Ataque de phishing 🎯

¿Qué es un ataque de phishing?

"Phishing" define una forma específica de crimen cibernético, perpetrado por individuos de conducta nefasta en el ecosistema digital, quienes intentan apropiarse forzosamente de datos sensitivos mediante la recreación fraudulenta de plataformas online de renombre. Ellos emplean información particular como anzuelo en una táctica que se asemeja a la actividad pesquera, para engatusar a sus presas.

Técnica de ataques cibernéticos empleando phishing

Generalmente, una operación de phishing comienza lanzando un correo electrónico o mensaje de texto falsificado, que parece provenir de una fuente creíble. Estas comunicaciones se estructuran minuciosamente, con una apariencia verosímil, incorporando signos corporativos y diseños prominentes. Dentro del contenido, los maleantes virtuales insertan un enlace que conduce a un sitio web inexistente.

Al entrar en el sitio, los intrusos manipulan al visitante para que entregue sus datos privados, como claves de acceso o identificaciones de usuarios. Una vez obtenida esa información, el delincuente puede infiltrarse en las cuentas legítimas de la presa, suplantando su identidad para perpetrar estafas o para comerciar esos datos con otros transgresores.

Categorías de estafas mediante phishing

Existen diversos procedimientos de phishing, cada uno con su particularidades y finalidad individual. Adelante, expondremos las modalidades comúnmente detectadas:

1. Phishing a través del correo electrónico: Esta versión es la más propagada, en la que el delincuente se hace pasar por organismos auténticos mediante correos electrónicos camuflados, buscando seducir a los destinatarios despreocupados a desvelar su información privada.

2. Phishing dirigido: Este patrón de phishing se enfoca en objetivos específicos. Los transgresores investigan y adaptan sus mensajes para atraer de manera más eficiente a la persona o entidad seleccionada.

3. Phishing vía telefónica (vishing): Con esta técnica, los estafadores establecen contacto con sus presas a través del teléfono, fingiendo ser representativos de un organismo auténtico para extrapolar información crítica.

4. Phishing mediante SMS (smishing): En esta variante, los criminales escogen enviar textos engañosos en vez de realizar llamadas.

5. Phishing con páginas web ficticias: En este caso, los autores del fraude crean sitios web falsos que imitan el diseño de portales prestigiosos para engañar a los usuarios y usurpar sus datos.

Es fundamental reconocer que los ataques phishing son una modalidad de manipulación y pueden ser muy refinados. Por consiguiente, la prudencia y las acciones preventivas son claves para resguardarse de manera correcta.

Historia del phishing

El phishing, o suplantación de identidad, ha sentado sus raíces en la época en la que la red de internet apenas estaba dando sus primeros pasos, durante los años noventa. Aunque no se le dió el nombre de "phishing" hasta un año más tarde, estos métodos de estafa ya eran empleados desde mucho antes.

Los albores del Phishing

El primer suceso documentado de phishing se dio en 1995, cuando ciertos delincuentes comenzaron a explotar programas de AOL (America Online) para desplegar mensajes de estafa a sus usuarios. Estos mensajes fraudulentos se enmascaraban como comunicados oficiales de AOL reclamando a sus usuarios contraseñas y datos bancarios. Esta técnica conocida como "estafa" constituye la versión original del phishing.

La progresión del Phishing

A medida que avanzaba el tiempo, las estrategias de phishing se han ido complejizando. En 2001, los ciberdelincuentes empezaron a recurrir a emails de "spoofing" o suplantación de identidad, diseñados de manera que el usuario creyera que estaba interactuando con páginas web legítimas. Estos emails pointaban frecuentemente hacia falsas webs que imitaban a las auténticas, pero cuya finalidad era robar datos privados.

En 2003, el phishing alcanzó una dimensión internacional cuando los delincuentes online lo usaron para sustraer información bancaria y llevar a cabo transacciones fraudulentas. En este mismo año, emergieron los primeros paquetes de herramientas para phishing, facilitando a los ciberdelincuentes con menos experiencia poder cometer ataques de este tipo.

El Phishing en nuestros días

Hoy por hoy, el phishing es una de las mayores amenazas en el ciberespacio. Conforme a un reporte emitido por Verizon en 2020, el phishing es responsable del 22% de las filtraciones de datos. Los métodos de phishing han mejorado hasta incluir estrategias como el spear phishing, que se concentra en objetivos individuales dentro de una organización, y el whaling, que tiene como blanco a altos mandos ejecutivos.

