Una falla de configuración en Zendesk permite a atacantes enviar miles de correos desde multitud de empresas. Esta vulnerabilidad se debe a que el sistema no requiere autenticación previa para la creación de tickets de soporte por correo electrónico.
Características de la falla
El abuso en Zendesk radica en la opción de aceptar solicitudes de soporte anónimas, sin verificación del remitente. Los atacantes automatizan peticiones de tickets usando la dirección de la víctima.
Si el cliente afectado tiene activado el auto-responder, el sistema envía notificaciones legítimas a la bandeja de entrada del objetivo, pero con distintos remitentes (empresas reales como CapCom, Discord, NordVPN…).
Riesgos asociados
La permisividad en la configuración de Zendesk abre la puerta a ataques de ingeniería social y saturación. La sobresaturación de inboxes dificulta la gestión de comunicaciones críticas.
Expone a amenazas colaterales como phishing. La reputación de las empresas afectadas se ve comprometida al convertirse inadvertidamente en vectores de abuso.
Facilita el «email bombing» dirigido y la potencial denegación de servicio a individuos.
Mitigaciones recomendadas
- Exigir autenticación previa al envío de tickets, usando validación de correo o sistemas de CAPTCHA.
- Limitar la creación de tickets por dirección IP.
- Monitorizar anomalías en tasa de envíos.
- Zendesk debe endurecer mecanismos de control de envío masivo.
- Educar a sus clientes sobre los riesgos de permitir peticiones abiertas sin restricción.