Microsoft publica una advertencia de phishing para Hotmail, MSN y Outlook

Los usuarios de los servicios de correo electrónico de Microsoft como Hotmail, MSN y Outlook han sido advertidos para que estén atentos después de que el gigante de la tecnología admitió que algunas cuentas de usuario fueron comprometidas.

Durante el fin de semana, informó que las cuentas de algunos usuarios de los servicios de correo electrónico web administrados por Microsoft, incluyendo @hotmail.com y @msn.com, habían sido comprometidas.

La semana pasada se envió un correo electrónico a los usuarios afectados, en el que se decía que los atacantes habrían podido tener acceso a información como su dirección de correo electrónico, las direcciones de correo electrónico de los contactos y las líneas de asunto.

Sin embargo, la notificación también decía que los potenciales atacantes no podían ver el contenido de los correos electrónicos o los archivos adjuntos reales.

La violación, que tuvo lugar durante tres meses entre el 1 de enero y el 28 de marzo, se produjo después de que se comprometieran las credenciales de un agente de asistencia al cliente.

Pero entonces las cosas se volvieron confusas. Microsoft informó que el problema es, de hecho, peor de lo que se pensaba originalmente: Los hackers pudieron acceder al contenido del correo electrónico desde un gran número de cuentas de Hotmail, MSN y Outlook.

Preguntas de la entrevista al Gerente de Marketing Digital

El gerente de marketing digital debe tener un buen conocimiento de las herramientas y estrategias de marketing actuales y ser capaz de dirigir campañas de marketing digital integradas desde el concepto hasta la ejecución. Esto significa trabajar con el equipo de marketing, con cualquier equipo de apoyo (como los programadores) y con cualquier proveedor para lanzar las campañas a tiempo y dentro del presupuesto. Las preguntas de la entrevista para la comercialización digital deben evaluar su capacidad para planificar estratégicamente las campañas en función de las necesidades existentes, y analizar los resultados cuando las campañas hayan concluido.

Como gerente de marketing, esta persona probablemente dependerá de un vicepresidente de marketing o de un director de marketing. Aunque no son directamente responsables del éxito a largo plazo de la empresa, deberían ser capaces de ver cómo sus actividades afectan a los objetivos generales de la empresa. Esta persona debe ser organizada, ingeniosa, creativa y tener fuertes habilidades interpersonales. Puede estar a cargo de la contratación y la capacitación del personal. Si es así, asegúrese de agregar preguntas de entrevista sobre el entrenamiento, la motivación, la delegación de tareas y la supervisión del desempeño de sus colegas.

Utilice las siguientes preguntas de la entrevista de marketing digital como punto de partida y adáptelas según sus necesidades. Se trata de preguntas abiertas y circunstanciales que animan a los candidatos a hablar largo y tendido sobre su enfoque de la planificación, la resolución de problemas y la toma de decisiones. Los mejores candidatos se guiarán por las métricas y tendrán excepcionales habilidades de comunicación. Demostrarán su éxito a través de los números y tendrán fuertes muestras de trabajo para compartir. También conocerán su producto y sus clientes, y adaptarán las preguntas y respuestas de sus entrevistas de marketing digital en consecuencia. Incluso pueden preparar un plan de campaña, u ofrecer sugerencias originales de mejora.

Microsoft atribuye esta información a una fuente que había presenciado el ataque en acción. La fuente le dijo al sitio que los hackers podían acceder a cualquier cuenta de correo electrónico aparte de las cuentas de nivel corporativo. La fuente también demostró que los atacantes podían ver el calendario y la fecha de nacimiento de un usuario.

¿Qué dice Microsoft?

Microsoft no fue particularmente claro al principio, pero me reveló cierta información en un comunicado por correo electrónico. «Nos ocupamos de este esquema, que afectaba a un subconjunto limitado de cuentas de consumidores, desactivando las credenciales comprometidas y bloqueando el acceso de los autores«, dijo un portavoz de Microsoft.

El gigante tecnológico dice que en su notificación a la mayoría de los afectados señaló que los atacantes no habrían tenido acceso no autorizado al contenido de los correos electrónicos o los archivos adjuntos.

Un pequeño grupo (~6% del subconjunto original, ya limitado, de consumidores) fue notificado de que los malos actores podrían haber tenido acceso no autorizado al contenido de sus cuentas de correo electrónico, y se les proporcionó orientación y apoyo adicionales», según el portavoz de Microsoft.

Microsoft ha aumentado la detección y la vigilancia de las cuentas afectadas y ha recomendado a los usuarios que cambien sus contraseñas. La firma le dijo: «Debe tener cuidado al recibir cualquier correo electrónico de cualquier nombre de dominio engañoso, cualquier correo electrónico que solicite información personal o de pago, o cualquier solicitud no solicitada de una fuente no confiable«.

¿Cuál es el impacto?

Parece que algunos usuarios podrían haberse visto afectados por el primer compromiso notificado y una cantidad menor por el segundo. Cualquiera que haya recibido una notificación de incumplimiento de Microsoft se verá afectado.

