Se ha detectado una campaña de phishing que utiliza una vulnerabilidad zero-day en el servicio de correo de Salesforce. Los atacantes se hacen pasar por Meta para enviar correos electrónicos a usuarios de Facebook.
Mensajes falsos y objetivos del ataque
En los mensajes, afirman que las cuentas están siendo investigadas debido a sospechas de suplantación de identidad. El objetivo es dirigir a los usuarios a una página externa diseñada para capturar sus credenciales y obtener los códigos de autenticación de dos factores (2FA).
Uso de dominios legítimos y evasión de sistemas
El kit del phishing está alojado como un juego en Facebook, utilizando el dominio apps.facebook.com. Meta retiró los juegos web en julio de 2020, pero es posible mantener el soporte para juegos desarrollados antes de ese cierre.
Al explotar la vulnerabilidad zero-day, los atacantes pueden enviar correos con dominio «@salesforce.com» directamente desde la infraestructura de Salesforce. Los atacantes incluyen enlaces legítimos (facebook.com), donde está alojado el phishing, y enviarse desde una dirección de correo legítima de salesforce.com.
Evasión de sistemas antispam
Se conseguía evadir los métodos antispam y antiphishing convencionales. Aún se está investigando si esta vulnerabilidad ha sido utilizada para otras campañas de phishing, como las dirigidas directamente a los clientes de Salesforce.
En tal caso, los correos entrarían directamente a la bandeja de entrada de la víctima sin pasar por los mecanismos antispam y antiphishing. Podrían ser marcados como «Importante» por Google.
Mitigaciones implementadas
Salesforce solucionó la vulnerabilidad tras su descubrimiento el día 28 de julio de 2023. Actualmente se realizan nuevas comprobaciones para impedir el uso de direcciones de correo electrónico del dominio @salesforce.com.