¿Qué es Ghost-Sender y por qué debería preocupar a su empresa?
Recientemente, la firma de ciberseguridad suiza InfoGuard ha revelado una debilidad crítica denominada «Ghost-Sender». Esta vulnerabilidad afecta a organizaciones que utilizan Microsoft Exchange (tanto en su versión Online como en entornos híbridos) cuando emplean servidores de correo de terceros o filtros de spam externos como su registro MX (Mail Exchange).
Lo que hace a Ghost-Sender especialmente peligroso es su capacidad para eludir las protecciones estándar de autenticación de correo electrónico, como SPF, DKIM y DMARC, permitiendo a un atacante enviar correos electrónicos en nombre de cualquier usuario, ya sea interno o externo, sin que el sistema genere ninguna advertencia de seguridad.
El mecanismo técnico: ¿Cómo funciona el ataque?
El problema reside en una configuración por defecto de Exchange Online. Cuando una organización utiliza un registro MX externo, Exchange tiende a aceptar correos entrantes de forma permisiva. Un atacante, mediante un comando sencillo de PowerShell, puede inyectar un correo electrónico que el sistema procesa como legítimo.
Para los usuarios de Outlook, el riesgo de engaño es máximo: si el atacante suplanta una dirección interna, el cliente de correo incluso llega a mostrar la foto de perfil real del empleado suplantado, lo que otorga una credibilidad total al mensaje fraudulento. Esto facilita enormemente ataques de Business Email Compromise (BEC), facturas falsas o suplantación de la identidad del CEO.
Impacto en la seguridad empresarial
A pesar de que existen mitigaciones, las investigaciones sugieren que menos de la mitad de las organizaciones vulnerables han aplicado las correcciones necesarias. Microsoft, por su parte, ha calificado inicialmente este problema como una «limitación arquitectónica conocida» más que como una vulnerabilidad de producto per se, lo que traslada la responsabilidad de la configuración segura directamente a los departamentos de IT de las empresas.
Medidas de mitigación recomendadas
Desde una perspectiva de gestión de riesgos y ciberseguridad, recomendamos a las organizaciones que utilicen Exchange en modo híbrido o con filtros externos tomar las siguientes medidas inmediatas:
- Configurar conectores de organización asociada: Establecer validaciones basadas en direcciones IP o certificados para filtrar los correos entrantes.
- Reglas de flujo de correo: Crear reglas que pongan en cuarentena cualquier correo donde el encabezado
X-MS-Exchange-Organization-AuthAsno esté marcado como ‘Internal’ y provenga de una IP no autorizada. - Deshabilitar el ‘Direct Send’: Esta función puede ser explotada para el spoofing interno y debería revisarse su necesidad operativa.
- Auditoría de configuración: Realizar pruebas de penetración específicas para verificar si sus dominios son susceptibles a la herramienta de prueba de Ghost-Sender.
En Intedya, subrayamos la importancia de no confiar ciegamente en las configuraciones por defecto de las plataformas en la nube. La ciberseguridad proactiva requiere una revisión constante de la arquitectura de red y el cumplimiento de las mejores prácticas internacionales en seguridad de la información.
Fuentes
- Dark Reading — Microsoft Exchange Flaw Lets Attackers Spoof Any Email Address
https://www.darkreading.com/vulnerabilities-threats/exchange-flaw-attackers-spoof-email-address