Microsoft ha identificado una red de proveedores de phishing que aceptan Tether (USDT) como medio de pago, y ha vinculado las herramientas que estos proveedores ofrecen con campañas dirigidas contra hasta 75,000 organizaciones. El hallazgo pone de relieve cómo los proveedores de servicios delictivos están usando stablecoins para cobrar pagos, y cómo ese modelo de pago contribuye a alimentar ataques de phishing a escala industrial.

Proveedores en un modelo de phishing-como-servicio

Según Microsoft, las partes identificadas operan como proveedores dentro de un modelo de phishing-como-servicio. Esto significa que no necesariamente ejecutan cada ataque por sí mismos. En cambio, venden o alquilan herramientas de phishing listas para usar a otros delincuentes que llevan a cabo las campañas reales. Esta división del trabajo, en la que los creadores de herramientas sirven a delincuentes clientes en lugar de atacar directamente, es una estructura que los investigadores han observado en otros mercados de servicios delictivos, y reduce la habilidad técnica necesaria para ejecutar campañas convincentes.

Una característica reportada de estos proveedores es que aceptan USDT, la stablecoin con paridad al dólar estadounidense emitida por Tether, como forma de pago. Una stablecoin es una criptomoneda diseñada para mantener un valor fijo, en este caso un dólar estadounidense por token. Esa estabilidad de precio es relevante en este contexto porque elimina el riesgo de volatilidad de mantener criptomonedas más volátiles entre el pago y la conversión a efectivo. Aceptar USDT permite a los proveedores recibir pagos sin tocar cuentas bancarias tradicionales, que pueden ser más difíciles de rastrear para los investigadores que las transferencias bancarias convencionales.

El hallazgo de Microsoft concierne a un mercado delictivo específico y no a los pagos con criptomonedas en general. La aceptación de USDT es un atributo reportado de estos proveedores en particular; no significa que las transacciones ordinarias con USDT sean sospechosas, y Tether en sí es una herramienta financiera de amplio uso con aplicaciones legítimas. No obstante, el patrón es consistente con investigaciones de seguridad previas de Microsoft, incluida una advertencia anterior sobre campañas de malware cripto que evolucionaron de simples herramientas de robo a puertas traseras más sofisticadas.

Cómo las herramientas se conectan con 75,000 organizaciones

Microsoft informó que las herramientas de phishing suministradas por las partes identificadas fueron utilizadas contra hasta 75,000 organizaciones. La cifra describe el alcance potencial de las campañas, es decir, organizaciones que fueron atacadas o expuestas a ataques con estas herramientas, no necesariamente organizaciones que fueron completamente comprometidas.

La distinción importa. Ser objetivo de una campaña de phishing no significa automáticamente que las cuentas o los datos de una organización hayan sido accedidos. Sin embargo, la escala de 75,000 organizaciones ilustra qué tan ampliamente un modelo de proveedores puede difundir la capacidad de ataque: un pequeño número de proveedores puede habilitar un número mucho mayor de campañas ejecutadas por operadores delictivos independientes que compran o alquilan las herramientas.

Con base en la información disponible, Microsoft no ha detallado públicamente a qué industrias o regiones pertenecen estas 75,000 organizaciones. Infer geografía, desgloses por sector o recuentos confirmados de víctimas más allá de lo que Microsoft atribuyó iría más allá de lo que la evidencia respalda.

Qué significa esto para las organizaciones y los usuarios de cripto

El hallazgo subraya cómo los mercados de phishing-como-servicio operan de manera similar a los negocios legítimos de software-como-servicio, con proveedores, clientes y canales de pago. Las criptomonedas, y en particular las stablecoins, pueden aparecer como método de pago en estos mercados ilícitos porque las transacciones pueden cruzar fronteras rápidamente y fuera del sistema bancario tradicional.

El phishing sigue siendo una de las formas más reportadas de que los atacantes obtengan un punto de apoyo inicial en las organizaciones, ya que una sola credencial recolectada puede permitir la toma de cuentas y fraudes posteriores. Para las organizaciones, la respuesta práctica es la misma independientemente de cómo se les pague a los proveedores:

• Verifique al remitente antes de hacer clic en cualquier enlace de un correo o mensaje.
• Compruebe que las páginas de inicio de sesión usen el dominio correcto.
• Active la autenticación multifactor resistente al phishing, que requiere una llave física o confirmación del dispositivo en lugar de un código enviado por mensaje de texto.
• Reporte los mensajes sospechosos a su equipo de TI o seguridad en lugar de ignorarlos.

Para los usuarios de USDT u otras stablecoins, el hallazgo de Microsoft es un recordatorio de que los canales de pago con criptomonedas son parte de la economía delictiva moderna, aunque la gran mayoría de la actividad con stablecoins es legal. Comprender cómo funcionan estos mercados ayuda a explicar por qué los investigadores de seguridad y las fuerzas del orden prestan mucha atención a los patrones de pago en cadena vinculados con el ciberdelito. Investigaciones de seguridad relacionadas de Microsoft han mostrado previamente cómo las herramientas de robo de criptomonedas pueden evolucionar en amenazas persistentes tanto para individuos como para organizaciones.

Quien reciba una solicitud de inicio de sesión inesperada, un mensaje que le pida verificar credenciales o un correo que le pida hacer clic en un enlace para proteger su cuenta, debe tratarlo con cautela. Estos son mecanismos de entrega comunes para el tipo de campañas de phishing descritas en la investigación de Microsoft. Los avisos posteriores, los indicadores publicados o las acciones legales contra redes de proveedores como esta ofrecerían un panorama más claro de cómo evoluciona el ecosistema, razón por la cual los equipos de seguridad e investigadores suelen monitorear los canales de inteligencia de amenazas de los proveedores tras divulgaciones de este tipo.

Descargo de responsabilidad: Este artículo tiene fines informativos únicamente y no constituye asesoría financiera ni de inversión. Los mercados de criptomonedas y activos digitales conllevan un riesgo significativo. Siempre investigue por su cuenta antes de tomar decisiones.