Phishing 101: Cómo funciona y Qué Buscar

¿Cuál es el Propósito del Phishing?

En su forma más básica, el phishing es un tipo de fraude que tiene como objetivo atraer al objetivo a interactuar con un mensaje engañoso. Los ataques de phishing varían en complejidad, pero muchos utilizan sofisticadas técnicas de ingeniería social combinadas con información recopilada de la web oscura para simular autenticidad y relevancia para sus objetivos desprevenidos. Si el ataque está destinado a desplegar malware como ransomware, a menudo basta con abrir el mensaje para desplegar su carga. De lo contrario, el contenido del mensaje se diseñará para obligar al destinatario a realizar una acción que beneficie al ciberdelincuente y comprometa la seguridad de la víctima, como visitar un sitio web, abrir un archivo adjunto, enviar dinero o información, descargar un PDF o proporcionar una credencial.

La historia del phishing

Las primeras formas de phishing como ciberataque comenzaron en AOL a mediados de la década de 1990. El primer ataque de phishing conocido contra un banco minorista fue reportado por la revista de la industria The Banker en septiembre de 2003, y el primer intento directo conocido contra un sistema de pago como un ataque a E-gold en junio de 2001.

El phishing realmente despegó a principios de la década de 2000, con ataques tempranos contra bancos, sistemas de pago y consumidores. El phishing por parte de actores del Estado-nación prevaleció en 2006, cuando los expertos estiman que más de la mitad de todos los ataques de phishing se originaron en Rusia. En la década de 2010, el phishing estaba muy extendido y se parecía más a lo que vemos hoy en día, con ataques contra empresas, agencias gubernamentales, bancos y consumidores cada vez más comunes. Este ataque alcanzó nuevas alturas en 2020: Google registró un aumento de más del 600% en los mensajes de phishing en marzo de 2020, ya que la COVID-19 se convirtió en su tema más perseguido en la historia.

¿Dónde se originó el Término ‘Phishing’?

Phishing es un término que probablemente se acuñó a partir de una combinación de «leetspeak» de videojuegos y un antiguo tipo de fraude telefónico llamado phreaking. Se cree que el término apareció por primera vez impreso en la revista hacker 2600 a principios de la década de 1980. El primer registro de phishing como un tema importante de discusión entre los profesionales de la seguridad proviene de un documento y una presentación entregados al Grupo Internacional de Usuarios de HP de 1987, Interex. El primer uso generalizado fue en el kit de herramientas de craqueo AOHell creado por Koceilah Rekouche en 1995.

Los primeros ataques de phishing se perpetraron contra usuarios de AOL como un intento de arrebatar contraseñas para facilitar otros delitos cibernéticos. Las especializaciones de phishing surgieron a escala mundial a mediados de la década de 2000, cuando los ciberdelincuentes comenzaron a vender o intercambiar software de phishing a bandas organizadas que luego podrían utilizarlo para realizar campañas de phishing. La práctica estaba estrechamente asociada con la piratería de software y el fraude con tarjetas de crédito. A medida que el mundo se hizo más digital, el phishing evolucionó para permitir que los malos actores lo utilicen de nuevas maneras, incluido el phishing en las redes sociales. Más del 60% de los ciberdelincuentes utilizaron el phishing como su principal forma de ataque en 2020.

¿Cuáles son algunos Ejemplos Reales de Phishing?

El phishing no discrimina. Desde las escuelas primarias hasta los gigantes tecnológicos, el phishing es una amenaza para la igualdad de oportunidades. Un empleado que haga clic en un correo electrónico puede desencadenar un mundo de daños en una organización. Estos son algunos ejemplos del daño que puede causar el phishing.

• Twitter estaba en el punto álgido después de que las cuentas de usuarios extremadamente prominentes como Donald Trump y Elon Musk fueran tomadas por ciberdelincuentes y utilizadas para difundir mensajes que atraían a la gente a una estafa de criptomonedas. La investigación reveló que todo el incidente se debió a que un ciberdelincuente sacó una contraseña de administrador de un empleado de Twitter al afirmar que era un subcontratista.
• A finales de 2020, el phish escuchado en todo el mundo desencadenó una cascada de pesadillas de ciberseguridad en los más altos niveles de gobierno, negocios y finanzas después de que los ciberdelincuentes rusos obtuvieran acceso a los sistemas SolarWinds. Esa contraseña les permitió establecer puertas traseras en algunos de los sistemas más sensibles de los Estados Unidos, llegando a objetivos de seguridad nacional, invadiendo agencias gubernamentales y robando información confidencial a las empresas. Es posible que el impacto total nunca se mida.
• Se diseñó una compleja estafa de phishing perpetrada por presuntos hackers de Estados-nación contra empleados de la farmacéutica AstraZeneca para inhibir su investigación y desarrollo de una vacuna contra la COVID-19. Los agentes de amenazas utilizaron listados de trabajo falsos enviados a través de redes sociales como LinkedIn y WhatsApp para atraer a los empleados a proporcionar información personal que podría usarse para impulsar el phishing o descargar archivos adjuntos llenos de malware.