Cuadro comparativo de tácticas de Phishing

Estrategia	Explicación
Escamming	Los criminales envían comunicados fraudulentos reclamando datos privados
Spoofing	Los criminales envían emails que parecen proceder de páginas web auténticas
Spear Phishing	Los criminales apuntan a víctimas individuales dentro de una compañía
Whaling	Los criminales fijan como objetivos a ejecutivos de alto rango

En definitiva, el recorrido histórico del phishing nos recuerda que las amenazas de ciberseguridad son un fenómeno dinámico. A medida que se sofistican las técnicas de phishing, es crucial que tanto empresas como individuos permanezcan actualizados y emprendan acciones para salvaguardarse.

Ataque de phishing en acción

Un asalto cibernético de suplantación de identidad, conocido como Phishing, no se produce espontáneamente. En cambio, se diseñan articuladamente para engatusar a los usuarios y recabar datos sensibles. Analicemos en profundidad el procedimiento de un ataque de Phishing, desglosándolo en varias fases.

Fase 1: Elección de la víctima

Los delincuentes digitales inician el proceso eligiendo a su víctima. Podría ser un individuo, una organización o incluso instituciones gubernamentales. El criterio para seleccionar a la víctima podría basarse en distintos aspectos, como su patrimonio, los datos delicados que manejan, o simplemente su nivel de defensa.

Fase 2: Elaboración de la trampa

Una vez que la víctima ha sido identificada, los delincuentes cibernéticos fabrican la trampa. Este engaño puede adoptar la forma de un email, mensaje de móvil, llamada telefónica o incluso un simulacro de página web. La trampa se diseña para parecer auténtica y convencer a la víctima de que destape datos delicados.

Fase 3: Ejecución del asalto

El asalto se lleva a cabo enviando la trampa a la víctima. Esto se puede realizar a través de un email, mensajes en el móvil, llamadas telefónicas, e incluso mediante plataformas de redes sociales. El propósito es engañar a la víctima para que pulse en un enlace, descargue un archivo o desvele información sensible.

Fase 4: Extracción de datos

Si la víctima pica el anzuelo y destapa sus datos, los delincuentes digitales los recopilan. Estos datos pueden incluir nombres de usuario, contraseñas, números de tarjetas de crédito, detalles bancarios, y más.

Fase 5: Aplicación de la información

Para acabar, los delincuentes digitales usan los datos recopilados en su favor. Pueden robar dinero, vender la información a personas externas, suplantar a la víctima, y más.

Para ilustrar cómo se lleva a cabo un asalto de Phishing en la realidad, planteamos el siguiente escenario:

1. Elección de la víctima: Los delincuentes digitales deciden asaltar a una empresa media en el sector tecnológico con una considerable base de clientes.

2. Elaboración de la trampa: Fabrican un email que se asemeja al de un proveedor de servicios auténtico, requiriendo al receptor que actualice su información de pago.

3. Ejecución del asalto: Mandan este email a varios trabajadores de la empresa.

4. Extracción de datos: Un empleado insospechado pulsa en el enlace del email y proporciona los datos de la tarjeta de crédito de la empresa.

5. Aplicación de la información: Los delincuentes digitales usan estos datos para hacer compras ilegítimas.

Este es una versión simplificada, pero muestra cómo un asalto de Phishing puede llevarse a cabo en la realidad. Es crucial recordar que los asaltos de Phishing pueden ser sofisticados y difíciles de detectar, lo cual enfatiza la necesidad de estar siempre en estado de alerta y adoptar medidas preventivas.

`

`

Signos de phishing

Distinguir un intento de estafa cibernética puede parecer una tarea complicada, y más aún cuando los responsables de estas acciones fraudulentas perfeccionan sus métodos de engaño cada vez más. No obstante, existen ciertos indicadores que pueden ayudarte a identificar estos actos malintencionados. A continuación, resumiremos algunos de estos:

Correos electrónicos de procedencia dudosa

Uno de los indicios más claros de una estafa cibernética son las direcciones de correo electrónico de orígenes dudosos. Los estafadores suelen crear direcciones que, si se observan rápidamente, pueden parecer confiables, pero con un examen más detallado presentan discrepancias, como un dominio similar al de una empresa de confianza, pero con un carácter o número extra.

Petición explícita de datos privados

Es habitual que los mensajes de estafa cibernética exijan detalles privados, entre los que se incluyen contraseñas, números de tarjeta de crédito o información de cuentas bancarias. Hay que tener siempre presente que las organizaciones de confianza pocas veces, si es que llegan a hacerlo, requieren de tal información por medio de correo electrónico.

