Los ciberdelincuentes nunca se detienen y reinventan constantemente sus tácticas para aprovecharse de la confianza, la familiaridad y el instinto humano. INKY observando cómo los autores de amenazas utilizan las plataformas de correo electrónico en la nube y la ingeniería social basada en la voz para eludir los controles de seguridad. Un ejemplo reciente es una campaña de phishing en la que se enviaron cientos de correos electrónicos desde una cuenta de SendGrid comprometida, vinculada a OpenAI, para emitir facturas fraudulentas.

Protégete contra los correos electrónicos maliciosos con Kaseya Inky

Detén las amenazas avanzadas de phishing y las amenazas por correo electrónico antes de que lleguen a los usuarios con INKY

Comenzar

Se recibió un correo electrónico con apariencia de factura, supuestamente enviado por OpenAI, procedente de [email protected] a través de SendGrid. Dado que el mensaje se envió desde una cuenta legítima de OpenAI en SendGrid, superó las comprobaciones SPF, DKIM y DMARC de openai.com. En él se afirmaba que se había confirmado un cargo por suscripción de 763,99 dólares y se instaba al destinatario a llamar a un número de asistencia para reclamarlo. El mensaje no contenía enlaces ni archivos adjuntos maliciosos. Su única llamada a la acción era un número de teléfono. Este diseño permite que la estafa se cuele a través de las puertas de enlace de filtrado de URL, al tiempo que se aprovecha la confianza que los usuarios depositan en marcas conocidas y en las conversaciones telefónicas.

Fig. 1: El correo electrónico de phishing con temática de factura

Uso indebido de la infraestructura de SendGrid

Las plataformas legítimas de envío de correo electrónico se han convertido en potentes herramientas para los ciberdelincuentes que buscan pasar desapercibidos entre las comunicaciones empresariales habituales.

El atractivo de SendGrid para los atacantes

SendGrid es una herramienta muy utilizada por las empresas para enviar grandes volúmenes de correos electrónicos transaccionales y de marketing. Ofrece una alta tasa de entrega y funciones avanzadas, como el seguimiento de clics y el análisis de datos. Sin embargo, los ciberdelincuentes están haciendo un uso indebido de las cuentas de SendGrid para lanzar campañas de phishing, suplantando la identidad de la propia SendGrid y de otras marcas de confianza. La promesa de una tasa de entrega del 99 % hace que la plataforma resulte atractiva para los delincuentes. Una cuenta de SendGrid comprometida les permite enviar correos electrónicos falsificados que superan las comprobaciones SPF/DKIM y parecen legítimos para los destinatarios.

Posible violación de la seguridad de la cuenta de SendGrid de OpenAI

Los correos electrónicos de phishing de esta campaña no solo suplantaban el nombre de OpenAI, sino que se enviaron a través de una cuenta auténtica de SendGrid configurada en el dominio openai.com. Los mensajes superaron las comprobaciones SPF, DKIM y DMARC de openai.com y contenían encabezados específicos de SendGrid, lo que indica que el remitente tenía acceso autenticado al tenant de SendGrid de OpenAI.

Hay varias vías plausibles por las que los delincuentes podrían haber obtenido dicho acceso:

Descifrado masivo de contraseñas y apropiación de cuentas: Twilio, la empresa matriz de SendGrid, ha admitido que muchas cuentas de clientes han sido vulneradas y utilizadas indebidamente para enviar spam. KrebsOnSecurity ha informado de que un número inusualmente elevado de cuentas de clientes de SendGrid sufrieron el descifrado de sus contraseñas, que posteriormente fueron vendidas a spammers, lo que permitió a los delincuentes enviar campañas de phishing y malware a través de dominios de clientes de confianza. Una vez que se piratea una cuenta de SendGrid, los correos electrónicos resultantes eluden los filtros de spam menos sofisticados, ya que los destinatarios confían en la infraestructura de SendGrid.
Mercado negro de credenciales de SendGrid: los ciberdelincuentes comercian activamente con el acceso a cuentas de SendGrid secuestradas. El director de seguridad de Twilio reconoció que la empresa había observado un aumento de cuentas comprometidas y que la autenticación multifactorial (MFA) no era obligatoria. Los investigadores señalan que el mercado de estas cuentas se ve impulsado por la reutilización de contraseñas: los atacantes se centran en usuarios que reutilizan sus credenciales en distintos sitios web y luego venden los datos de inicio de sesión que funcionan. Un vendedor, que opera bajo el nombre de «Kromatix», anunciaba más de 400 cuentas de SendGrid comprometidas, fijando su precio en función del volumen mensual de correos electrónicos que podían enviar. Estas cuentas robadas pueden utilizarse para generar claves API y enviar masivamente correos electrónicos de phishing con una alta tasa de entrega.
Phishing y robo de credenciales: los atacantes pueden llevar a cabo ataques de phishing directamente contra los usuarios de SendGrid para robarles sus credenciales. Dado que los delincuentes pueden utilizar la cuenta comprometida para enviar correos electrónicos autenticados, los dominios de las víctimas se convierten, sin saberlo, en participantes de futuros ataques. Si un empleado o colaborador de OpenAI reutilizó su contraseña de SendGrid, o si sus credenciales se vieron comprometidas en una filtración independiente, los atacantes pueden iniciar sesión en el panel de control de SendGrid y crear una campaña de facturas fraudulentas.
Autenticación multifactorial deficiente o inexistente: Los responsables de Twilio indicaron que la autenticación multifactorial (MFA) era opcional para las cuentas de SendGrid y que la empresa tenía previsto hacerla obligatoria. Sin la MFA, los atacantes pueden hacerse con el control de las cuentas simplemente adivinando u obteniendo las contraseñas. La ausencia de una verificación adicional aumenta el riesgo de que dominios legítimos, como openai.com, se utilicen con fines de phishing.

Es importante destacar que no hay confirmación oficial de que OpenAI haya sufrido una filtración. La presencia del dominio openai.com en estos correos electrónicos de phishing indica que los atacantes tuvieron acceso a algunas credenciales de SendGrid vinculadas a OpenAI. Se desconoce si este acceso se debió al robo de credenciales, a la reutilización de contraseñas, a un ataque de phishing contra un empleado o a la vulneración de un proveedor externo.

No obstante, la venta generalizada de cuentas de SendGrid pirateadas y la incertidumbre sobre si las credenciales fueron sustraídas mediante phishing o si la propia SendGrid fue objeto de un ataque informático sugieren que la estafa de las facturas de OpenAI probablemente se debió a una apropiación de cuentas y no a una simple suplantación de identidad. Las organizaciones que utilizan SendGrid deberían considerar este incidente como una advertencia para aplicar la autenticación de dos factores (MFA), rotar las claves de API con regularidad y vigilar los patrones de envío inusuales.

Análisis de los encabezados del correo electrónico con la factura de OpenAI

El correo electrónico malicioso se envió desde [email protected] a través de SendGrid. El análisis de los encabezados reveló que el mensaje pasó por varios servidores de la infraestructura de correo de Microsoft antes de llegar al destinatario. Entre las observaciones más destacadas se incluyen:

