Phishing, para su información: explicamos el spear-phishing y el whaling
¿Sabía que el 91% de los ciberataques son ataques de spear-phishing? Esto los convierte en la amenaza más peligrosa para personas y organizaciones por igual. En esta entrada de blog, definimos qué son el spear-phishing y el whaling, cómo reconocer un posible ataque y cómo protegerse usted mismo y a su organización.
Spear-phishing
El spear-phishing es un ataque de ingeniería social dirigido en el que el hacker utiliza información específica para tratar de convencer a los usuarios de que divulguen su información confidencial o la de su organización. Si bien los ataques de phishing no son personalizados y se envían a varias personas a la vez con la esperanza de que algunos caigan en la trampa, los ataques de spear-phishing se dirigen a un solo individuo o grupo de individuos que comparten características similares. Los ciberdelincuentes agrupan a las personas en función de atributos similares, como intereses, lugar de trabajo o ubicación, y luego crean ataques específicos y detallados dirigidos a esas características compartidas.
Los ciberdelincuentes pueden crear estos ataques detallados basados en la información fácilmente disponible que usted publica en línea. Al ver perfiles de sitios de redes sociales como Facebook, LinkedIn o Twitter, es posible que puedan recopilar información como una dirección de correo electrónico, lugar de trabajo, lista de amigos y ubicación. Los ciberdelincuentes obtienen tanta información como sea posible para crear direcciones de correo electrónico creíbles en un intento de convencerlo de que son legítimos.
Los ataques de spear-phishing a menudo incluyen mensajes que transmiten urgencia o la necesidad de actuar rápidamente sin reflexionar sobre la situación. Los atacantes a menudo piden información confidencial como contraseñas, números de cuenta y códigos de acceso, por nombrar algunos. Se le pedirá que proporcione esta información respondiendo directamente al correo electrónico o haciendo clic en un enlace malicioso.
Si proporciona a los ciberdelincuentes la información deseada, las ramificaciones pueden ser desastrosas. Con su información personal, los hackers pueden acceder a sus cuentas personales, información bancaria y otros detalles de identificación confidenciales que pueden conducir al robo de identidad, entre otros delitos. Con la información de la empresa, los hackers pueden obtener acceso a la red de la empresa y robar datos confidenciales como IP o códigos de acceso.
Whaling
Mientras que el spear-phishing es una forma específica de phishing, el whaling es aún más específico y, a menudo, solo se dirige a un solo individuo de alto nivel. Hay dos tipos de ataques de whaling: 1) los que se dirigen a personas de alto nivel como CEO, COO, CISCO, etc., o 2) aquellos en los que un ciberdelincuente se hace pasar por personal de alto nivel y se dirige a otros empleados de la empresa. Para ambos tipos de ataques de whaling, los hackers a menudo intentan que el objetivo autorice o realice grandes transferencias bancarias.
A diferencia de los ataques de spear-phishing que implican poca planificación, los ataques de whaling a menudo son muy estratégicos y bien planificados, y su planificación y comunicación puede durar desde un día, hasta semanas, e incluso meses. Estos ataques tardan más en ejecutarse y planificarse porque se espera que el pago sea mucho mayor. Como resultado, los ataques de whaling a menudo son más difíciles de detectar y disuadir.
Los ataques de whaling implican un alto nivel de detalle y personalización. Estos ataques pueden incluir su nombre, cargo, ubicación y otra información relevante. Al igual que con los ataques de spear-phishing, los hackers toman información de los perfiles de redes sociales en línea y utilizan esa información para crear estafas altamente específicas y detalladas. Los ciberdelincuentes se toman su tiempo y todas las precauciones al ejecutar ataques de whaling, a menudo consultando más que solo sus cuentas de redes sociales debido al potencial de un alto rendimiento.
Cómo evitar un ataque de spear-phishing o whaling
Siga estos pasos recomendados para protegerse a usted mismo y a su organización de un ataque de spear-phishing o whaling:
1. Tenga cuidado con la información personal que publica en línea
2. Tenga una contraseña única y segura
3. Mantenga el software actualizado
4. Use el sentido común al abrir correos electrónicos o revisar enlaces
5. Implemente un programa de protección de datos
Ataques populares de spear-phishing y whaling
Los siguientes ataques han sido reportados al Centro Canadiense de Lucha contra el Fraude. Para más ejemplos de ataques de spear-phishing reportados, visite su sitio web.
Tarjetas de regalo: El ciberdelincuente envía un correo electrónico a un empleado haciéndose pasar por el CEO u otro compañero de alto rango y trata de persuadir al empleado de que el funcionario de alto nivel que está suplantando necesita su ayuda para comprar tarjetas de regalo para la oficina. Al igual que con la mayoría de las estafas de spear-phishing y whaling, la finalidad es persuadir al destinatario para que transfiera o divulgue información confidencial.
Transferencia bancaria: Similar a la estafa de la tarjeta de regalo, el atacante le envía un correo electrónico a un empleado haciéndose pasar por un compañero de alto nivel y solicitando una transferencia bancaria urgente a una cuenta extranjera.
Fraude de clientes del sector financiero: En lugar de hacerse pasar por un individuo de alto nivel en la empresa, el ciberdelincuente de este fraude se hace pasar por un cliente existente. Al igual que con las otras dos estafas, el atacante ordena a la empresa que realice una transferencia bancaria urgente.
Nómina: El ciberdelincuente envía un correo electrónico haciéndose pasar por un empleado solicitando un cambio en su información de depósito directo. Si la organización cumple con la solicitud del atacante, el pago de los empleados se deposita en una cuenta creada por el ciberdelincuente.
Cómo detectar un ataque de spear-phishing o whaling
Según el gobierno de Canadá, la mejor manera de detectar un posible ataque de spear-phishing o whaling es actuando con más calma y analizando las siguientes tres cosas:
Dirección de correo electrónico: Verifique que la dirección coincida con la utilizada en comunicaciones anteriores. Asegúrese de que las palabras estén escritas correctamente y que no haya letras o números adicionales en la dirección de correo electrónico o el nombre de dominio.
Formato: ¿El correo electrónico está formateado de una manera que se asemeja a las comunicaciones pasadas con esta persona u organización? ¿Hay nuevos errores ortográficos o gramaticales que no coinciden con las comunicaciones anteriores con el remitente? ¿Hay inconsistencias en el tono o las palabras elegidas parecen diferentes?
Urgencia: ¿Hay un sentido de urgencia en torno a la solicitud? ¿Se explica esta urgencia y es lógica la explicación? Considere si este tipo de solicitud es lo que esperaría del remitente y si se asemeja a interacciones pasadas con ellos.