Fallos en la redacción y ortografía

Los mensajes de estafa cibernética suelen exhibir fallas en la grammar y la ortografía, lo que es un indicio de que el mensaje no procede de una fuente confiable.

Enlaces dudosos

Las estafas por correo electrónico contienen habitualmente enlaces a páginas fraudulentas. Dichos enlaces pueden parecer seguros a simple vista, pero a menudo redirigen a los usuarios a páginas que están diseñadas para hurtar datos privados.

Demandas urgentes

Los estafadores suelen infundir un sentido de urgencia en sus mensajes para instar a los destinatarios a actuar de manera impulsiva y sin reflexionar. Pueden manifestar que tu cuenta ha sido comprometida y que se necesitan medidas inmediatas para remediarlo.

Archivos adjuntos indeseados

Los cibercriminales suelen agregar archivos adjuntos no deseados en los mensajes de estafa. Estos archivos pueden albergar malware que puede comprometer la seguridad de tu equipo si se descarga o abre.

En resumen, a pesar que los estafadores están en constante mejora de sus estrategias de engaño, existen determinados indicadores que pueden auxiliarte a identificar estas prácticas fraudulentas. Al estar vigilante a estos indicios y proceder con cautela, puedes resguardarte a ti mismo y tus datos privados frente a estas estafas cibernéticas.

Tipos de escenarios de phishing

Los actores malintencionados en el ciberespacio recurrena distintas tácticas de suplantación de identidad, comúnmente conocidas como pishing. Veamos las más usualmente aplicadas.

Suplantación de correo electrónico

En esta modalidad, los atacantes se disfrazan bajo el ropaje de un negocio auténtico, enviando emails maquillados con logotipos y formatos similares a los de la firma genuina. Su fin es sembrar el engaño a través de enlaces que redirigen a páginas trucadas, lugares idóneos para robar datos sensitivos, incluyendo usuarios, contraseñas, y números de tarjetas de crédito.

Suplantación vía texto (Smishing)

A semejanza de la táctica anterior, sólo que implementada a través de SMS. El actor cibercriminal envía mensajes simulando ser el negocio auténtico, y apela a un aderezo de urgencia para presionar al receptor a reaccionar con prontitud. Similar al anterior, estos mensajes contienen enlaces trampa donde el receptor es alentado a ingresar data sensitiva.

Suplantación vocal (Vishing)

Esta modalidad de ataque se ejecuta a través de llamadas. Los ciberdelincuentes disfrazan su identidad fingiendo ser un agente oficial de una empresa auténtica y solicitan datos sensibles bajo esta falsa premisa.

Suplantación de página web

Este esquema consta en la creación de un sitio web espejo a uno auténtico. El propósito con la maniobra es confundir a los usuarios y obtener sus datos a partir del ingreso a la falsa web.

Suplantación en resultados de búsqueda

Ajustando los resultados de búsqueda hacia direcciones erróneas, los actores maliciosos direccionan al usuario a sitios web trampa. Para lograrlo, ellos utilizan técnicas de SEO para posicionarse como opción preferente en ciertas búsquedas.

Suplantación selectiva (Spear phishing)

Esta modalidad se centra en la personalización del ataque, apuntando a individuos o entidades específicas tras una meticulosa investigación previa para dotar de mayor convencimiento al ataque.

Cada una de estas modalidades de suplantación tiene particularidades y métodos propios. Sin embargo, convergen en su finalidad de engañar al usuario para allegarse de datos sensibles que puedan ser utilizados con fines malintencionados.

Impactos en una empresa

Una amenaza constante y creciente para las compañías, independientemente de su tamaño o industria, se materializa en los intentos de phishing. Los estragos causados por dichos intentos pueden ser catastróficos, afectando tanto patrimonios como la opinión pública. Veamos en detalle los devastadores efectos que puede provocar el phishing en una organización.

Impacto Financiero

El golpe financiero inmediato que trae consigo un intento exitoso de phishing radica en el robo de datos financieros. Al usurpar información delicada tales como datos de tarjetas de crédito o credenciales de cuentas bancarias, los delincuentes informáticos pueden realizar transacciones ilegales, afectando el patrimonio de la compañía.

Adicionalmente, las empresas pueden ser sujetas a sanciones y multas por parte de reguladores si no logran cuidar la información financiera de sus clientes de manera adecuada. Tales sanciones pueden ser significativas, generando un impacto financiero que puede extenderse a largo plazo.

Daños a la Imagen Corporativa

El intento de phishing puede generar consecuencias perjudiciales para la imagen corporativa de la organización. Los consumidores depositan su confianza en las empresas para el cuidado de sus datos personales y monetarios. Si esta confianza se fractura debido a un intento de phishing, la recuperación puede ser ardua.