¿Con Qué Frecuencia Ocurre El Phishing?

El phishing es el ciberataque más rutinario que pueden manejar los equipos de TI. Expertos de la Universidad de Maryland estiman que se lanza un nuevo ataque cada 39 segundos. La pandemia y el caos que la acompañaba fueron una enorme bendición para los ciberdelincuentes, que rápidamente aprovecharon. En marzo de 2020, Google anunció que había registrado un aumento del 667% en los intentos de phishing en el mismo tiempo en 2019, estimando que bloqueó alrededor de 18 millones de correos electrónicos fraudulentos de COVID-19 al día de sus 1,5 mil millones de usuarios. A mediados de 2020, los investigadores de Internet vieron que el número de amenazas diarias de phishing era de 25 000 al día, un aumento del 30% con respecto a las cifras de 2019. Para el otoño, el número había crecido a 35,000 por día y creció a 50,000 por día en diciembre de 2020. el 75% de las organizaciones de todo el mundo experimentaron algún tipo de ataque de phishing en 2020.

¿Es ilegal el Phishing?

Eso hace una ola de ciberdelitos. El phishing es una forma de fraude y robo de identidad, punible con multas e incluso penas de cárcel. En los Estados Unidos, existen leyes federales, estatales y locales contra el phishing y sus estilos asociados. El phishing a veces se procesa bajo los estatutos federales de fraude electrónico porque se transmite a través de Internet. El Reino Unido, la Unión Europea y otras naciones también tienen leyes contra el phishing.

Cómo funciona el phishing

En su sentido más amplio, el phishing pretende engañar al objetivo para que proporcione información, credenciales o acceso que permita al remitente acceder a sistemas, datos y otros recursos de forma fraudulenta. Los ciberdelincuentes hacen uso de la ingeniería social, la psicología, el estrés y la disrupción para crear señuelos poderosamente tentadores. A menudo, los malos actores obtienen información específica sobre sus objetivos de la web oscura. Miles de millones de registros llenos de información sobre personas y negocios están disponibles en los mercados y vertederos de datos de la web oscura, y se agregan más diariamente: solo en 2020 se agregaron 22 millones. Ni siquiera necesitas conocimientos técnicos para ejecutar una operación de phishing. Todo, desde completos «kits de phishing» plug-and-play hasta la externalización completa a través de operadores independientes, está disponible por un precio.

¿Qué sucede Durante un Ataque de Phishing?

Eche un vistazo a una descripción general básica de un ataque de phishing estándar.

1. Los malos actores generan una lista de objetivos y recopilan la información necesaria para llegar a sus víctimas.
2. La preparación en este punto puede incluir la compra de información de identificación personal (PII), la obtención de una base de datos robada de registros para otras cuentas en línea que el objetivo mantiene o los detalles necesarios para hacerse pasar por una marca de confianza.
3. Luego, los malos actores crean un correo electrónico diseñado para atraer al máximo a la víctima prevista para atraerlos a abrirlo o completar una acción.
4. El correo electrónico a menudo incluirá detalles personalizados recopilados de mercados y volcados de datos de la web oscura.
5. El mensaje podría hacerse pasar por algo que parece inofensivo y rutinario, como una comunicación de la asociación de ex alumnos de la víctima o una organización benéfica favorita.
6. A veces, el mensaje contiene un archivo adjunto, como un PDF, que contiene malware.
7. Otro señuelo común es incluir un enlace pidiéndole a la víctima que restablezca su contraseña utilizando un enlace incluido.
8. Si el objetivo del ataque es entregar malware, la carga útil se desplegará cuando la víctima complete una interacción de destino, como descargar un archivo o hacer clic en un enlace.
9. O, si el objetivo es comprometer las credenciales, la víctima suele ser dirigida a una página web falsificada y despojada de sus credenciales.
10. Los ciberdelincuentes son libres de capturar datos, desplegar malware o causar estragos en la víctima o en la empresa de la víctima.

¿A Qué Puede Conducir el Phishing?

¿Qué tipo de estragos? Del tipo que cierra empresas y destruye sueños. Los expertos estiman que el 60% de las empresas cierran después de un ciberataque. Los gastos de respuesta a incidentes, investigación, reparación y recuperación pueden ser catastróficos. Además, las empresas no terminan pagando por un incidente como el ransomware justo cuando ocurre. Puede llevar años determinar el alcance total de los daños y pagar las facturas. Junto con ese enorme golpe de presupuesto, las empresas que se ven afectadas por un ciberataque dañino pierden productividad y sufren una mella en su reputación. El phishing es particularmente devastador cuando las empresas pierden información valiosa, como secretos comerciales o registros que son altamente confidenciales, especialmente cuando esa pérdida también incurre en fuertes sanciones reglamentarias bajo legislación como HIPAA o GDPR.

