Se ha observado una campaña de phishing dirigida a cuentas X de alto perfil que las secuestra y las explota para realizar actividades fraudulentas.
La campaña, descubierta por SentinelLabs, ha afectado a varias personas y organizaciones, incluidas figuras políticas estadounidenses, periodistas internacionales, un empleado de la plataforma, importantes empresas de tecnología, organizaciones de criptomonedas y propietarios de nombres de usuario cortos y valiosos.
El análisis de SentinelLabs vincula esta actividad a una operación similar de 2024 que comprometió varias cuentas para difundir contenido fraudulento con fines económicos. Aunque esta campaña se centra principalmente en las cuentas X, los atacantes también han atacado otros servicios en línea populares.
En las últimas semanas, la empresa de seguridad ha identificado varios señuelos de phishing utilizados en esta campaña. Una táctica común consiste en enviar notificaciones de inicio de sesión falsas por correo electrónico y dirigir a los objetivos a sitios de phishing de credenciales. Otro enfoque utiliza advertencias de violación de derechos de autor para engañar a los usuarios.
En algunos casos, los atacantes han aprovechado el dominio AMP Cache de Google para eludir los filtros de seguridad de correo electrónico y redirigir a los usuarios a sitios web de phishing. Estas páginas engañosas solicitan a los usuarios que ingresen las credenciales de su cuenta X, lo que permite a los atacantes tomar el control de las cuentas. Una vez comprometidas, las cuentas se bloquean rápidamente para sus legítimos propietarios y se utilizan para promover esquemas de criptomonedas fraudulentas o sitios externos diseñados para engañar a más víctimas.
La campaña ha utilizado múltiples dominios de phishing, como securelogins-x[.]com para la entrega de correo electrónico y x-recoverysupport[.]com para alojar páginas de phishing. Estos dominios se han vinculado a una dirección IP asociada con un proveedor de VPS con sede en Belice. La mayoría de estos sitios de phishing se registraron a través de un servicio de alojamiento turco.
Una investigación más profunda de la infraestructura de ataque revela que los dominios a menudo emplean FASTPANEL, un servicio de gestión de sitios web que, aunque legítimo, es frecuentemente abusado por los cibercriminales debido a su facilidad de uso y bajo costo.
Muchos de los sitios maliciosos alojados en los servidores de la campaña siguen operativos. Esto indica la capacidad de los atacantes para mantener esfuerzos de phishing a largo plazo mientras evaden la detección.
Incidentes recientes sugieren que la campaña puede estar expandiendo sus objetivos. El 30 de enero de 2025, la cuenta oficial X del Proyecto Tor se vio comprometida de una manera consistente con estas tácticas de phishing.
De manera similar, las cuentas de redes sociales vinculadas a la Red Inalámbrica Autónoma Descentralizada (DAWN) fueron secuestradas para atraer a las víctimas a trampas de phishing dirigidas a credenciales de X y Telegram.
Algunos de los dominios comprometidos también se han vinculado a estafas con temática criptográfica. Por ejemplo, buy-tanai[.]com se comercializó inicialmente como una herramienta de comercio impulsada por IA, pero luego se descubrió que era un marcador de posición para actividades potencialmente fraudulentas. Los atacantes parecen preparar dichos dominios para su uso futuro, adaptando su contenido para adaptarse a las estafas en evolución.
Esta campaña sigue un patrón de apropiaciones de cuentas de alto perfil observadas a mediados de 2024, incluido el secuestro de la cuenta X de Linus Tech Tips. Más recientemente, en enero de 2025, la cuenta X del difunto entusiasta de las criptomonedas y fundador de software antivirus John McAfee se reactivó para promover una criptomoneda dudosa llamada $AIntivirus.
Para protegerse contra tales amenazas, los usuarios deben:
- Usar una contraseña segura y única para las cuentas X.
- Habilitar la autenticación de dos factores (2FA).
- Evitar hacer clic en enlaces en mensajes no solicitados.
- Verificar las URL antes de ingresar las credenciales.
- Iniciar restablecimientos de contraseña directamente a través de sitios web oficiales