El lema del Mes de la Concienciación en Ciberseguridad de este año – “Verte a ti mismo en el ciberespacio”– se centra en cómo tanto los individuos como las organizaciones pueden protegerse mejor de la ciberdelincuencia. Antes de que termine esta mes conviene recordar que uno de los pasos más importantes que todos podemos dar es aprender a reconocer y denunciar los intentos de phishing.
Aunque los ataques de phishing no son nada nuevo, los métodos utilizados para ejecutarlos evolucionan constantemente. Hoy en día, los hackers aprovechan la automatización y otras técnicas avanzadas para aumentar la escala de las campañas de phishing y dirigirse mejor a las víctimas. Independientemente del método, los objetivos de los ataques de phishing siguen siendo en gran medida los mismos: engañar a las personas para que visiten sitios web falsos en los que se recogen las credenciales de acceso de la víctima y otros datos personales, se transfiere dinero y se distribuye malware. La información robada a través del phishing suele venderse en la dark web y/o ser utilizada por los atacantes para acceder a los recursos de red o para cometer fraudes y robos de identidad.
Los atacantes suelen intentar hacerse pasar por personas u organizaciones de confianza. Recientemente, una nueva campaña de phishing comenzó a dirigirse a los solicitantes de empleo de Estados Unidos y Nueva Zelanda con documentos maliciosos que instalaban beacons Cobalt Strike para acceder de forma remota a los dispositivos de las víctimas. Y en las últimas semanas el Internal Revenue Service (IRS) advirtió a los estadounidenses de un aumento exponencial de los ataques de phishing por mensajes de texto con temática del IRS que intentan robar su información financiera y personal.
Los ataques de phishing también se han vuelto más personalizados. Mientras que el phishing estándar consiste en enviar correos electrónicos fraudulentos en ataques masivos haciéndose pasar por una organización o persona legítima, los ataques de spear phishing se dirigen a una persona u organización específica y tienden a ser personalizados y detallados, lo que los hace más difíciles de detectar. Las herramientas de phishing automatizadas y los programas que seleccionan las redes sociales y otros lugares de la web donde la gente publica información personal están mejorando y acelerando la recopilación de información que los atacantes llevan a cabo para personalizar y dirigir el phishing selectivo. Aunque este tipo de ataques requieren más esfuerzo, suelen tener un mayor índice de éxito.
Desgraciadamente, la realidad es que si estás online, vas a ser objetivo del phishing. Por eso es tan importante que todos los usuarios pongan de su parte para detener el phishing siendo conscientes de los signos reveladores de un intento de phishing.
- Estate atento a las solicitudes de jefes o compañeros de trabajo que parezcan fuera de lo normal.
- Fíjate en las faltas de ortografía y en la mala gramática; eso suele ser un indicador de que un mensaje de correo electrónico o de texto procede de una fuente falsa.
- Comprueba la dirección de correo electrónico completa (o el número de teléfono) del remitente para asegurarte de que el mensaje procede de una fuente legítima; elimínalo si no parece correcto. Pero ten en cuenta también que los atacantes pueden falsear las direcciones de correo electrónico si tu dominio no cuenta con las protecciones adecuadas (como el filtrado de DNS).
- En general, evita hacer clic en los enlaces de la correspondencia. Pero comprueba siempre el dominio antes de hacer clic para asegurarte de que coincide con el sitio que pretendes visitar. (Siempre es más seguro teclear manualmente las direcciones de los sitios web).
- Nunca descargues archivos de remitentes desconocidos. En serio, nunca.
- Reenvía los correos electrónicos sospechosos a tu departamento de informática o de seguridad para que los inspeccionen.
Los MSP y MSSP pueden proteger mejor a sus clientes asociándose con proveedores de seguridad expertos para implementar soluciones de hardware y software que automatizan la protección contra el phishing y proporcionan educación a los usuarios finales en tiempo real.
Pero para los particulares, detener el phishing empieza por estar atentos. Por encima de todo, hay que pensar antes de actuar. Un clic irreflexivo puede poner en peligro tu información personal o los datos críticos de su empresa. La mayoría de los correos electrónicos y mensajes de phishing vienen con un sentido de urgencia. Desconfía de las comunicaciones que piden que actúes inmediatamente. Es mejor prevenir que lamentar, así que vete más despacio y pide ayuda si no estás seguro de que un mensaje sea legítimo.
