Por Samantha Clarke, Hiwot Mendahun, Ankit Gupta y el equipo de investigación de amenazas de Mimecast
Los investigadores de amenazas de Mimecast han estado supervisando recientemente una campaña de phishing que utiliza Recruitee, un sistema de gestión de clientes (CMS) legítimo de terceros dedicado a la selección de personal (registrada internamente como MCTO3035). Los autores de amenazas se aprovechan de la plataforma para enviar correos electrónicos con ofertas de empleo fraudulentas, engañando a los usuarios finales y, potencialmente, eludiendo los mecanismos de detección al valerse de un servicio de confianza. Además, registran dominios similares y los incluyen en los correos electrónicos generados por Recruitee, suplantando la identidad de marcas conocidas, lo que aumenta la credibilidad de sus estafas de phishing.
El señuelo de esta campaña gira en torno a una oportunidad de trabajo fraudulenta para un gestor de redes sociales, que incita a las víctimas a hacer clic en un enlace para solicitar el puesto. Tras una investigación más profunda, se descubrió que los dominios utilizados en las campañas se habían registrado recientemente, utilizando servicios como Porkbun y Hostinger, que son los preferidos por los autores de amenazas por su bajo coste, facilidad de uso y rápida configuración.
Una vez que el usuario hace clic en el enlace, se utilizan aleatoriamente CAPTCHAS y filtrado de IP para impedir la detección automática, antes de que se le redirija a una página de inicio de sesión.
Se les presenta una página de phishing bien estructurada con marcas y logotipos para añadir credibilidad. El objetivo principal de estas campañas es recopilar credenciales de Facebook y se indica al usuario que cree una cuenta a través de Facebook o que introduzca su dirección de correo electrónico o número de teléfono. Ambas rutas conducen al usuario a introducir las credenciales de Facebook.
Tras la introducción de las credenciales, se le solicita al usuario una autenticación de segundo factor para que el actor malicioso pueda tomar control de la cuenta de Facebook. Todos los detalles introducidos en estas páginas se transfieren automáticamente a los registradores de Telegram para asegurar la toma oportuna de control de las cuentas.
La actividad de la campaña muestra un pico significativo en septiembre y repunta de nuevo a finales de noviembre.
T1566.002: Phishing: Enlace de spear phishing
T1598.002: Phishing para obtener información
T1204.001: Ejecución de usuario: Enlace malicioso
T1596.002: Buscar en sitios web/dominios abiertos para recursos propiedad de la víctima (por ejemplo, crear dominios similares)
T1189: Compromiso por Drive-by (sitios de phishing con filtrado CAPTCHA/IP)
T1070.004: Eliminación de indicadores en el host: Exfiltración automatizada a través de bots de Telegram
Estados Unidos y Reino Unido, principalmente venta al por menor, medios de comunicación/publicación
Descubre cómo la plataforma única de Mimecast puede proteger a tu personal, tu inteligencia artificial y tus datos.
Únete a los miles de profesionales de la seguridad que utilizan nuestras alertas seleccionadas, nuestros análisis de expertos y los indicadores de compromiso (IOC) de nuestras campañas para defenderse de las amenazas cibernéticas emergentes.
Threat Intelligence1 sept 2026
Threat Intelligence27 ago 2026