Resultados de la autenticación: El mensaje superó las comprobaciones de SPF, DKIM y DMARC porque tm.openai.com autorizó la IP de SendGrid (159.183.120.121). Los atacantes se valen de cuentas de SendGrid comprometidas para garantizar dicha coincidencia.
Encabezados «Received»: en un salto se lee «Received: from MjAyMTY3MDY (desconocido) by geopod-ismtpd-15 (SG) with HTTP id …», lo que indica que los servidores «geopod-ismtpd» de SendGrid generaron el mensaje. La presencia de «geopod‑ismtpd» y «(desconocido)» en los encabezados «Received» es un indicador habitual de que el correo electrónico se originó en SendGrid.
Campos X-SG: El mensaje incluye los encabezados X-SG-EID y X-SG-ID, que son exclusivos de SendGrid. Estos indican que se envió a través de la API de SendGrid y no desde un cliente de correo electrónico personal.
Asunto y cuerpo del mensaje: El asunto decía «Cargo por suscripción confirmado: 763,99 $ » y el cuerpo del mensaje contenía una única llamada a la acción: «Asistencia: +1 (701) 638‑0848». No se incluyeron enlaces, por lo que los filtros de URL no pudieron identificar dominios maliciosos. El cuerpo del mensaje utilizaba la imagen de marca de OpenAI y un lenguaje urgente para crear una sensación de pánico y legitimidad.

La combinación de la capacidad de entrega de SendGrid, la alineación criptográfica y la suplantación de marca hace que los filtros de seguridad de correo electrónico estándar tengan dificultades para bloquear este tipo de mensajes.

Fig. 2: Análisis del encabezado del correo electrónico de phishing

Cadena de ataque: phishing/vishing con llamada de respuesta

El phishing por devolución de llamada, también conocido como «ataque orientado al teléfono» (TOAD), es una estafa que comienza con una factura falsa o un aviso de suscripción. Estos correos electrónicos suelen fingir ser cobros de empresas conocidas e incluyen un número de teléfono al que llamar si el cargo no está autorizado. Su objetivo es que la víctima llame al número en lugar de hacer clic en un enlace. Una vez al teléfono, el atacante se hace pasar por un representante del servicio de atención al cliente, solicita información personal o indica a la víctima que instale un software de asistencia remota. Al no contener enlaces ni archivos adjuntos maliciosos, estos mensajes pueden eludir los filtros de correo electrónico tradicionales.

Las estafas de «callback» se basan en la urgencia: el correo electrónico insta al destinatario a llamar para cancelar un cargo elevado, y a continuación el estafador le solicita información personal o acceso remoto. El phishing de «callback» engaña a los usuarios para que llamen a un número facilitado. A continuación, el estafador recurre a la ingeniería social para obtener credenciales de inicio de sesión, datos financieros o acceso remoto. Este método se diferencia del phishing tradicional porque la conversación se traslada a una llamada de voz, lo que dificulta su supervisión por parte de las herramientas de seguridad.

Fig. 3: Mensaje de phishing con solicitud de llamada

Cadena paso a paso en el caso de la factura de OpenAI

Correo electrónico inicial: La víctima recibe un mensaje con aspecto de factura procedente de [email protected] a través de SendGrid. En él se afirma que se ha procesado un cargo de elevado importe (763,99 dólares) y se facilita un número de atención al cliente al que llamar. Dado que el mensaje supera las verificaciones SPF, DKIM y DMARC, parece auténtico y elude los filtros de correo electrónico.
Llamada telefónica: Al creer que el cargo es real, la víctima llama al número de asistencia. Un estafador que se hace pasar por un representante de OpenAI responde a la llamada. Es posible que le pida a la víctima su nombre, su dirección de correo electrónico u otros datos de identificación para «consultar la cuenta».
Asistencia remota: El estafador alega que necesita anular el cargo o realizar un reembolso y le pide a la víctima que instale un programa de asistencia remota, lo que le permite acceder al dispositivo de la víctima.
Vulnerabilidad: Mediante el acceso remoto, el atacante puede recopilar datos confidenciales (credenciales bancarias, números de identificación personal) o guiar a la víctima a través de procesos de reembolso falsos que provocan pérdidas económicas reales. Las primeras campañas utilizaban esta técnica para instalar malware, lo que les concedía acceso remoto y, en ocasiones, daba lugar a ataques de ransomware. Los atacantes también pueden indicar a la víctima que inicie sesión en su banco para «verificar» los fondos y, a continuación, transferir dinero de forma sigilosa.
Acciones posteriores al compromiso: los atacantes pueden permanecer en el equipo de la víctima, instalar malware adicional, robar datos o pasar a otros sistemas. Dado que fue la víctima quien inició la llamada, es posible que no se dé cuenta de que ha ocurrido algo malicioso.

