Phishing OneDrive B2B: Sector Industrial

Caso real: Empresa del sector industrial víctima de phishing OneDrive B2B (nombre del cliente omitido por confidencialidad)

🔑 Puntos clave

En las últimas semanas hemos detectado un aumento de campañas de phishing (ataques B2B), utilizando falsos enlaces de OneDrive como vector inicial. En este artículo documentamos un caso real que afectó a una empresa del sector industrial, con el fin de ayudar a otras organizaciones a identificar y bloquear este tipo de amenazas.

🛠 Flujo del ataque

1️⃣ Primer contacto: correo de interés comercial

El atacante se presenta como Čižmešija, supuestamente desde Croacia, solicitando un catálogo y precios para productos. El mensaje está bien redactado y adaptado al sector, lo que genera confianza:

Hello,         
 
This is Čižmešija from Croatia, 
We kindly request your best pricing and Catalogue for your products.
We also want to know if you can deliver to Croatia Rijeka, for this information is crucial for us before we send our PO.
 
Thank you for considering our inquiries. We eagerly await your prompt response.
 
Kind regards
Ž. Čižmešija

Mac Globals Inc
+385 91 224 7000
Svilarska 20; Emera d.o.o.,
48000 Koprivnica, Croatia.
Email= info@macglobals.com
Email= Info.macglobals@gmail.com 

Objetivo: Ganarse la confianza del equipo comercial para que continúe la conversación.

2️⃣ Respuesta legítima de la víctima

El equipo comercial de la empresa industrial, interesado en la posible venta, responde con una propuesta y preguntas adicionales para personalizar la oferta.

3️⃣ Entrega del enlace malicioso

El atacante responde rápidamente, esta vez incluyendo un enlace aparentemente legítimo a OneDrive:

https://onedrive.live.com/PO/en-us/cloudstoragefiles/fileaccess/Macglobal/

Sin embargo, este texto enmascara el enlace real:

https://onedrive-rusty-craves.surge.sh/index.html?e=email@victima.xx

Este dominio redirige a una página fraudulenta que simula la interfaz de OneDrive y solicita credenciales corporativas.

4️⃣ Elementos que delatan el fraude

• Diferencia entre enlace visible y el real: el texto parece de OneDrive, pero el enlace apunta a un dominio externo (surge.sh). Al pasar el cursor por encima del enlace, se revela el destino real.
• Urgencia comercial: se solicita una cotización rápida para forzar la apertura del enlace sin verificación.
• Encadenamiento de confianza: el atacante primero genera una conversación para que el envío del enlace parezca parte de un proceso comercial legítimo.

📸 Ejemplo del recurso malicioso compartido

En la campaña detectada, el enlace simulaba una carpeta compartida en OneDrive con documentos como:

• Purchase.pdf
• Specification.xlsx
• Drawings_sketches.png
• Presentation.mov

Al hacer clic en cualquiera de estos elementos, se mostraba un modal emergente solicitando las credenciales de usuario, con el campo del correo autocompletado (parámetro “e” de la URL).

🧩 Cómo nuestro Adversary-Aware SOC habría prevenido este ataque

Nuestro Adversary-Aware SOC está diseñado para identificar y neutralizar campañas de phishing B2B sofisticadas como esta:

Gracias a la mentalidad centrada en el adversario, nuestro SOC comprende las tácticas de ingeniería social B2B y no solo confía en indicadores técnicos, sino que analiza el contexto completo de la comunicación para identificar intentos de phishing sofisticados.

📚 Lecciones aprendidas

1. Los ataques B2B son cada vez más sofisticados. Los atacantes investigan el sector y adaptan sus mensajes para generar confianza.
2. La verificación visual del enlace no es suficiente. Los usuarios deben pasar el cursor sobre los enlaces para ver el destino real.
3. La urgencia comercial es una táctica común. Solicitudes de cotizaciones rápidas buscan forzar decisiones sin verificación.
4. El 2FA es crítico. Incluso si las credenciales son robadas, el segundo factor previene el acceso.

Conclusión

Este ataque fue exitoso en múltiples empresas porque no existía análisis de comportamiento de emails ni protección de identidades con 2FA. Con Merabytes, la historia habría terminado diferente:

• El enlace fraudulento habría sido detectado por la discrepancia entre texto visible y URL real.
• El dominio surge.sh habría sido bloqueado automáticamente.
• Incluso si las credenciales hubieran sido robadas, el 2FA habría impedido el acceso.
• El equipo comercial habría recibido formación sobre tácticas de phishing B2B.

💡 Medidas recomendadas adicionales

Este ataque es un ejemplo de phishing dirigido (spearphishing) que aprovecha la ingeniería social B2B para superar las defensas habituales.

• Verificar siempre el dominio real antes de abrir enlaces, incluso si parecen de servicios conocidos como OneDrive.
• Implementar filtros anti-phishing (como N-Able Mail Assure) que inspeccionen enlaces y detecten discrepancias entre el texto y la URL real.
• Formar a los equipos comerciales para reconocer tácticas de urgencia y confianza empleadas por los atacantes.
• Activar MFA (Multi-Factor Authentication) en todas las cuentas corporativas para reducir el impacto en caso de robo de credenciales.

Si quieres proteger a tu empresa de este tipo de amenazas antes de que lleguen a la bandeja de entrada, visita merabytes.com y solicita acceso a nuestro servicio avanzado de filtrado y análisis de correo electrónico + protección de identidades con 2FA. Bloqueamos campañas de phishing, malware y suplantación de identidad incluso antes de que sean visibles para los usuarios, reduciendo drásticamente el riesgo de compromiso.