Ha llegado una nueva campaña de phishing, tan sofisticada que podría evitar la autenticación de dos factores con la gracia de un carterista victoriano y parecer más creíble que la promesa de un político. Uno debe admirar la audacia, aunque no la ética. 🦜
El desarrollador criptográfico Zak Cole, ese modelo de vigilancia digital, reveló en X que esta campaña aprovecha la propia infraestructura de X con el entusiasmo de un anfitrión de la sociedad en una gala de caridad. “Detección cero. Activa en este momento. Adquisición completa de la cuenta”, declaró, como si anunciaba el último escándalo en una velada Mayfair.
Cole, siempre el caballero, aclaró que esto no es un mero robo de contraseña sino una clase magistral en ingeniería social. Los atacantes explotan el soporte de aplicaciones de X, evitando la autenticación de dos factores con la sutileza de una línea de punta bien intermitente. Uno podría llamarlo un giro “silvestre”. 😏
Ohm Shah de Metamask, ese guardián de las billeteras digitales, confirmó la presencia del ataque “en la naturaleza”, mientras que un modelo de Onlyfans se convirtió en una víctima involuntaria de una versión menos pulida. Uno se pregunta si los atacantes practicaban en tontos antes de graduarse en lo real. 🎭
Elaboración de un mensaje de phishing creíble
El encanto de la campaña radica en su discreción. El ataque comienza con un mensaje directo X que contiene un enlace que pretende ser el calendario de Google, gracias a la magia de metadatos de X. En el caso de Cole, el mensaje pretendía provenir de Andressen Horowitz, una empresa de capital de riesgo con el encanto de un auditor fiscal. 📅
El dominio, “x.ca-dendar.com”, se registró el 20 de septiembre, pero la vista previa de X muestra el estimado calendario.google.com. Una hazaña de engaño digna de un ilusionista escénico. 🎩✨
“Tu cerebro ve el calendario de Google. La URL es diferente”.
Haga clic en el enlace desencadena a JavaScript para redirigir a un punto final de autenticación X, solicitando acceso a su cuenta a través de una aplicación llamada “Calendario”. ¡Pero lo! El nombre de la aplicación contiene personajes cirílicos disfrazados de “A” y “E”, una mascarada lingüística que haría sonrojar a un villano de Shakespeare. 🎭
La pista que revela el ataque
El único indicio de traición es la breve apariencia de la URL, un momento fugaz de claridad en un mundo de niebla digital. Uno podría necesitar los ojos de un halcón y la paciencia de un santo para detectarlo. 🦅
En la página de autenticación de X, la aplicación solicita permisos tan integrales que pudieran rivalizar con los poderes de una monarquía: cuentas de auges, actualización de perfiles, eliminación de publicaciones y más. ¿Una aplicación de calendario que exige tales privilegios? Se podría sospechar que está audicionando para un papel en una novela distópica. 📜
Si se otorga permiso, el usuario se redirige a Calendly.com, una traición tan torpe que podría ganar un premio en una pelota de mascaradas. Cole bromeó: “¿Calendamente? Divedieron el calendario de Google, pero redirigen a calendamente la falla de seguridad operativa importante. Esta inconsistencia podría invertir a las víctimas”. Un sentimiento tan agudo como la lengua de un ingenio. 😜
Para reclamar su cuenta, Cole sugiere visitar la página de aplicaciones conectadas de X y revocar cualquier aplicación “calendario” o “cálida”. Una tarea tan tediosa como clasificar a través del cajón de calcetines, pero necesaria. Y tal vez revocar aplicaciones no utilizadas porque nada dice “seguridad” como confiar en cada aplicación de terceros que haya instalado. 🧦
- Мечел префы прогноз. Цена MTLRP
- USD CAD PRONOSTICO
- USD CLP PRONOSTICO
- LSETH PRONOSTICO. LSETH criptomoneda
- EUR CLP PRONOSTICO
- EUR IDR PRONOSTICO
- EUR USD PRONOSTICO
- USD CNY PRONOSTICO
- EUR RUB PRONOSTICO
- BTC PRONOSTICO. BTC criptomoneda
2025-09-25 13:54