CBI desmantela redes de fraude técnico que explotaban a usuarios japoneses mediante sofisticadas campañas de ingeniería social
Introducción
El 28 de mayo de 2025, la Oficina Central de Investigación de la India (CBI) anunció la desarticulación de dos centros de llamadas ilegales implicados en una compleja campaña de fraude técnico, cuyas víctimas residían principalmente en Japón. La operación, que incluyó registros en 19 ubicaciones repartidas entre Delhi, Haryana y Uttar Pradesh, culminó con la detención de seis individuos y la incautación de material informático crítico para la investigación. Este caso pone de relieve la sofisticación creciente de los grupos criminales transnacionales y la necesidad de reforzar los mecanismos de detección y respuesta ante amenazas de ingeniería social a gran escala.
Contexto del Incidente
El fraude técnico, o tech support scam, es una modalidad de ciberdelito en la que los atacantes se hacen pasar por agentes de soporte informático legítimos, habitualmente emulando marcas tecnológicas reconocidas (Microsoft, Apple, etc.), para engañar a las víctimas con el pretexto de resolver supuestos problemas de seguridad o funcionamiento en sus dispositivos. Según la CBI, los centros de llamadas operaban bajo esta modalidad, identificando y seleccionando a ciudadanos japoneses como objetivo prioritario, explotando vulnerabilidades culturales y lingüísticas mediante campañas altamente personalizadas.
En los últimos años, la India ha sido señalada como uno de los principales focos de operaciones de call centers fraudulentos, en parte debido a la infraestructura tecnológica disponible y a la relativa facilidad para eludir los controles regulatorios locales. Sin embargo, la dimensión transnacional de estas campañas y su capacidad para sortear los mecanismos de protección tradicionales han elevado el nivel de alerta entre los equipos de respuesta a incidentes y los departamentos de cumplimiento normativo en todo el mundo.
Detalles Técnicos
Las investigaciones iniciales de la CBI han revelado el uso de diversas técnicas y herramientas avanzadas para la ejecución de estos fraudes. Los atacantes iniciaban el contacto mediante campañas de phishing por correo electrónico y anuncios maliciosos (malvertising) que redirigían a las víctimas a sitios web falsificados de soporte técnico. Estos portales estaban diseñados para emular, píxel a píxel, las interfaces de asistencia de grandes empresas tecnológicas.
Una vez establecida la comunicación, se empleaban herramientas de acceso remoto (RATs como TeamViewer, AnyDesk o incluso variantes personalizadas) para tomar control del dispositivo de la víctima. Las sesiones eran instrumentadas para instalar malware adicional, robar credenciales o forzar pagos bajo amenaza de pérdida de datos. Se han hallado indicadores de compromiso (IoC) asociados a las siguientes familias de malware:
– Vidar Stealer (para exfiltración de credenciales y datos bancarios)
– NetWire RAT (persistencia y control remoto)
– Herramientas de scripting basadas en PowerShell para movimiento lateral
Los TTPs identificados se alinean con el framework MITRE ATT&CK en las siguientes técnicas:
– Initial Access: Phishing (T1566), Drive-by Compromise (T1189)
– Execution: User Execution (T1204)
– Persistence: Valid Accounts (T1078)
– Command and Control: Application Layer Protocol (T1071)
– Exfiltration: Exfiltration Over Web Service (T1567.002)
En algunos casos, se ha detectado el uso de Cobalt Strike Beacon para el control y movimiento lateral en redes comprometidas, lo que sugiere un nivel de sofisticación superior al habitual en este tipo de fraudes. Las versiones afectadas incluyeron sistemas Windows 10 y 11 sin parches recientes, así como navegadores sin protección antiphishing activa.
Impacto y Riesgos
Según estimaciones preliminares, la campaña logró defraudar a más de 2.000 ciudadanos japoneses en los últimos seis meses, con pérdidas superiores a los 3 millones de euros. Más allá del impacto económico directo, se ha producido una fuga de información personal y bancaria que podría facilitar ulteriores ataques de spear phishing, robo de identidad y fraudes financieros.
El riesgo para las empresas radica no solo en el potencial compromiso de sus empleados, sino también en la posibilidad de que sus marcas sean suplantadas en futuras campañas. Además, la exposición de datos personales de usuarios europeos podría desencadenar responsabilidades bajo el GDPR y la directiva NIS2, con posibles sanciones económicas y daños reputacionales.
Medidas de Mitigación y Recomendaciones
A la luz de estos hechos, se recomienda:
– Implementar soluciones de EDR con capacidad de detección de RATs y herramientas de administración remota no autorizadas.
– Mantener actualizados los sistemas operativos y navegadores, aplicando parches de seguridad de manera prioritaria.
– Desplegar filtros DNS y de correo para bloquear dominios y remitentes maliciosos identificados en los IoC.
– Capacitar a usuarios y empleados sobre técnicas de ingeniería social y procedimientos seguros ante solicitudes de acceso remoto.
– Monitorizar logs de conexiones remotas y establecer alertas para accesos fuera de horario o desde ubicaciones anómalas.
Opinión de Expertos
Analistas de ciberseguridad consultados han subrayado la creciente sofisticación de los grupos delictivos indios en el diseño de campañas orientadas a nichos demográficos específicos. “El uso de frameworks como Cobalt Strike en fraudes de soporte técnico marca un salto cualitativo preocupante”, destaca Javier Molina, CISO de una multinacional tecnológica. “La cooperación internacional y el intercambio de IoCs son clave para frenar estos ataques”, añade.
Implicaciones para Empresas y Usuarios
La desarticulación de estos call centers no significa el fin de la amenaza. Los responsables de ciberseguridad deben reforzar la monitorización y respuesta ante incidentes de ingeniería social. Las organizaciones que operan en mercados asiáticos deben revisar sus canales de soporte y alertar a sus clientes sobre fraudes activos. Para los usuarios, la desconfianza ante solicitudes de acceso remoto y la verificación directa con proveedores oficiales siguen siendo líneas de defensa críticas.
Conclusiones
Este caso evidencia la evolución de los fraudes de soporte técnico hacia modelos cada vez más profesionalizados y transnacionales. La colaboración entre agencias policiales y la industria será vital para anticipar nuevas variantes y proteger tanto a usuarios individuales como a organizaciones frente a una amenaza que no deja de mutar.
(Fuente: feeds.feedburner.com)