¿Su correo es seguro?

¿Qué es el phising?

El delincuente haciéndose pasar por otro, se presenta como una persona u organización de confianza para engañar a las víctimas potenciales, enviando emails, sms o llamadas al destinatario del mensaje, para capturar información, dinero o engañar a otros.

Este engaño suele estar apoyado por argumentos web, atacan los sitios web originales con infecciones de malware específico aprovechando sus vulnerabilidades y lo utilizan para crear una web copia fraudulenta, que facilita la captura de información, dinero, vía formularios desde dónde se redirige la información capturada hacia donde indique el delincuente.

¿Cómo funcionan los ataques de pesca (phising)?

:: El remitente (delincuente): imita a alguien de confianza que probablemente el destinatario conoce y le pide al destinatario que realice una acción, a menudo implicando una necesidad urgente de hacerlo. El remitente falso, puede ser tanto individuo, como un familiar del destinatario, el director general de la empresa para la que trabajan, o incluso alguien famoso que supuestamente está regalando algo. A menudo, los mensajes de pesca imitan a correos electrónicos de grandes empresas como PayPal, Amazon o Microsoft, así como de bancos u oficinas gubernamentales.

:: El mensaje: el atacante pedirá al destinatario que haga clic en un enlace, que baje un archivo adjunto o que envíe dinero. Cuando la víctima abre el mensaje, suele ocurrir que encuentra un mensaje generador de miedo y urgencia, exigiendo que la víctima vaya a un sitio web y tome medidas inmediatas o se arriesgue a las consecuencias.

:: El destino: si los usuarios caen en la trampa y hacen clic en el enlace, se envían a una imitación de un sitio web legítimo. A partir de ahí, se les pide que inicien sesión con sus credenciales de nombre de usuario y contraseña. Desde donde la información de inicio de sesión va al atacante, que lo utiliza para robar identidades, robar cuentas bancarias y vender información personal en el mercado negro.

¿A quién se dirige el phishing?

Cualquier persona puede ser atacada con un ataque de pesca, pero algunos tipos de pesca se realizan a personas muy específicas. Algunos delincuentes enviarán un correo electrónico general a muchas personas, con la esperanza de que algunos caigan en la trampa en función de un rasgo común. Un ejemplo sería decir que algo no funciona con su cuenta de Facebook o Amazon, y debe hacer clic en este enlace inmediatamente para iniciar la sesión y solucionarlo. El vínculo probablemente conducirá a una página web falsificada donde podría dar sus credenciales de inicio de sesión.

En cambio hay otros que utilizan ataques de pesca más dirigidos si buscan algo específico, como el acceso a la red o los datos de una empresa determinada, o la información de un político o candidato político. Esto se llama spear phishing. En este caso, pueden buscar información para que su ataque suene familiar y creíble, de modo que es más probable que el objetivo haga clic en un enlace o proporcione información. Un ejemplo sería investigar el nombre y el estilo de comunicación del director general de una empresa objetivo, después enviar un correo electrónico o enviar mensajes de texto a empleados específicos de esa empresa haciéndose pasar por el director general pidiendo algo.

Aunque estos actores del engaño suelen pretender ser directores generales en sus ataques de pesca, en ocasiones el objetivo es el propio CEO. “Phishing de ballenas” describe los ataques de pesca a personas de alto perfil como ejecutivos de empresas, celebridades o personas ricas conocidas.

Aunque cualquiera puede convertirse en un objetivo de pesca.

Tipo de ataque

· Correo electrónico

Lo más común. El atacante envía un correo electrónico específico para una persona, empresa u organización que pretende ser alguien de confianza y conocido (venta al por menor online, banco, empresa de redes sociales, etc.) y le pide que haga clic en un enlace para llevar a cabo una acción importante o, tal vez, que descargue un archivo adjunto.

Para personalizar el ataque, existe una labor previa de investigación sobre la víctima.

