Ataques de phishing HTTPS: Cómo los hackers utilizan los certificados SSL para simular confianza

Viajemos a 1994. No hace falta sacar el busca ni ponerse la camisa de franela. Fue el año en que nació el primer protocolo SSL . Fue lanzado por Netscape para satisfacer la creciente necesidad de mayor seguridad para ese invento recién inventado llamado Internet.

Varias versiones de SSL después y acabó transformándose en el TLS que conocemos hoy. Sin embargo, como si de un mal apodo se tratara, seguimos refiriéndonos a TLS como SSL.

Desde aquellos primeros días de los albores del navegador web, ha habido continuos problemas con la seguridad de los SSL. A los ciberdelincuentes les encanta llevar a cabo estafas de phishing utilizando certificados de SSL y haciéndolos pasar por sitios de confianza. Esta estafa lleva existiendo desde 2005, cuando se produjeron los primeros casos de phishing utilizando certificados SSL .

According to a report by the Anti-Phishing Working Group (APWG) and contributor PhishLabs, in the first quarter of 2021, 83% of phishing sites had SSL encryption enabled. Amazingly, this was the first time that the number plateaued since PhishLabs began the study in 2015.

But organizations can’t use this news as a reason to start letting their guard down against SSL phishing attacks. Especially since phishing threats overall are on the rise with the total number increasing by 22% in the first half of 2021.

Por qué a los atacantes les encanta SSL phishing

Fue Ronald Reagan quien acuñó el proverbio "confía, pero verifica" y esto es especialmente cierto cuando se trata de certificados de SSL . Ese pequeño símbolo de candado en el navegador trae consigo una sensación de confianza en que estarás protegido y no habrá alguien que huya con todo tu dinero. Y son los ciberdelincuentes los que quieren romper esa confianza.

SSL Se supone que los certificados protegen todas las cosas que son oro para un ciberdelincuente, desde cuándo celebraste tu cumpleaños hasta cuándo hiciste tu último reintegro bancario. Los sitios HTTPS fraudulentos son una de las puertas de acceso a esta información favoritas de los hackers, que saben muy bien cómo proporcionar fácilmente una falsa sensación de seguridad. Para ellos es relativamente sencillo configurar un sitio HTTPS falso con ese candado de confianza en ataques que a menudo se describen como "bajo riesgo, alta recompensa".

Attackers’ M.O. is usually to obtain original SSL certificates for lookalike or typo-squatting domains or plain out stealing SSL certificates. Research from Deloitte found that 91% of all cyberattacks begin with a phishing email to unexpecting victims. They are typically lured to the sites via a link in an email sent from a legitimate address such as a reputable company or well-known person.

In the second quarter of this year, 90.5% of phishing sites used Domain Validated (DV) SSL Certificates. Organization Validated (OV) Certificates were the second most popular among cybercriminals and represented 9.51% of SSL Certificates. DV Certificates probably received top billing because they are easy to acquire and are often free. OV Certificates usually require the domain owner to take more steps to authenticate the site.

Only 11 sites had Extended Validation (EV) Certificates. Those sites were all legitimate sites that had been hacked rather than sites built by attackers who had somehow acquired EV certificates.

Los distintos tipos de ataques de phishing HTTPS

Tal vez uno de los ejemplos más conocidos de uso de correos electrónicos y sitios similares para expediciones de phishing es Sony Pictures. En 2014, lo más probable es que los hackers enviaran correos electrónicos con ID de Apple falsos a empleados de Sony. El personal que hizo clic en el enlace del correo electrónico fue llevado a un sitio web de Apple que se parecía mucho al real. Los hackers pudieron entonces infiltrarse en la empresa y robar contraseñas, nombres de usuario y otros datos valiosos.

Despite Apple being popular among attackers, it didn’t even make the top ten on Vade’s annual list of the most impersonated brands in phishing attacks. For the third year running the top spot went to Microsoft. It had 30,621 unique phishing URLs. Facebook followed with 14,876 URLs and PayPal, Chase, and eBay rounded out the top five. 

He aquí un análisis más detallado de algunos tipos comunes de ataques de phishing HTTPS. Estas técnicas están en constante evolución, y muchas se utilizan en combinación para una amenaza aún mayor.

• Man-in-the-Middle (MITM) Attack: Attackers eavesdrop on secure conversations between two parties who think they are just communicating with each other and often gain access using expired SSL certificates.
• SSL Stripping Attack: This is a form of the man-in-the-middle attack where hackers will downgrade a web connection from the more secure HTTPS to the less secure HTTP by stripping away the encryption.
• Wildcard Certificates: Attackers use a stolen private key to gain access to a wildcard certificate or they trick the certification authority into issuing it for a fake company.

