Los ataques a velocidad de máquina pueden iniciar el robo de datos en 15 minutos

Los atacantes pueden empezar a explorar un entorno o extraer datos en los 15 minutos posteriores a obtener acceso, según un análisis de Exaforce. La plataforma de seguridad de la empresa y sus analistas MDR examinaron tres patrones de ataque. Exaforce afirma que los casos muestran por qué es importante detectar amenazas a partir de datos y comportamientos.

En un caso, el token OAuth de GitHub de un desarrollador permaneció 95 días en el llavero de Mac después de que usara GitHub Desktop. El 19 de junio, otra persona utilizó el token para descargar 76 repositorios en unos 15 segundos mediante proxies de conexiones residenciales en más de dos docenas de ciudades europeas. Exaforce afirma que su plataforma detectó la actividad en cinco minutos y que sus analistas confirmaron el robo de datos, pero que, para cuando se actuó, el atacante ya había extraído datos de 472 de los 638 repositorios. Según la empresa, GitHub no alertó sobre el uso del token.

El análisis también describe señuelos con instaladores maliciosos de IA y ataques de phishing por voz que engañan a empleados para que aprueben solicitudes MFA reales. En un caso, los atacantes iniciaron una descarga masiva entre 2,5 y 7 minutos después de la aprobación y extrajeron 140.000 archivos; luego exigieron un rescate, según Exaforce. En otro, la empresa afirma que relacionó los inicios de sesión de Okta y Microsoft mediante el historial de la cuenta después de que un token robado se reutilizara desde otros dos países en un segundo.

Exaforce sostiene que las organizaciones necesitan detección basada en el comportamiento y contención automatizada para responder a la velocidad de estos ataques. Los ejemplos y conclusiones son el relato de la empresa sobre incidentes que afirma haber gestionado.