Además, el eco mediático de los intentos de phishing puede dañar aún más la imagen corporativa. Esto puede desembocar en la pérdida de consumidores y en la disminución de las ventas.

Interrupción de las Actividades Comerciales

Un intento de phishing puede traer como consecuencia una interrupción de las actividades comerciales. Por ejemplo, si los delincuentes informáticos logran obtener acceso a los sistemas de la compañía, podrían bloquear o eliminar datos. Estas acciones podrían desembocar en una interrupción considerable de las actividades comerciales, generando un impacto financiero adicional.

Gastos de Recuperación

Tras un intento de phishing, las organizaciones deben destinar tiempo y recursos en la recuperación. Esto puede englobar desde la investigación del intento, la reparación de los sistemas comprometidos, la recuperación de los datos perdidos, hasta la implementación de nuevas medidas de seguridad para prevenir futuros intentos. Los gastos asociados a la recuperación pueden ser considerablemente altos.

En conclusión, los intentos de phishing pueden generar estragos significativos en una organización, tanto en términos de patrimonio como de imagen corporativa. Es imprescindible que las empresas implementen medidas para salvaguardarse de estas amenazas y minimizar el potencial daño.

Protección contra phishing con Wallarm

Protegerse contra los embustes cibernéticos no es una tarea sencilla, sin embargo, con la implementación de Wallarm, la confidencialidad de tus datos queda blindada. Wallarm es una herramienta de ciberdefensa potentemente eficaz que te ofrece un puesto de vanguardia frente a los engaños de phishing.

Funcionamiento de Wallarm

La estrategia de trabajo de Wallarm reserva una fusión de inteligencia artificial y aprendizaje profundo para identificar y neutralizar los intentos de engaños de phishing. Consistentemente, la plataforma escudriña el tráfico de la red, en busca de conductas insólitas que podrían señalar una posible estafa de phishing. Al detectar un riesgo, Wallarm aplica tácticas inmediatas para anularla y preservar tus datos.

Además, Wallarm genera informes comprensivos sobre los receptores de ataque, permitiendo a las compañías adentrarse más profundamente en la naturaleza de los desafíos de seguridad que tienen que enfrentar y configurar estrategias de mejora.

Valor agregado de Wallarm

1. Identificación al momento: Wallarm descubre e interrumpe los engaños de phishing de una forma casi instantánea, resguardando tus datos antes de que se vean vulnerados.

2. Inteligencia artificial y aprendizaje profundo: Estos algoritmos permiten a Wallarm innovar y ajustar respuestas a las estrategias de phishing que van surgiendo.

3. Informes comprensivos: Wallarm elabora informes exhaustivos sobre los receptores de ataque, facilitando a las compañías a familiarizarse más con los retos de seguridad que enfrentan.

4. Usabilidad intuitiva: Wallarm es una herramienta sencilla de instalar y manejar, por lo que puedes comenzar a protegerte de los engaños de phishing sin demora.

Comparativa entre Wallarm y otros sistemas de seguridad

Características	Wallarm	Otras sistemas de seguridad
Identificación al momento	✔️	❌
Inteligencia artificial y aprendizaje profundo	✔️	❌
Informes comprensivos	✔️	❌
Usabilidad intuitiva	✔️	❌

En conclusión, Wallarm proporciona una cobertura sólida y eficiente para los embustes de phishing. Gracias a su tecnología de inteligencia artificial y aprendizaje profundo, Wallarm tiene la capacidad de descubrir e interrumpir los engaños de phishing de modo casi instantáneo, manteniendo tus datos a salvo antes de que sean expuestos. Sumado a su usabilidad intuitiva y sus informes exhaustivos, Wallarm se presenta como una opción sobresaliente para las compañías que buscan robustecer su ciberseguridad.

`

`

FAQ

A la vuelta de la esquina y acechando en cada correo electrónico, existen diferentes tipos de amenazas digitales que pueden poner en riesgo tu información. Una de las más comunes es lo que se conoce como 'ciberengaño' o phishing, del cual te explicaremos algunos detalles esenciales para comprenderlo y evitarlo.

¿Qué significado tiene el término 'ciberengaño' o phishing?

El ciberengaño, término que también puedes encontrar como phishing, es una estrategia usada por los maleantes virtuales para hacerse con los datos personales de un individuo o grupo, aparentando ser alguna institución reconocida en un intento por ganar su confianza.

¿Cómo se desencadena un ciberengaño?

