El Departamento de Justicia de Estados Unidos dio a conocer los detalles de una amplia campaña de robo de credenciales dirigida a instituciones académicas, atribuida a un grupo conocido en la industria de la ciberseguridad como Silent Librarian, también identificado como Cobalt Dickens o Mabna Institute. Según documenta Proofpoint , una de las firmas de ciberseguridad que rastreó la actividad del grupo durante años, la campaña combinó dos técnicas relativamente simples pero extremadamente efectivas a gran escala: el phishing dirigido (spear-phishing) y el rociado de contraseñas (password spraying). Según documentación judicial, la operación llegó a apuntar a más de 100.000 cuentas de correo de profesores en todo el mundo, y logró comprometer con éxito unas 8.000 de ellas, distribuidas en 144 universidades de Estados Unidos y 178 más en otros países, con un botín total estimado en más de 31 terabytes de datos académicos. El señuelo perfecto: un aviso de biblioteca © Stephen Phillips Hostreviews.co.uk Unsplash La clave del éxito de la campaña estuvo en la elección del señuelo.
En lugar de mensajes genéricos, fáciles de identificar como sospechosos , los atacantes enviaban correos con asuntos como renovación de artículos prestados, aviso de vencimiento de préstamo o servicios de biblioteca, replicando de forma casi idéntica las notificaciones reales que cualquier estudiante o docente recibe de la biblioteca de su propia universidad. Cada correo incluía un enlace que llevaba a una página de inicio de sesión clonada, diseñada para imitar al detalle el portal de acceso real de cada institución. La víctima, convencida de estar iniciando sesión en el sistema legítimo de su universidad, ingresaba sus credenciales sin sospechar nada, momento en el cual esos datos quedaban capturados por los atacantes. Cuando el phishing no alcanzaba: rociado de contraseñas contra empresas © Zulfugar Karimov Unsplash Para los objetivos del sector privado, según documentación judicial, los atacantes recurrieron a una técnica complementaria conocida como password spraying: en lugar de intentar múltiples contraseñas contra una sola cuenta, algo que activaría rápidamente los sistemas de bloqueo, probaban una única contraseña común (como las variantes más básicas y previsibles) contra un número muy grande de cuentas distintas al mismo tiempo, reduciendo así el riesgo de disparar alertas de seguridad mientras aumentaban las probabilidades de encontrar al menos algunas cuentas vulnerables .
Una vez dentro de una red comprometida, los atacantes extraían archivos completos de correo electrónico y repositorios de documentos antes de pasar al siguiente objetivo, según se detalla en la causa judicial. Por qué las universidades eran un blanco tan atractivo Las universidades combinan dos características que las vuelven particularmente vulnerables a este tipo de ataques: manejan grandes volúmenes de investigación científica de alto valor, muchas veces con acceso restringido por licencias costosas, y al mismo tiempo suelen tener miles de usuarios con distintos niveles de conciencia sobre seguridad informática, desde estudiantes de primer año hasta investigadores senior, todos usando el mismo sistema centralizado de autenticación. Según la reconstrucción de Proofpoint, las campañas atribuidas a este grupo se sostuvieron en el tiempo con un volumen relativamente bajo por ataque (apenas decenas o cientos de correos por campaña), pero repetidas de forma constante y dirigidas con precisión a instituciones específicas, un patrón muy distinto al de las campañas de phishing masivo e indiscriminado más habituales. Una operación con fines comerciales, no solo de espionaje Según documentación judicial, buena parte de los datos robados terminaba comercializándose a través de sitios web dedicados a la venta de credenciales académicas y artículos científicos de pago, ofreciendo acceso a publicaciones que de otro modo exigían costosas suscripciones institucionales.
Ese modelo de negocio paralelo, documentado por investigadores de la firma PhishLabs, incluía incluso garantías de reemplazo: si una cuenta comprada dejaba de funcionar dentro de un plazo determinado, el vendedor se comprometía a entregar una nueva. Una técnica que sigue vigente años después Pese a las acciones legales previas contra parte de esta red, distintas firmas de ciberseguridad documentaron que las campañas de phishing con temática bibliotecaria continuaron activas durante los años posteriores, con actualizaciones menores en la infraestructura y los mensajes utilizados, pero manteniendo la misma lógica de fondo. El caso sigue citándose como ejemplo de que, muchas veces, ni la tecnología de defensa más avanzada resulta tan determinante como la capacidad de una persona para reconocer un correo falso antes de hacer clic.