Cuando incluso los gigantes caen: Cisco sufre ataque de phishing por voz
En el mundo de la ciberseguridad, siempre hay un recordatorio constante de que nadie es intocable. Esta vez le ha tocado a Cisco, uno de los mayores proveedores de infraestructura de red del planeta. Si pensabas que las grandes empresas tecnológicas son fortalezas impenetrables, esta noticia te hará replantear esa idea.
El ataque que doblegó a un gigante
Cisco acaba de confirmar que uno de sus representantes fue víctima de un ataque de phishing por voz (también conocido como vishing), permitiendo a los atacantes acceder y descargar información de perfiles de usuarios almacenada en un sistema CRM de terceros.
No es que me alegre de las desgracias ajenas, pero hay algo irónicamente revelador cuando una empresa que vende soluciones de seguridad se convierte en víctima. Es como ver al dentista con una caries.
¿Qué se llevaron exactamente?
Según la propia Cisco, los datos comprometidos incluyen:
- Nombres de usuarios
- Nombres de organizaciones
- Direcciones
- IDs asignados por Cisco
- Direcciones de correo electrónico
- Números de teléfono
- Metadatos de cuentas (como fechas de creación)
La empresa ha querido tranquilizar a sus usuarios asegurando que no se expuso información confidencial o propietaria, ni datos de contraseñas u otra información sensible. Tampoco sus productos o servicios se vieron afectados.
El auge del vishing como arma predilecta
El phishing por voz no es nuevo, pero se ha convertido en la herramienta favorita de grupos de ransomware y otros actores maliciosos. Y no me sorprende: mientras nos hemos vuelto más hábiles detectando emails sospechosos, seguimos teniendo cierta debilidad cuando se trata de una llamada telefónica que parece legítima.
Lo que hace a estos ataques particularmente efectivos es su sofisticación. Los atacantes ya no lanzan anzuelos genéricos esperando que alguien pique. Ahora:
- Investigan en profundidad a sus objetivos
- Estudian los protocolos y métodos de autenticación internos
- Combinan diferentes canales de comunicación: emails, llamadas, SMS y notificaciones push
Este nivel de preparación es lo que ha permitido vulnerar organizaciones supuestamente inexpugnables como Microsoft, Okta, Nvidia, Globant, Twilio y Twitter. Cuando veo esta lista, pienso que estamos ante el equivalente tecnológico de la Liga de Campeones de las brechas de seguridad.
El factor humano: nuestro talón de Aquiles
Algo que siempre me ha llamado la atención es cómo, por mucha tecnología que implementemos, el eslabón más débil sigue siendo el humano. Y no lo digo como crítica: todos somos susceptibles de cometer errores, especialmente cuando los atacantes juegan con la urgencia, la autoridad o el miedo.
He visto casos donde el atacante se hace pasar por un agente del soporte técnico, un supervisor o incluso el CEO de la empresa. Y cuando te llaman diciendo «tenemos una brecha de seguridad y necesitamos verificar tu identidad ahora mismo», es difícil no sentir la presión.
La mejor defensa: MFA compatible con FIDO
Si hay una lección clara que sacar de este incidente es la importancia de implementar autenticación multifactor (MFA) con estándares robustos como FIDO, desarrollado por un consorcio global de organizaciones.
¿Por qué es tan efectivo? Por dos razones fundamentales:
-
Vinculación a dominios: Las claves criptográficas de FIDO están vinculadas al nombre de dominio del servicio al que accedes, lo que neutraliza los ataques basados en sitios falsificados.
-
Proximidad física: El credencial MFA debe estar físicamente cerca del dispositivo que intenta iniciar sesión. Si tú estás en Madrid y el atacante en cualquier otra parte del mundo, el ataque simplemente fracasa.
Eso sí, tampoco es la panacea universal. La MFA basada en FIDO es relativamente reciente y pocas organizaciones la implementan como única opción. Casi siempre existen métodos alternativos para recuperar acceso, lo que potencialmente abre puertas traseras para los atacantes.
¿Y ahora qué hacemos?
Como ya comentamos en la sección anterior, ningún sistema es infalible, pero hay medidas que pueden reducir significativamente el riesgo:
- Capacitar constantemente al personal sobre nuevas técnicas de phishing
- Establecer protocolos claros para verificar solicitudes inusuales, especialmente las que parecen urgentes
- Implementar MFA robusta y limitar los métodos alternativos de recuperación
- Actualizar regularmente las políticas de seguridad
La Agencia de Ciberseguridad e Infraestructura de EE.UU. ofrece guías detalladas para organizaciones que buscan protegerse contra estos ataques, y recomendaría a cualquier empresa consultarlas.
En definitiva, si Cisco, con todos sus recursos y experiencia, ha caído víctima del vishing, todos debemos estar alerta. En la ciberseguridad actual no hay espacio para la complacencia, ni siquiera para los gigantes de la industria.
