La empresa editorial japonesa Nikkei anunció que atacantes desconocidos lograron acceder a dos cuentas de correo electrónico pertenecientes a empleados, en dos incidentes separados que involucraron los servicios Google Workspace y Microsoft 365. La segunda cuenta se utilizó para enviar miles de mensajes fraudulentos a empleados y personas que ya habían estado en contacto con la empresa.
¿Qué ocurrió?
A finales de julio, los atacantes lograron acceder a la cuenta de un empleado en Google Workspace. Nikkei afirmó que el incidente podría haber expuesto los nombres y las direcciones de correo electrónico de 1.646 empleados y socios comerciales, pero confirmó que los datos afectados no incluían información de lectores ni de personas a las que hubiera entrevistado.
La empresa recibió una notificación de Google sobre el incidente y descubrió la intrusión a principios de agosto; después, cambió la contraseña de la cuenta. Nikkei no determinó durante cuánto tiempo tuvieron acceso los atacantes a la cuenta ni si los datos fueron copiados realmente.
Una cuenta de Microsoft 365 convertida en una herramienta de phishing
En un incidente más reciente, durante septiembre unos atacantes accedieron a la cuenta de otro empleado en Microsoft 365. El 30 de septiembre, la cuenta se utilizó para enviar mensajes de correo electrónico a empleados de Nikkei y a personas que anteriormente habían estado en contacto con varios de sus trabajadores.
Los mensajes contenían enlaces a sitios maliciosos y su número ascendió a aproximadamente 9.000. La empresa cambió las contraseñas relacionadas con el incidente y afirmó que desde entonces no había detectado inicios de sesión no autorizados. También se puso en contacto individualmente con los destinatarios y les pidió que eliminaran los mensajes.
¿Por qué es importante esta noticia?
El peligro de piratear cuentas de correo electrónico corporativas no se limita a la exposición de datos; la cuenta comprometida puede utilizarse para enviar mensajes que parezcan fiables a colegas, socios y personas que tengan una relación previa con el empleado. Esto aumenta las probabilidades de éxito del phishing, especialmente cuando el mensaje procede de un dominio conocido y se basa en contactos reales.
Nikkei advirtió a las personas afectadas sobre nuevos mensajes que podrían suplantar su nombre o los nombres de sus empresas afiliadas. La empresa no atribuyó ninguno de los dos ataques a una entidad o grupo de piratería informática específico, ni confirmó que hubiera una relación entre ambos incidentes.
Un contexto de seguridad recurrente
Las nuevas revelaciones se producen después de otros incidentes anunciados por Nikkei en años anteriores. El año pasado, su plataforma de Slack fue pirateada, lo que afectó a más de 17.000 empleados y socios comerciales. En mayo de 2022, Nikkei Singapur sufrió un ataque de ransomware que afectó a un servidor que, según se cree, contenía datos de clientes. Asimismo, Nikkei America perdió aproximadamente 29 millones de dólares en un ataque de fraude por correo electrónico empresarial (BEC) en septiembre de 2019.
Siguen abiertas preguntas importantes, entre ellas la naturaleza de los datos a los que posiblemente se accedió realmente, la duración exacta de cada intrusión y si ambos incidentes estaban relacionados. Por ello, la información publicada hasta ahora basta para confirmar las dos intrusiones y sus efectos iniciales, pero no determina el alcance penal o técnico completo del ataque.