El primer comentario de Microsoft dijo que sólo la información de alto nivel fue afectada. Esto habría mostrado a un hacker con quién se estaba comunicando la persona, el asunto del correo electrónico y la fecha de nacimiento del individuo. Esta es una información bastante limitada que sería difícil de actuar, dice Andrew Martin, CEO y fundador de la compañía de seguridad cibernética DynaRisk. «Estas personas podrían ser blanco de estafas de phishing pretendiendo ser el apoyo de Microsoft para alentar a la persona a instalar un virus en su PC – lo que podría hacer que la persona pague un rescate o conducir a un robo de identidad«.

Sin embargo, si los hackers pueden acceder al contenido del correo electrónico, es mucho más preocupante. «Puede que haya habido información adicional en esos boletos de apoyo que podría ser usada en contra de la víctima«, dice Martin.

Una vez más, el ciberdelincuente podría enviar estafas a la víctima adaptadas a la información que encontró dentro de la comunicación con Microsoft. Por ejemplo, si el hacker sabía que la persona tenía un problema digamos de actualización a Windows 10, podría enviar a la víctima un correo electrónico de ‘actualización gratuita a Windows 10’ que contendría un virus.

«El atacante también podría enviar a la persona un correo electrónico de ‘Restauración de Contraseña de Microsoft’ que podría engañar al usuario para que diera detalles de su nombre de usuario/contraseña para que el adversario pudiera acceder a sus medios sociales, cuentas bancarias u otras cuentas para cometer el robo de identidad.»

Por lo tanto, los afectados deben estar muy atentos, sobre todo al descargar archivos y hacer clic en los enlaces, dice Dave Palmer, director de tecnología de Darktrace.

Implicaciones del GDPR, ¿Nuestros datos fueron vulnerados?

Entonces, ¿esta infracción está comprendida en la actualización del Reglamento de Protección de Datos de la UE (GDPR)? Si detalles como los nombres y fechas de nacimiento fueron de hecho comprometidos, sí.

Si las cuentas de los ciudadanos europeos se vieron comprometidas y la infracción contenía información personal identificable, lo que parece ser el caso, esto «definitivamente cae dentro del ámbito de la GDPR«, dice Felix Rosbach, gerente de producto de Comforte AG.

Y, por supuesto, no sería la primera vez que la empresa tiene un encuentro con los reguladores de protección de datos de la UE. En 2018, fue acusada de recopilar datos de correo electrónico a través de algunas de sus aplicaciones de Office en contravención de la GDPR.

A menudo existe la percepción de que si la información financiera de los usuarios no se ve comprometida, la infracción no es tan grave, dice Matthew Overton, socio corporativo y comercial del bufete de abogados Joelson.

Sin embargo, la filtración de otros tipos de información – como es el caso aquí – puede dejar a la gente abierta a un riesgo real. En el extremo más extremo está el chantaje, o el restablecimiento de la contraseña de otra cuenta que entra en Hotmail y luego es leída y robada por los hackers que obtienen el control de esa otra cuenta.

Desde una perspectiva legal, cualquier persona que crea haber sufrido una pérdida tiene derecho a pedir una compensación a Microsoft, dice Overton. «No necesitan que la Oficina del Comisionado de Información (ICO) se pronuncie primero contra Microsoft para tener éxito, aunque eso ayudaría. Los consumidores también pueden tomar medidas para intentar obligar a la ICO, o a cualquier otro regulador local de la UE, a investigar en el marco de la GDPR».

Qué debería hacer?

Muchos usuarios de los servicios de Microsoft como Hotmail y MSN me dijeron que usan sus cuentas sólo para el correo basura. Sin embargo, si su cuenta está conectada a otros detalles de alguna manera, tiene sentido mejorar su seguridad. Cambie su contraseña; es fácil y no lleva mucho tiempo. Tal vez cerrar las cuentas que han estado sin usar durante meses o años.

Los usuarios afectados -aquellos con direcciones de Outlook.com, e incluso direcciones antiguas de Hotmail y MSN- deberían comprobar qué información sensible se puede encontrar en sus cuentas, y deberían considerar la posibilidad de que un tercero malintencionado haya tenido acceso en algún momento a esta información, dice Oz Alashe, CEO de CybSafe.

No hace falta decir que si se le ha notificado la violación, debe cambiar su contraseña inmediatamente. Esto es especialmente importante si usas esta contraseña en otro lugar.

Aunque las contraseñas no han sido expuestas, los usuarios afectados deben cambiar sus contraseñas de todas formas. Esto también se aplica a las contraseñas de otras cuentas, como Facebook, Twitter, Amazon, etc., si éstas usan la misma combinación

Por último, hay que tener cuidado con los correos electrónicos de phishing. Siempre sea cauteloso cuando reciba un correo electrónico que le pida que cambie su contraseña o que haga clic en un enlace para introducir sus credenciales. Mira el remitente del correo electrónico: ¿es el nombre legítimo?

Además, pase el ratón por encima de los enlaces y vea a dónde conducen. Y nunca es una buena idea abrir los archivos adjuntos si no los esperabas o no sabes de dónde vienen.

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *