Los peligros cibernéticos se presentan en formas cada vez más sofisticadas y en lugares inesperados. Un ejemplo reciente de esto se observó en el servicio de chat de Bing, donde los usuarios experimentaron infiltraciones publicitarias que promocionaban malware. Este incidente pone de manifiesto la imperante necesidad de adoptar medidas rigurosas de ciberseguridad en todas las operaciones en línea de una empresa.
La infiltración ocurrió en una función poco conocida de Bing, que proporciona respuestas automatizadas a las preguntas de los usuarios en el chat. Los ciberdelincuentes lograron burlar los protocolos de seguridad e insertaron anuncios que, al ser clickeados, dirigían a los usuarios a páginas que contenían malware. La amenaza no sólo reside en la posibilidad de que los sistemas de los usuarios se vean comprometidos, sino también en el riesgo de dañar la reputación de Bing y, por extensión, la de Microsoft.
Explorando el Incidente
El incidente de seguridad ocurrió en una función de chat incorporada en Bing, donde los usuarios podían hacer preguntas y recibir respuestas automatizadas. Desafortunadamente, los ciberdelincuentes lograron infiltrar esta función y pusieron anuncios maliciosos en las respuestas del chat. Al hacer clic en estos anuncios, los usuarios eran dirigidos a sitios web diseñados para descargar software malicioso en sus sistemas.
Lo alarmante es cómo los atacantes lograron evadir los mecanismos de seguridad establecidos, demostrando una vez más la inventiva y el empeño de los ciberdelincuentes para explotar cualquier brecha disponible.
Ahora se está manifestando una inyección de anuncios perjudiciales en las respuestas proporcionadas por Bing Chat, impulsadas por la inteligencia artificial de Microsoft, promoviendo sitios de descargas falsas que distribuyen malware. Bing Chat, potenciado por el motor GPT-4 de OpenAI, fue lanzado por Microsoft en febrero de 2023 con el objetivo de rivalizar con la predominancia de Google en el sector de las búsquedas.
Al proporcionar a los usuarios una experiencia interactiva basada en chat en lugar del tradicional formato de consulta y resultado de búsqueda, Bing Chat aspiraba a hacer que las búsquedas en línea fueran más intuitivas y accesibles. En marzo, Microsoft inició la integración de anuncios dentro de las conversaciones de Bing Chat para monetizar esta nueva plataforma.
No obstante, la inclusión de anuncios en Bing Chat ha despejado el camino para los agentes de amenazas, quienes cada vez más publican anuncios de búsqueda para distribuir malware. Además, interactuar con herramientas de chat impulsadas por IA puede generar una confianza injustificada, lo que podría persuadir a los usuarios a hacer clic en los anuncios, algo que no sucede cuando se revisan resultados de búsqueda impersonales.
Esta interacción similar a una conversación puede conferir a las URL proporcionadas por IA un sentido erróneo de autoridad y fiabilidad, intensificando así el problema ya existente de publicidad maliciosa en las plataformas de búsqueda con la introducción de asistentes de IA. El hecho de que estos anuncios estén etiquetados como resultados promocionados cuando el usuario pasa el cursor sobre un enlace en las conversaciones de Bing Chat, podría ser una medida insuficiente para mitigar el riesgo.
Emulando un popular escáner de IP, los anuncios malintencionados detectados por Malwarebytes se disfrazan como sitios de descarga de la conocida utilidad 'Advanced IP Scanner', la cual ha sido empleada anteriormente por los operadores de ransomware RomCom RAT y Somnia. Los investigadores hallaron que al preguntarle a Bing Chat cómo descargar Advanced IP Scanner, proporcionaba un enlace para descargarlo en el chat.
Sin embargo, al pasar el cursor sobre un enlace destacado en un chat, Bing Chat podría mostrar primero un anuncio, seguido del enlace de descarga legítimo. En este escenario, el enlace patrocinado era publicidad maliciosa que promocionaba malware. La campaña de publicidad maliciosa fue orquestada por alguien que hackeó la cuenta publicitaria de una empresa australiana legítima para crear dos anuncios malintencionados dirigidos a administradores de sistemas (escáner de IP) y abogados (gerente legal de MyCase).
La aparición de publicidad dañina en las conversaciones de Bing Chat subraya la expansión continua de las amenazas cibernéticas, haciendo imperativo que los usuarios ejerzan precaución con los resultados proporcionados por los chatbots y siempre verifiquen las URL antes de proceder con cualquier descarga.
Lecciones para los Directivos y Profesionales de IT
-
Revisión Continua de la Seguridad:
- Los protocolos de seguridad deben ser revisados y actualizados continuamente para responder a las nuevas amenazas.
- Se debe considerar la implementación de pruebas de penetración regulares para identificar y rectificar posibles vulnerabilidades.
-
Educación y Conciencia:
- Es esencial cultivar una cultura de conciencia sobre la ciberseguridad entre todos los trabajadores.
- Proporcionar capacitación regular sobre las últimas amenazas y cómo evitarlas.
-
- Implementar sistemas de monitoreo, como el SOC as a Service de TecnetOne, que puedan detectar y alertar sobre actividades sospechosas o no autorizadas en tiempo real.
- Los análisis de registros y auditorías regulares pueden ayudar a identificar y remediar las amenazas antes de que causen daño.
-
- Tener un plan de respaldo y recuperación en caso de un incidente de seguridad es crucial.
- Los sistemas de respaldo deben ser probados regularmente para asegurar su funcionamiento en caso de emergencia.
-
Colaboración y Compartir Información:
- Colaborar con otros en la industria para compartir información sobre amenazas y mejores prácticas en ciberseguridad puede ser de gran valor.
- Participar en foros y grupos de discusión sobre ciberseguridad puede proporcionar insights valiosos y ayudar a estar un paso adelante de las amenazas.
Hacia una Estrategia de Ciberseguridad más Robusta
Las incursiones como la ocurrida en Bing Chat son un recordatorio crudo de que no hay lugar seguro en el ciberespacio. Para los directivos y profesionales de TI, abordar proactivamente la ciberseguridad no es sólo una responsabilidad operativa, sino una necesidad estratégica. Al tomar las medidas adecuadas para fortalecer la ciberseguridad, las organizaciones pueden protegerse mejor contra las amenazas emergentes y garantizar la continuidad del negocio en el entorno digital cada vez más peligroso de hoy.
En resumen, la ciberseguridad no es una tarea única, sino un esfuerzo continuo que requiere un compromiso firme y una inversión estratégica. Los incidentes como el de Bing Chat sirven como una llamada de atención para reevaluar y reforzar las medidas de seguridad, y garantizar que las operaciones en línea permanezcan seguras y confiables para todos los stakeholders involucrados.