Ejemplos:

·· Compromiso de correo electrónico empresarial (BEC): se dirige a alguien del departamento financiero de una organización, a menudo el director financiero, e intenta engañarle para que envíe grandes sumas de dinero. Los atacantes a menudo utilizan tácticas de ingeniería social para convencer al destinatario de que enviar el dinero es urgente y necesario.
·· Clonar la pesca: en este ataque, los delincuentes hacen una copia (o clon) de correos electrónicos entregados anteriormente pero legítimos que contienen un enlace o un archivo adjunto. Entonces, el delincuente sustituye los enlaces o archivos adjuntos por sustituciones maliciosas disfrazadas como reales. Los usuarios desprevenidos o hacen clic en el vínculo u abren el archivo adjunto, que a menudo permite que sus sistemas sean atacados. El delincuente puede falsificar la identidad de la víctima y hacerse pasar por un remitente de confianza a otras víctimas de la propia organización.

· Spear phishing (pesca específica, vía email)

Ataque dirigido a una persona u organización específica, con contenido a medida para la víctima o las víctimas. Requiere un reconocimiento previo al ataque por descubrir nombres, cargos, direcciones de correo electrónico y similares. Los piratas informáticos recorren internet para relacionar esta información con otros conocimientos investigados sobre los colegas del objetivo, junto con los nombres y relaciones profesionales de los empleados clave de sus organizaciones. Con esto, el delincuente elabora un correo electrónico creíble.

Es necesaria una investigación previa, más o menos esmerada, para personalizar el ataque.

Por ejemplo, un estafador podría atacar a un empleado cuyas responsabilidades incluyen la capacidad de autorizar pagos. El correo electrónico pretende ser de un ejecutivo de la organización, que ordena al empleado que envíe un pago sustancial al ejecutivo o al proveedor de la empresa (cuando de hecho, el enlace de pago malicioso lo envía al atacante).

· Llamadas de voz (Vishing)

El delincuente llama diciendo que representa a su banco local, la policía o hasta cualquier otra entidad. A continuación, le asustan con algún tipo de problema e insisten en que lo aclares de inmediato compartiendo la información de tu cuenta o pagando una multa. Normalmente le piden que pague con una transferencia bancaria o con tarjetas de prepago, por lo que son imposibles de realizar el seguimiento.

· SMS o mensajes de texto (Smishing)

Similar al de voz y en ocasiones con un enlace malicioso incrustado para hacer clic.

· Catphishing

Una persona crea presencia en las redes sociales como un títere de calcetines, un personaje online ficticio o un supuestamente real, con el propósito de atraer a alguien a una relación normalmente romántica, para obtener dinero, regalos o atención y acceso a la información y/o recursos del objetivo.

· Pesca de ballenas

Dirigido a víctimas de alto perfil. Esto puede incluir a celebridades, políticos y empresarios de nivel. Normalmente, el atacante intenta engañar a estos objetivos conocidos para que nos proporcionen su información personal y/o credenciales comerciales. Los ataques de caza de ballenas suelen implicar esfuerzos de ingeniería social para engañar a la víctima para que se crea el engaño.

¿Cómo detecta si un email es phishing?

Reconocer un intento de pesca no siempre es fácil, pero algunos consejos, algo de disciplina y algo de sentido común ayudarán mucho. Busque algo que no sea habitual o que sea inusual. Confíe en tu intuición y sobre todo, no se deje arrastrar por el miedo, que oscurece su juicio.

Sugerencias de detección:

· Revisar las cabeceras del email
Revisión la información del emisor y receptor del mensaje:

·· Varía en función del cliente de correo empleado. En el caso de nuestro webmail, cada mensaje presenta el icono de información ⓘ desde donde se presentan las cabeceras.
Aquí podemos encontrar datos sobre el correo electrónico recibido, tales como la fecha o la cabecera del “from”. En el caso en que vemos que el “from” coincide con el emisor del mensaje recibido, no existe suplantación, de lo contrario, por ejemplo si aparece un dominio diferente al esperado, se trata de suplantación.

·· Compruebe la validación del SPF: el campo “spf” dentro de las cabeceras del email, debería tener el valor “pass” indicativo de que se ha podido validar la procedencia del correo, y proviene de un servidor al que se permite enviar este email.

·· Verificación de los servidores por los que ha pasado el correo electrónico antes de llegar al destino.

·· Examine otros datos como la fecha de envío, el cliente de correo etc.

· Desconfíe si
·· El mensaje es genérico.
·· El email le hace una oferta que parece demasiado buena para ser verdad.
·· Reconoce al remitente, pero es alguien con quien no habla.
·· Solicitan datos bancarios para realizar pagos y transferencias.
·· Solicitan datos o contraseñas.
·· Tono adulador, de urgencia o amenazante.
·· El mensaje contiene archivos adjuntos inesperados o inusuales.
·· El mensaje contiene faltas de ortografía.

