Los atacantes utilizan técnicas clásicas: Typosquatting, Phishing, malware de backdoored, plataformas falsas y mucho más; Subeconomía en tan solo 3 Foros de cibercriminales generó más de $2,5 millones de dólares en 12 meses.

Sophos, líder mundial en innovación y prestación de ciberseguridad como servicio, ha anunciado hoy en la primera de una serie de cuatro partes, “Los estafadores que estafan a los estafadores en los foros de delitos cibernéticos”, que los cibercriminales se estafan entre sí por millones de dólares y utilizan el arbitraje para resolver disputas sobre las estafas. El informe también revela cómo los atacantes utilizan técnicas clásicas, con algunas décadas de antigüedad, como el typosquatting, el phishing, el malware de backdoored y los mercados falsos, para llevar a cabo sus estafas entre sí.

Para este informe, los expertos de Sophos X-Ops investigaron Exploit y XSS, dos foros de ciberdelincuencia en ruso que ofrecen listados de acceso como servicio (AAAS), y BreachForums, un foro de ciberdelincuencia en inglés y un mercado especializado en filtraciones de datos. Los tres sitios tienen salas de arbitraje dedicadas. A pesar de que este proceso de resolución provoca un caos ocasional entre los “demandantes y demandados”, con algunos criminales acusados que oscurecen y no se presenten, o que llaman a los propios denunciantes “rippers”, la práctica de estafadores estafar a estafadores es lucrativa. Durante un período de 12 meses, Sophos examinó aproximadamente 600 estafas que resultaron en la pérdida de más de $2,5 millones de dólares entre los actores de amenazas, sólo en estos tres foros, con reclamaciones que oscilan entre $2 y 160.000 dólares.

“Al investigar las estafas de cibercriminales, nos encontramos con toda una subeconomía que incluye no sólo a los delincuentes de menor nivel, sino también a algunos de los grupos de ransomware más prominentes. Y estas estafas no siempre tienen motivación financiera. Los beefs personales y las rivalidades eran comunes. También encontramos incidentes en los que estafaban estafadores a los estafadores que los estafaban. En un caso, encontramos un concurso de pesca de curricán creado para vengarse de un estafador que intenta engañar a los usuarios para que paguen $250 dólares y se unan a un falso foro subterráneo. El “ganador” del concurso recibió $100”, dijo Matt Wixey, investigador senior de amenazas de Sophos.

Sophos también descubrió que los argumentos y el proceso de arbitraje dejaban detrás una gran cantidad de inteligencia sin explotar que los profesionales de la seguridad y las fuerzas del orden podían aprovechar para comprender mejor y defenderse de los comportamientos cibercriminales.

“Debido a que los delincuentes a menudo necesitan ofrecer muchas pruebas cuando denuncian las estafas de las que ellos mismos han sido víctimas, proporcionan una gran cantidad de información táctica y estratégica sobre sus operaciones, algo que ha sido un recurso sin explotar hasta ahora. Estos informes de arbitraje también nos dan una mirada interna a las prioridades de los atacantes, sus rivalidades y alianzas y, irónicamente, cómo son susceptibles a los mismos tipos de engaño utilizados contra sus víctimas”, dijo Wixey.