Existe una metodología común para los ciberengaños, donde el intruso virtual envía un email o SMS suplantando la identidad de una organización. Dentro de ese mensaje se incrusta un enlace que dirige a una web fraudulenta que copia la interfaz del sitio auténtico. Cuando el individuo proporciona sus datos en este lugar, automáticamente se entrega la información al maleante.

¿Cómo identificar un ciberengaño?

Existen ciertas señales de alarma que te pueden indicar la presencia de un ciberengaño:

• Comunicaciones pidiendo información personal.
• Fallas gramaticales y de ortografía en el cuerpo del mensaje.
• La dirección de correo o la URL no corresponden a la organización que alegan ser.
• El mensaje incita una acción urgente, como la amenaza de cerrar una cuenta.

¿Qué tipos de ciberengaños existen?

Existen diversas tácticas de ciberengaño que los delincuentes virtuales pueden utilizar:

• Phishing por email: El más usado, involucra el envío de un correo electrónico pretendiendo ser de una organización auténtica.
• Phishing por SMS: Conocido también como smishing, manipula a la víctima mediante el envío de mensajes de texto malintencionados.
• Phishing por voz: O vishing, se ejecuta mediante llamadas telefónicas, donde el timador se hace pasar por una entidad oficial.

¿Cómo puede prepararse una empresa contra los ciberengaños?

La preparación empresarial contra ciberengaños puede materializarse de la siguiente manera:

• Capacitación: Concienciar e instruir a los empleados sobre los ciberengaños, enseñándoles cómo detectarlos.
• Herramientas de seguridad: Los sistemas deben equiparse con software de protección que sepa identificar y neutralizar los ciberengaños.
• Autenticación dual: Las cuentas empresariales deben contar con una autenticación de dos pasos, para darles mayor seguridad.

¿Cómo puede Wallarm asistir en la defensa contra ciberengaños?

Wallarm ofrece un escudo de protección ante ciberengaños. Cuenta con funcionalidades tales como la identificación de ciberengaños, técnicas de bloqueo de webs de phishing, y garantiza una efectiva protección contra el pillaje de información. Además, Wallarm ofrece programas diseñados para enseñar a los trabajadores a detectar y eludir las trampas de un ciberengaño.

Referencias

Incrementa tu conocimiento respecto a los asaltos cibernéticos de phishing y cómo resguardarte de ellos mediante las referencias que te presentamos a continuación:

1. "Phishing: Cutting the Identity Theft Line" de Rachael Lininger y Russell Dean Vines. Este manual te sumerge en el ámbito del phishing, explicando minuciosamente cómo opera y qué estrategias implementar para defenderte.

2. "The Art of Deception: Controlling the Human Element of Security" por Kevin D. Mitnick. Este libro, redactado por el ex hacker Mitnick, ahora experto en seguridad, te lleva al epicentro de las trampas en línea.

3. "Phishing Exposed" de Lance James. Una obra que te embarca en un viaje al centro de las técnicas empleadas en el phishing y los consejos para protegerte de las mismas.

Espacios digitales y blogs

4. "Phishing.org". En esta página web encontrarás información especializada en phishing, que incluye las más recientes tácticas defensivas y avances.

5. "Krebs on Security". Un espacio donde el reconocido experto en seguridad, Brian Krebs, comparte con frecuencia noticias y sugerencias de cómo defenderte del phishing.

6. "The PhishLabs Blog". Lee y aprende de los análisis publicados acerca de los recientes asaltos phishing.

Informes y análisis

7. "The Verizon 2020 Data Breach Investigations Report". Este detallado informe anual te ofrece un análisis de los sucesos más destacados en seguridad digital, abordando especialmente el phishing.

8. "The Symantec Internet Security Threat Report". Otro estudio anual que te permite comprender en profundidad las amenazas recientes en la red, especialmente en relación con el phishing.

Formación virtual y webinars

9. "Phishing: The Basics". Este webinar introduce los conceptos básicos para entender el phishing y cómo prevenirlo.

10. "Advanced Phishing Techniques". Un webinar que te proporciona un conocimiento más detallado sobre la metodología de los asaltos phishing.

Herramientas y software

11. "Wallarm". Esta herramienta tecnológica proporciona una barrera de seguridad para protegerte de los asaltos de phishing.

12. "PhishTank". Un directorio digital de páginas sospechosas que te ayuda a identificar y evitar riesgos de phishing.

Reunimos en esta lista un amplio rango de recursos de aprendizaje acerca del phishing. Manteniéndote informado y tomando medidas de defensa activas, puedes disminuir la posibilidad de ser víctima de un asalto de phishing.