Reddit, el sitio web de marcadores sociales confirmó que fue víctima de un ataque de ‘phishing’.
Con esta maniobra, los ciberdelincuentes obtuvieron acceso a algunos documentos internos de la compañía, aunque insistieron que los datos de los usuarios se encuentran seguros.
Reddit comentó que el actor de amenazas involucrado en este incidente compartió una campaña fraudulenta contra algunos de sus empleados y logró estafar a uno de ellos para acceder a sus sistemas internos.
El domingo 5 de febrero, la compañía tuvo noción de "una sofisticada campaña de phishing" dirigida a sus trabajadores.
En dicha campaña se produjo el envío "de indicaciones que parecían plausibles, que enviaba a los empleados a un sitio web que clonaba el comportamiento" de su intranet.
En un comunicado, comentaron que luego de adquirir las credenciales del trabajador, los ciberdelincuentes obtuvieron ingreso a documentos y códigos internos "así como a algunos paneles internos y sistemas comerciales".
A raíz de esta maniobra, Reddit insistió que los datos de las contraseñas y las cuentas de los usuarios "están seguras" y que no cuenta con "evidencia que sugiera que se haya accedido a ninguno de sus datos privados o que la información de Reddit se haya publicado".
A su vez, la compañía puntualizó que continúa con el análisis y supervisión de esta situación.
Además, admitió ser conciente de que "el ser humano suele ser la parte más débil de la cadena de seguridad".
Por último, Reddit no sólo incentivó a los usuarios de la plataforma a configurar el sistema de autenticación de dos factores (2FA) para agregar una capa de seguridad adicional, sino que también llamó a actualizar la contraseña de acceso cada dos meses.
El Phishing es una técnica para obtener información a través de correos electrónicos falsos en los que roban contraseñas y datos personales.
Los e-mails redireccionan a una página de internet ilegítima con formularios y preguntas para recolectar información. Como variantes, está el Vishing, mediante un llamado telefónico, y el Smishing, vía SMS.
Otra estrategia para usurpar la identidad es la ingeniería social. Los ciberdelincuentes suelen hacerse pasar por conocidos de las víctimas o por alguna entidad para robar información confidencial.
Otra maniobra para robar información personal es usar recibos bancarios falsos, para lo que los estafadores mandan a los usuarios un comprobante que replica instituciones financieras.
Por último, una forma muy común para los ataques cibernéticos se presenta a partir de las compras por internet.
En comercios aparentemente confiables, se ofrecen descuentos para la compra mediante transferencia bancaria. Una vez que estos sitios logran captar varios clientes, desaparecen de la web.