Grupo LAPSUS$

El grupo LAPSUS$ (al que Microsoft se refiere como DEV-0357) es un colectivo informal de actores de amenazas no asociados a ningún grupo político o filosofía en particular. La máxima "no hay honor entre ladrones" se aplica a los miembros de LAPSUS$: han demostrado ser poco profesionales, incluso para los estándares de las bandas de ransomware, al no cumplir sus promesas de destruir los datos robados. Además, apenas se esfuerzan por cubrir sus huellas u ocultar sus técnicas.  

Sin embargo, incluso un grupo pequeño, caótico y poco sofisticado de actores de amenazas puede comprometer a grandes corporaciones tecnológicas y extorsionar grandes sumas de dinero. Se cree que LAPSUS$ es de origen sudamericano, con muchos miembros adicionales de Portugal y América Latina, aunque sus filas se extienden por todo el mundo. 

LAPSUS$ mantiene un perfil público y se comunica regularmente a través de Telegram y correos electrónicos. Tal vez debido a su carácter abierto o a la falta de una estrategia técnica eficaz para ocultarse, el Servicio de Policía Metropolitana de Londres llevó a cabo en marzo de 2022 una redada estratégica contra siete individuos de edades comprendidas entre los 16 y los 21 años, presuntos miembros de LAPSUS$. Sólo dos de los detenidos fueron finalmente acusados de tres cargos de acceso no autorizado a un ordenador con la intención de perjudicar la fiabilidad de los datos, un cargo de fraude por falsa representación y un cargo de acceso no autorizado a un ordenador con la intención de obstaculizar el acceso a los datos. Irónicamente, un grupo detrás de un sitio web de "doxxing" -revelar públicamente información personal o sensible sobre una persona u organización- proporcionó la información que en última instancia condujo a estas detenciones, como represalia por la divulgación de su información pública. Sin embargo, las detenciones no afectaron significativamente a las operaciones de LAPSUS$; el grupo sigue explotando y divulgando públicamente los datos de sus víctimas.

El ransomware LAPSUS$ difiere de otras cepas de ataques basados en rescates de gran repercusión, como Conti, REvil y LockBit. Mientras que la mayoría de los ataques de ransomware emplean malware sofisticado para cifrar archivos, los ataques de LAPSUS$ implican simples amenazas de publicar datos robados para coaccionar los pagos, renunciando por completo al malware tradicional.

LAPSUS$ obtiene acceso a los sistemas objetivo a través de credenciales robadas para escritorio remoto (RDP), VPN o servicios en la nube como Microsoft Office 365 y, a continuación, procede a robar datos confidenciales. Aunque es posible que los miembros de LAPSUS$ no desplieguen malware para lograr sus objetivos, importan herramientas de software de hacking a los sistemas a los que acceden y amplían manualmente su acceso inicial a través de la red para identificar datos de alto valor y exfiltrarlos.

Para combatir la capacidad de LAPSUS$ de aprovechar las credenciales robadas, implante una estricta autenticación multifactor y una solución avanzada de seguridad Zero Trust para impedir el uso no autorizado de los recursos de la empresa.

Debido a la diversidad y naturaleza ad hoc de las técnicas de LAPSUS$, ningún conjunto de estrategias defensivas o mitigaciones podría combatir por completo el enfoque ofensivo de LAPSUS$. La prevención eficaz de un ataque exitoso depende de un enfoque integral de la ciberseguridad empresarial. Los principios básicos de la seguridad informática, como la defensa en profundidad, el acceso con mínimos privilegios, la prevención de la pérdida de datos, la supervisión 24 horas al día, 7 días a la semana, 365 días al año, la gestión de vulnerabilidades, los programas de red-teaming y la mejora continua de las defensas de la red son partes esenciales de un programa de ciberseguridad empresarial.