Consecuencias del phishing por devolución de llamada

El phishing por devolución de llamada puede tener graves consecuencias. Una vez concedido el acceso remoto, los atacantes pueden llevar a cabo:

Robo de identidad y fraude financiero: Las herramientas de asistencia remota permiten a los delincuentes consultar y sustraer información bancaria, realizar transferencias electrónicas o solicitar préstamos. Netcraft señala que los delincuentes utilizaron cuentas de SendGrid comprometidas para lanzar ataques de phishing suplantando la identidad de diversas empresas, lo que pone de manifiesto la magnitud de este tipo de abusos. Una vez establecido el acceso remoto, los atacantes pueden manipular el panel de control financiero de la víctima y sustraer datos.
Instalación de malware y ransomware: se engaña a las víctimas para que descarguen troyanos de acceso remoto, que posteriormente se utilizan para instalar ransomware. Los atacantes también pueden instalar keyloggers u otro tipo de spyware.
Compromiso de la red y movimiento lateral: una vez que tienen acceso a un dispositivo, los delincuentes pueden desplazarse lateralmente dentro de una organización, robar datos empresariales o enviar más correos electrónicos de phishing (phishing lateral).

Buenas prácticas y recomendaciones

Para reducir el riesgo de estafas de phishing mediante llamadas de respuesta que abusan de SendGrid:

Verifícalo a través de los canales oficiales: no llames a los números de teléfono que figuran en correos electrónicos no solicitados. Si recibes una factura o un aviso de suscripción que te parezca sospechoso, ponte en contacto directamente con la empresa utilizando un número de su página web oficial o del portal de tu cuenta.
Nunca concedas acceso remoto a personas desconocidas: las empresas legítimas no te pedirán acceso remoto para realizar reembolsos o cancelar suscripciones. Nunca instales software de asistencia remota a menos que hayas solicitado ayuda a un proveedor de confianza.
Informar a los usuarios: formar a los empleados para que sepan detectar las estafas relacionadas con las facturas.
Notifíquelo y aísle el dispositivo: si sospecha que se trata de un intento de phishing por devolución de llamada, notifique el correo electrónico a su equipo de seguridad y aísle cualquier dispositivo que tenga instalado software de asistencia remota. Vigile sus cuentas para detectar transacciones no autorizadas y cambie las contraseñas.
Proteja las cuentas de SendGrid: Las organizaciones que utilizan SendGrid deben habilitar la autenticación multifactorial, supervisar la actividad de envío y revocar cualquier clave API comprometida. Netcraft advierte de que los delincuentes utilizan cuentas de SendGrid comprometidas para enviar correos electrónicos de phishing autenticados.

Reflexiones finales

La estafa de las facturas de OpenAI pone de manifiesto cómo los atacantes aprovechan los servicios legítimos de correo electrónico en la nube y la ingeniería social basada en la voz para eludir los controles de seguridad. Al enviar un correo electrónico con temática de factura a través de SendGrid, los delincuentes se aseguraron de que el mensaje superara las comprobaciones SPF/DKIM/DMARC y pareciera fiable. La ausencia de enlaces maliciosos permitió que el correo electrónico eludiera los filtros de URL, mientras que la llamada a la acción urgente incitaba al destinatario a ponerse en contacto con un estafador que, a continuación, intentaba obtener acceso remoto.

El phishing de devolución de llamada forma parte de una tendencia más amplia en la que los atacantes utilizan como arma plataformas de confianza y herramientas de asistencia remota. La seguridad avanzada del correo electrónico, la vigilancia, la formación de los usuarios y la verificación rigurosa a través de canales oficiales siguen siendo las defensas más eficaces contra esta amenaza en constante evolución.