Con el crecimiento exponencial de las actividades en línea, también ha aumentado la sofisticación y frecuencia de los ataques cibernéticos, siendo el phishing uno de los métodos más comunes y peligrosos utilizados por los ciberdelincuentes, de allí la importancia de saber qué es phishing y cómo evitarlo. Si te interesa saber más sobre qué es phishing y cómo evitarlo, sigue leyendo porque en este artículo se enfoca en entenderlo, y sobre todo, cómo podemos protegernos de estos ataques.
¿Qué es phishing y cómo evitarlo?
El phishing es un tipo de ataque cibernético que utiliza el engaño para robar información confidencial de los usuarios, como datos de inicio de sesión, números de tarjetas de crédito, información bancaria, entre otros. En este sentido los atacantes se hacen pasar por entidades legítimas mediante correos electrónicos, mensajes de texto, llamadas telefónicas, o mensajes en redes sociales para engañar a las víctimas y hacer que revelen información personal. De allí radica la importancia de saber que es phishing y cómo evitarlo.
La práctica más común es en la que el usuario recibe un mensaje en su correo electrónico o mensaje de texto, el cual imita a una persona u organización (como un banco u oficina gubernamental). Dicho mensaje está hecho para infundirle miedo a sus víctimas para debilitar su buen juicio, para que este ingrese a un sitio web.
Al hacer clic en el enlace el usuario ingresa a un sitio web que es una imitación del legítimo. Allí le pedirá que registre sus credenciales, al hacerlo el atacante tendrá acceso a la información que ha registrado, y podrá utilizarla para robar identidades, saquear cuentas bancarias, o vender información en el mercado negro. A diferencia de otras formas de ataque cibernético, el phishing no trata de explotar la vulnerabilidad técnica de un sistema operativo, sino más bien manipular psicológicamente a sus víctimas para obtener lo que buscan.
Qué es phishing y cómo evitarlo: Tipos de ataques de phishing
Spear phishing
El spear phishing se caracteriza por su personalización hacia la víctima, utilizando información que parece legítima para ganar la confianza de las víctimas a través de información recopilada por vigilancia sobre la organización o individuo objetivo. Además, se trata de una amenaza que crítica para empresas, de acuerdo con una publicación en 2023 el impacto financiero de violación de datos por phishing alcanzó la cifra de 4,76 millones de dólares.
Correos electrónicos masivos de phishing
Se trata de un tipo de ataque dirigido, se encarga del envío de correos electrónicos masivos, al mayor número de personas posible. El ciberdelicuente crea un mensaje de correo electrónico que parezca proveniente de una gran organización, ya sea un banco o una tienda en línea, etc.
El mensaje contenido en el correo podría tratar un tema creíble que apele a las emociones, como miedo, curiosidad o sentido de urgencia, para obtener la atención del usuario. El asunto típicamente puede indicar, ‘Actualice su perfil de usuario’, ‘Se adjunta factura’, ‘Problema con su pedido’, etc. Mientras que el cuerpo de mensaje puede instar a realizar una acción como indicar información confidencial respecto a números de seguridad social, números de cuentas bancarias, credenciales de inicio de sesión, o números de tarjetas de crédito. Incluso puede solicitar la descarga de un archivo que infecte el dispositivo del destinatario.
Phishing por SMS o smishing
En este caso se refiere al ataque que se lleva a cabo mediante SMS o mensajes de texto que también pueden incluir mensajes enviados a través de aplicaciones de mensajería como WhatsApp o Facebook Messenger.
Phishing de voz o vishing
Estafas telefónicas donde buscan manipular a las víctimas para que indiquen información confidencial. Es importante destacar que en el caso de Vishing puede haber una combinación de palabras (voz) y phishing estafas de suplantación de identidad por teléfono.
Phishing en redes sociales
El phishing en redes sociales hace uso de diferentes para la obtención de información confidencial de los usuarios. En este caso los ciberdelincuentes utilizan los servicios de mensajería como Messenger, mensajes directos de Twitter, etc. También pueden hacer envío de correos electrónicos que parecen provenientes de la red social, donde solicitan actualización de credenciales o información de pago. Es importante resaltar que los más afectados son los usuarios que hacen uso de las mismas credenciales en diferentes redes sociales.
Mensajería de aplicaciones o dentro de la aplicación
Los estafadores hacen envío de correos electrónicos haciéndose pasar por proveedores de aplicaciones conocidas de smartphone y otras aplicaciones basadas en la web, como por ejemplo PayPal, Microsoft Office 365 o Teams, etc. Y por supuesto, se encargarán de enviar mails al mayor número de personas.