· Si el contenido del mensaje tiene enlaces
·· Desconfíe si la conexión con el sitio web no es segura y no muestra el candado en la URL.
·· Revise cuidadosamente la URL del enlace: es necesario situar el cursor sobre el enlace para ver la url real.
·· Si ya ha desconfiado en algún punto anterior es mejor no seguir los enlaces del mensaje.

· Si el contenido del mensaje tiene archivos adjuntos para descargar
·· No abra ni descargue ningún archivo hasta estar seguro de la procedencia del email.

· ¿Qué hacer si detectamos un intento de phishing?
·· Contactar con el emisor legítimo por otro medio para confirmar si se trata de un email válido.
·· Marcar el mensaje como spam.
·· Asegúrese de tener instalado y actualizado el antivirus del equipo.
·· No seguir ningún enlace que pueda contener el mensaje ni abrir ni descargar ningún archivo sin estar seguros de la procedencia del correo electrónico.
·· Dentro del panel de control de cdmon, activar la opción “rechazar correos con falsificación de direcciones de envío”. Si el intento de phishing se está enviando desde un servidor no autorizado, se bloqueará y el correo electrónico no llegará a la bandeja de entrada.
·· Añadir el dominio desde el que se está enviando el phishing a su lista negra de correo.
·· Reportar el dominio a bloquear a su proveedor de servicio de correo.
·· Repasar, como siempre, la actualización de la web y servicios, haciendo uso de las herramientas de seguridad correspondientes (conectores, SPF, DKIM, DMARC, etc).

¿Cómo me protejo contra el phishing?

La primera línea de defensa contra la pesca es su criterio y debe entrenar para reconocer los signos de la pesca.

Algunas de las prácticas más importantes para mantenerse seguro:

:: No abra correos electrónicos de remitentes que no conozca.
:: No haga clic nunca en un enlace dentro de un correo electrónico a menos que sepa exactamente dónde va.
:: Para proteger esta protección, si recibe un correo electrónico de una fuente de la que no está seguro, vaya al enlace proporcionado manualmente introduciendo la dirección del sitio web legítima en su navegador.
:: Busque el certificado digital de un sitio web.
:: Si se le solicita que proporcione información sensible, compruebe que la url de la página comience con “https” en lugar de sólo “http”. La «s» añadida al protocolo significa «seguro». No es una garantía de que un sitio sea legítimo, pero la mayoría de sitios legítimos utilizan https porque es más seguro.
:: Si sospecha que un correo electrónico no es legítimo, tome un nombre o algún texto del mensaje y colóquelo en un motor de búsqueda para ver si existen ataques de pesca conocidos con los mismos métodos.
:: Pase el ratón por el enlace para ver si es un enlace legítimo.

Como siempre, recomendamos utilizar software de seguridad antivirus/anti-malware -yo hago uso de Malwarebytes Premium-. La mayoría de las herramientas de ciberseguridad tienen la capacidad de detectar cuando un enlace o un archivo adjunto no es lo que parece.

¿Por qué es efectivo el phishing?

A diferencia de otros tipos de amenazas online, la pesca no requiere experiencia técnica especialmente sofisticada. De hecho, según Adam Kujawa, director de Malwarebytes Labs, “El phishing es el tipo de ciberataque más sencillo y, al mismo tiempo, el más peligroso y eficaz. Esto es porque ataca al ordenador más vulnerable y poderoso del planeta: la mente humana”.

Fundamentalmente, los delincuentes utilizan la ingeniería social. ¿Por qué perder el tiempo a través de las capas de seguridad cuando puedes engañar a alguien para que te dé la llave? Muy a menudo, el enlace más débil de un sistema de seguridad no es un error enterrado en el código informático, es un ser humano que no verifica de dónde proviene un correo electrónico.

Anécdota: si hay un ataque bien elaborado, la víctima tiene bastantes posibilidades de caer en el engaño, como en el año 2017, una estafa masiva de pesca engañó a los departamentos de contabilidad de Google y Facebook para que transfiriera dinero, un total de más de 100 millones de dólares, a cuentas bancarias en el extranjero bajo el control de un ciberdelincuente.