La empresa de ciberseguridad Check Point Research ha descubierto una campaña de estafas en Internet que han dejado de forma accidental credenciales obtenidas ilegalmente a disposición del público a través de una búsqueda en Google.

La campaña de Phising, término informático que define un método empleado por delincuentes cibernéticos para estafar y obtener información confidencial de forma fraudulenta, comenzó el pasado mes de agosto mediante el envío de correos electrónicos que se hacían pasar por notificaciones de escaneado de Xerox, según detalla la agencia EFE.

Las compañías de ciberseguridad que han descubierto este suceso han desvelado que en estos correos se incitaba a los usuarios a que abrieran un archivo malicioso adjunto en formato HTML que evadía el filtro de protección avanzada de amenazas (ATP) de Microsoft Office 365. Una vez que procedían a hacerlo, eran redirigidos a una página de inicio de sesión.

Más de 1.000 personas afectadas

Aplicando este método, los ciberdelincuentes consiguieron obtener las credenciales de más de mil personas. Estos datos se almacenaron en un archivo de texto alojado en servidores de WordPress controlados por los delincuentes cibernéticos, quienes acabaron exponiéndolos por error en Internet, ya que la carpeta donde estaban almacenados fue indexada por Google, permitiendo así que la información fuese accesible para cualquier usuario.

“La estrategia de los cibercriminales era almacenar la información robada en una página web específica que ellos mismos crearon para, tras engañar a sus víctimas, recabar todos los datos almacenados en estos servidores. Sin embargo, lo que no pensaron es que si ellos eran capaces de rastrear la web en busca de esta información, Google también podía. Esta fue claramente una operación de seguridad fallida para los cibercriminales", explica a EFE el director técnico de Check Point para España y Portugal, Eusebio Nieva.