Hemos hecho aplicaciones para Office Depot, GNP, Bonafont y muchos más
¿Cómo identificar un ataque de phishing?
Es importante resaltar que la identificación de un ataque de phishing no es tan sencillo; sin embargo, un poco de sentido común puede ayudar en estos casos. Es necesario estar atento y prestar atención si algún mensaje le parece sospechoso, buscar algo inusual y sobre todo no dejarse llevar por el miedo, ya que su sentido común podría verse afectado.
Algunas señales de intento de phishing podrían ser las siguientes:
Para detectarlo es necesario prestar atención a los siguientes detalles en los correos electrónicos incluso en mensajes en redes sociales. Toma en cuenta las siguientes señales las cuales te ayudarán a protegerte y también a tu empresa contra ataques cibernéticos.
- Es importante en este caso reconocer al remitente, si se trata de alguien con quien nunca has tratado. Y si es alguien conocido verifica si es alguien con quien casi no te comunicas, además si el contenido del correo poco o nada tiene que ver con tus responsabilidades laborales.
- Cuando el mensaje tiene un tono alarmista o un sentido de urgencia, instándote a darle clic ahora antes de que se elimine tu cuenta. Recuerda que las organizaciones no solicitan datos personales vía online.
- El mail o mensaje contiene archivos adjuntos extraños, los cuales podrían contener malware o ransonware por ejemplo.
- En el mensaje o correo electrónico hay enlaces extraños. En este caso se recomienda verificar pasando el curso sobre el enlace para ver la URL o escribir directamente la URL en vez de clic en él.
¿Cómo protegerse del phishing?
Entrenamiento de usuarios y mejores prácticas
Es importante que en las organizaciones se desarrollen mejores prácticas para reconocer y tratar un mensaje de texto o correo electrónico sospechoso. Para ello se recomienda seguir estos pasos para el reconocimiento de mails.
- Solicitudes de información personal, actualizaciones de perfil e información de pago.
- Archivos adjuntos que no han sido solicitados por el usuario.
- Mails con contenido que generen sensación de urgencia, sean provenientes de una organización o de un compañero de trabajo.
- Errores ortográficos presentes en el contenido del correo electrónico.
- Dirección del remitente incoherente.
- Enlaces que estén acortados con el uso de herramientas como Bit.Ly por ejemplo.
- Uso de imágenes de texto en lugar de texto.
Tecnologías de seguridad contra el phishing
Aunque se fomenten las mejores prácticas para evitar el phishing es necesario aplicar otras medidas, ya que los usuarios aun teniéndolas en cuenta podrían cometer errores y caer en la trampa de los ciberdelincuentes. Para ello existen diferentes tecnologías que pueden contribuir en la protección contra el phishing:
Estos filtros utilizan dos herramientas contra los correos malintencionados, datos sobre estafas de phishing existentes comúnmente utilizadas y algoritmos de aprendizaje automático, los cuales utilizan IA para recolectar datos y mejorar su capacidad de detección de correos electrónicos a través de patrones nuevos o cambiantes.
El cual detecta y neutraliza el código de archivos maliciosos contenidos en los correos electrónicos de phishing.
El sistema AMF añade una capa extra de protección al proceso de inicio de sesión, la cual va más allá del usuario y contraseña. Este requiere al menos una credencial de inicio de sesión adicional, el cual podría ser un código temporal que es enviado al teléfono móvil del usuario. De esta manera se evitan los ataques de suplantación de identidad, así como el BEC.
Esta herramienta está diseñada para proteger a los usuarios restringiendo el acceso a sitios web potencialmente dañinos. Estos filtros se mantienen en constantes actualizaciones sobre los sitios web que se encuentran en la ‘lista negra’, además de monitorear en tiempo real las páginas a las que los usuarios intentan acceder que son conocidos como sitios peligrosos.
Conclusión
Como hemos visto, en la lucha contra el phishing, un fenómeno cada vez más común en el vasto universo digital, la educación y la implementación de prácticas de seguridad robustas son fundamentalmente necesarias para proteger nuestra información confidencial. La capacidad de reconocer y responder adecuadamente a los intentos de phishing, ya sea a través de correos electrónicos, mensajes de texto, llamadas telefónicas o interacciones en redes sociales, es esencial. En este sentido, la identificación de señales de alerta, como mensajes alarmistas, solicitudes de información personal no solicitadas, y enlaces o archivos adjuntos sospechosos, es crucial para evitar ser víctima de estos engaños.
Mantener la protección es crucial y ahora que conoces qué es el phishing y cómo evitarlo, ingresa en nuestros casos de éxito y entérate cómo en Bambú Mobile hemos ayudado a otras empresas en su camino a evitar el phishing.