Cómo detectar intentos de Phishing

Los ciberdelincuentes pueden producir mensajes y archivos adjuntos fraudulentos extremadamente convincentes que incluso los profesionales de la ciberseguridad pueden detectar. Sin embargo, hay algunas señales comunes que los objetivos potenciales pueden buscar para detectar un mensaje de phishing potencial y evitar un desastre. Un recorrido detallado para investigar y adjudicar un posible mensaje de phishing de forma segura está disponible en la infografía, La ruta segura al correo electrónico.

¿Cuáles Son los Signos Comunes de un Correo Electrónico de Phishing?

Algunos signos reveladores de que un mensaje probablemente sea phishing incluyen:

• Si el idioma está apagado o el mensaje no parece haber sido rallado por alguien que es un hablante nativo del idioma del objetivo, incluidos errores ortográficos y gramática o uso deficientes
• Si el mensaje pretende ser de una marca de confianza, pero contiene cosas que parecen desconocidas, como colores, formatos o fuentes no del todo correctos
• Si parece muy «poco profesional» pero se presenta como una comunicación de un ejecutivo u otra persona poderosa.
• Si es un U. S. agencia del gobierno federal que le pide que proporcione PII por correo electrónico
• Si el remitente le pide su número de Seguro Social o de identificación fiscal de forma inesperada
• Si la dirección, el nombre o la dirección de correo electrónico del remitente se ven extraños
• Si alguien que no conoce bien le pide tarjetas de regalo, transferencias de dinero, información bancaria o de tarjeta de crédito
• Si hay un enlace para que haga clic o un archivo adjunto para descargar, pero la dirección o el nombre del archivo parecen inusual

En caso de duda, siempre errar por el lado de la precaución. Su equipo de TI se lo agradecerá.

¿Cómo Sé si un Enlace es Malicioso?

Los enlaces maliciosos son una herramienta extremadamente popular para ataques de phishing debido a la mayor conciencia que la mayoría de los usuarios han desarrollado a lo largo de los años en torno a los archivos adjuntos. Sin embargo, un vínculo falso puede ser tan desagradable como un accesorio infeccioso, y a veces peor. Siempre verifique un enlace antes de hacer clic en él para ver si realmente va a donde dice que va. Los enlaces falsos pueden tener ortografías extrañas, sufijos inesperados, mezclas extrañas del nombre de una empresa y detalles similares que simplemente no son del todo correctos. Google ha registrado 2.145.013 sitios de phishing al 17 de enero de 2021. Esto es un aumento de 1,690,000 el 19 de enero de 2020 (un aumento del 27% en 12 meses).

¿Cómo puedo Identificar un Archivo Adjunto Malicioso?

Los archivos adjuntos maliciosos son lo que los usuarios tienden a pensar cuando piensan en el phishing, especialmente en lo que se refiere al malware. Los expertos estiman en un estudio reciente que el 94% de los correos electrónicos de phishing utilizan archivos adjuntos maliciosos como carga útil o fuente de infección para el ataque. Además, señalaron que los principales tipos de archivos adjuntos de correo electrónico maliciosos que están viendo son .doc y .punto en el 37% del pastel, con .exe al 19,5% y otros nombres de archivo más bajos. Los archivos adjuntos maliciosos también pueden ser archivos PDF. A principios de 2020, los ciberdelincuentes audaces tuvieron un día de campo enviando mapas venenosos de COVID-19 en ese formato de fuentes como la Organización Mundial de la Salud. Los archivos adjuntos inesperados o los archivos con nombres inusuales o desconocidos son características distintivas de los archivos adjuntos maliciosos.

Minimice los peligros de Phishing con una Fuerte Postura Defensiva Que incluya Copia de seguridad SaaS

La captura de mensajes de phishing puede ser un desafío. Las empresas que participan en una formación regular de concienciación sobre seguridad que incluye resistencia al phishing para cada empleado, al menos trimestralmente, tienen hasta un 70% menos de incidentes de seguridad. Las soluciones de seguridad de correo electrónico convencionales, como filtros o herramientas integradas en aplicaciones de correo electrónico, no están a la altura de las sofisticadas amenazas de phishing actuales: más del 40% de los correos electrónicos de phishing enviados en una prueba de 2020 no fueron capturados por la seguridad de correo electrónico tradicional.

La otra mitad de la moneda en la construcción de una fuerte defensa contra el phishing también es esencial para la construcción de resiliencia cibernética: copia de seguridad SaaS. Se estima que el 60% de las empresas afectadas por un ataque de phishing pierden datos irrecuperables, lo que puede crear una cascada de daños cada vez más devastadora.

Es por eso que soluciones como Spanning 360 con capacidades integradas de defensa contra el phishing son imprescindibles en cualquier plan de ciberseguridad. Más del 70% de las organizaciones en los Estados Unidos se vieron afectadas por un ataque de phishing exitoso en los últimos 12 meses. El objetivo de cada empresa debe ser decir fuera de esa lista en 2021.

Más información Sobre Spanning 360