correo electrónico o que corresponda a todos los servicios utilizados por una persona. Es importante ceñirse al alcance verificado para no generar alarma innecesaria ni una falsa sensación de seguridad.

La operación policial de agosto de 2023 se centró en desarticular el entorno operativo de la botnet Qakbot e interrumpir la actividad del malware. Posteriormente, se facilitaron 6 431 319 direcciones de correo electrónico para ayudar a notificar a las víctimas. La cifra representa identificadores de correo electrónico únicos, no un total de víctimas, personas, dispositivos o usuarios confirmado por separado. No revela en qué dispositivo se observó una dirección ni cuánto tiempo duró cualquier riesgo relacionado.

Las pruebas disponibles no permiten vincular la exposición con el dominio, la lista de clientes o el sitio web de una empresa concreta. Por lo tanto, no debe presentarse como responsabilidad de una empresa, un país o un proveedor de servicios. La interrupción de la actividad del malware no elimina por completo la posibilidad de que se reutilicen datos obtenidos previamente. A la inversa, una coincidencia por sí sola no demuestra que el malware siga presente en un dispositivo ni que un atacante tenga acceso en la actualidad.

Las personas cuya dirección de correo electrónico coincide con los datos de la exposición pueden afrontar un mayor riesgo si reutilizaron una contraseña en varios servicios o mantuvieron una contraseña antigua sin cambios durante mucho tiempo. Los empleados que utilizan correo electrónico laboral, los directivos, los equipos financieros y las personas con acceso a herramientas de administración pueden ser objeto de ataques de phishing o intentos de secuestro de sesiones. Estos grupos deben prestar especial atención a las solicitudes inesperadas de restablecimiento de contraseñas, intercambio de documentos y aprobación de acceso que reciban por correo electrónico.

Para quienes utilizan dispositivos compartidos o administrados, el riesgo puede extenderse más allá de una sola cuenta web. Conviene revisar los perfiles antiguos del navegador, las contraseñas guardadas, las herramientas de acceso remoto y los componentes desactualizados del sistema operativo. Las personas que utilizan la misma dirección de correo electrónico para fines personales y laborales deben evaluar las alertas de cada contexto por separado y recurrir a canales oficiales conocidos en lugar de utilizar los enlaces recibidos en un mensaje.

Si aparece una coincidencia, cambie las contraseñas de las cuentas más importantes desde un dispositivo que sepa que está libre de malware. Priorice las cuentas de correo electrónico, gestores de contraseñas, servicios financieros, acceso al entorno laboral, herramientas de administración y restablecimiento de contraseñas. Elija una contraseña segura y distinta para cada servicio en el que haya utilizado la misma contraseña o una similar, cierre las sesiones activas y active la autenticación multifactor cuando esté disponible.

Ejecute un análisis de seguridad con herramientas actualizadas, instale las actualizaciones del sistema operativo y del navegador, y revise las extensiones o los elementos de inicio que no reconozca. Si se trata de un dispositivo de trabajo, avise al equipo de seguridad o de tecnologías de la información y no intente borrar pruebas por su cuenta. En lugar de abrir enlaces incluidos en mensajes de restablecimiento de contraseñas o alertas de seguridad, acceda directamente a la dirección conocida del servicio correspondiente. Confirme los avisos sospechosos de acceso y autenticación por un segundo canal.

Utilizar una contraseña única y autenticación multifactor en cada servicio reduce el riesgo asociado a la reutilización de credenciales. Un gestor de contraseñas puede ayudar a guardar de forma segura contraseñas largas y aleatorias. Mantenga activas las actualizaciones automáticas de seguridad, la protección actualizada contra malware y las copias de seguridad periódicas en sus dispositivos. Revise con regularidad los datos de inicio de sesión guardados en el navegador y las extensiones innecesarias.

Las organizaciones deben evaluar conjuntamente la protección de los dispositivos, la protección del correo electrónico y los registros de autenticación. Para las cuentas con privilegios elevados, pueden utilizarse aprobaciones adicionales, acceso condicional y alertas de sesiones inusuales. Los empleados deben recibir formación periódica sobre cómo validar avisos de seguridad, informar de archivos adjuntos sospechosos y evitar compartir contraseñas en mensajes u otras comunicaciones. Estos controles también reducen los riesgos de suplantación y reutilización que pueden persistir tras la actividad inicial del malware.

Una consulta de una dirección de correo electrónico puede mostrar si aparece en el conjunto de datos facilitado para ayudar a notificar a las víctimas. Una coincidencia no demuestra que el dispositivo de cada persona se viera afectado, que la contraseña siga vigente, que todos los campos aparecieran en la misma fila o que exista acceso no autorizado en la actualidad. Considere el resultado como una señal importante para revisar la protección de sus dispositivos y cuentas, no como un registro técnico completo de los hechos.

Tras una coincidencia, revise primero el acceso al correo electrónico, las opciones de recuperación y los métodos de autenticación multifactor. Después, elimine la reutilización de contraseñas en los servicios importantes, examine las sesiones activas y preste atención a las alertas de seguridad. Si se trata de un dispositivo administrado o de trabajo, solicite ayuda al equipo correspondiente. Incluso sin una coincidencia, las contraseñas únicas, el software actualizado y la comprobación cuidadosa de las comunicaciones siguen reduciendo el riesgo relacionado con el malware.