El phishing HTTPS y la pandemia COVID-19

No es de extrañar que los ciberdelincuentes aprovechen la pandemia para realizar ataques de phishing HTTPS. Se aprovechan de la gente en un momento difícil con tácticas de ingeniería social que les llevan a sitios web fraudulentos que ofrecen de todo, desde curas a noticias falsas. 

SpyCloud analyzed a list of over 136,000 hostnames and fully qualified domain names with COVID-19 or coronavirus themes. It found that 78.4% of the COVID-19-themed domains used HTTP and the rest used HTTPS.

Pandemic-related phishing attempts in June 2021 increased 33% compared to a lull in COVID-19-themed threat campaigns through the spring and early summer of 2021 when virus concerns temporarily waned. The June spike occurred right when Google searches for “Delta variant” was peaking.

There has also been an uptick in companies’ HR departments asking employees to send proof of vaccination (with the birth date!) or personal coronavirus test results via an unsecured form or upload that is ripe for hackers. Another method on the rise is sending phishing emails telling employees they are losing their jobs because of the pandemic.

Due to the pandemic, many companies have pivoted to work-from-home situations. However, organizations have been lacking in enforcing their cybersecurity protocols and employees have been operating at home with little oversight. More than half of IT leaders believe employees have picked up bad cybersecurity behaviors since working remotely.

Remote work has led to an increased reliance on cloud applications. Microsoft Office 365 has been a go-to platform for distributed workers, and it is estimated that Office 365 is used by over a million companies worldwide. The problem is that Office 365 is a favorite among hackers. There has been a high volume of multiple corporate phishing attempts to steal Microsoft Office 365 credentials. Victims are often directed to input their Microsoft login credentials on imposter sites that appear real but lack the proper SSL certificate.

O los delincuentes están atacando a filiales de Microsoft como su servicio de gestión de correo electrónico en la nube Mimecast. A principios de este año, Mimecast denunció que los atacantes iban tras el certificado digital que proporcionaba a ciertos clientes para conectar de forma segura sus productos a Microsoft 365. Lo más probable es que el certificado comprometido fuera un certificado de confianza de SSL emitido para Mimecast.

Proteger su empresa del phishing HTTPS

As of February 2021, Google Chrome accounted for around 46% of the overall internet browser market share in the United States. Google reports that over 90% of page loads in Chrome on most operating systems occur over HTTPS compared with HTTP. Starting this year, Google’s Chrome web browser will be rolling out an optional default for “HTTPS-Only Mode.” The new setting will appear as a simple toggle under the settings security page and when set would make HTTP websites inaccessible.

Additionally, Google wants to retire the padlock icon and is considering instead trying a downward-facing chevron/caret that opens a menu to set site permissions and see other site details. In Google’s survey of moderately tech-savvy respondents, only 11% of participants could correctly identify the meaning of the padlock icon. Some thought it was the bookmark icon or the site’s favicon. And this problem is just one more layer in people’s understanding that just because a site has HTTPS, it doesn’t mean that it is guaranteed to be trustworthy.

Lo más probable es que su empresa tenga una sección en su formación sobre ciberseguridad acerca de los ataques de phishing, pero compruebe que cubre específicamente el phishing relacionado con HTTPS. Durante mucho tiempo, los empleados han asumido que si ven el símbolo del candado saben que la página que están visitando es segura. Infórmeles sobre las ciberamenazas HTTPS para proteger mejor a su organización contra los esquemas de phishing que utilizan certificados SSL .

He aquí algunos consejos sencillos para compartir con su empresa:

• Si un empleado recibe un correo electrónico sospechoso con un enlace, indíquele que llame o envíe un correo electrónico (no una respuesta) a la persona directamente y le pregunte si lo ha enviado. Esto vale para personas de dentro y fuera de la organización.
• Fíjese bien en la URL del sitio web y compruebe si hay faltas de ortografía o un dominio incorrecto, como el uso de .gov en lugar de .com. Aconséjales que escriban la URL directamente en su navegador en lugar de hacer clic directamente en el enlace.
• Enseñe al empleado a pasar el ratón por encima del enlace para ver si el destino es el correcto. Recuérdele que sólo debe pasar el ratón por encima y no hacer clic en el enlace, aunque parezca un sitio seguro.
• Evite el uso de certificados comodín en los sistemas de producción, lo que aumenta el riesgo y la superficie de ataque, si un servidor o certificado se ve comprometido.