Vishing, smishing y pretexting

Aunque el phishing acapara los titulares, los atacantes utilizan varios canales de comunicación para manipular a las víctimas. El vishing utiliza llamadas de voz, el smishing utiliza mensajes de texto SMS y el pretexting consiste en construir una situación falsa creíble (un pretexto) para justificar por qué la víctima debería cumplir una solicitud. Estos ataques tienen éxito no porque las víctimas sean ignorantes, sino porque explotan instintos humanos fundamentales: la confianza en la autoridad, el deseo de ayudar y la tendencia a seguir instrucciones cuando se está bajo presión.

El vishing (phishing por voz) utiliza llamadas telefónicas para manipular a las víctimas. Entre los pretextos habituales se encuentran hacerse pasar por un agente del IRS que amenaza con detener a la víctima por impuestos impagados, por el departamento de fraude de un banco que advierte sobre transacciones sospechosas, por el servicio de soporte técnico que afirma haber detectado un virus o por una oficina gubernamental de prestaciones que exige una verificación. Los atacantes utilizan la suplantación del identificador de llamadas para mostrar el número de teléfono de una organización legítima. Las campañas de vishing automatizado operan a gran escala y después conectan a las víctimas interesadas con operadores reales. La naturaleza inmediata de las llamadas de voz genera una presión que dificulta el pensamiento crítico.

El smishing (phishing por SMS) distribuye cebos de phishing mediante mensajes de texto. Los mensajes de smishing habituales suplantan a servicios de entrega de paquetes (FedEx, UPS, USPS) mediante falsas notificaciones de seguimiento que contienen enlaces maliciosos, a bancos que advierten sobre cargos sospechosos o a operadores móviles que notifican problemas con la cuenta. Las URL de smishing suelen utilizar acortadores de URL o dominios parecidos a los legítimos. Puede decirse que los usuarios de dispositivos móviles son más vulnerables que los de equipos de escritorio, porque las pantallas pequeñas dificultan la inspección de las URL y los navegadores móviles suelen ocultar la dirección completa. Además, los SMS transmiten una confianza inherente: los usuarios tienden a actuar más rápidamente ante los mensajes de texto que ante los correos electrónicos.

El pretexting consiste en fabricar una situación falsa pero creíble que proporcione contexto a una solicitud de ingeniería social. Sin un pretexto convincente, las solicitudes de información confidencial o de acciones inusuales despertarían inmediatamente sospechas. Un atacante que utilice pretexting podría hacerse pasar por un nuevo contratista de TI que necesita ayuda para acceder a los sistemas, por un auditor que requiere acceso a registros financieros o por un repartidor de un proveedor que necesita que le «abran». El pretexto no tiene que ser elaborado; solo debe ser lo bastante plausible para que el objetivo no se detenga a verificar la situación antes de cumplir la solicitud.

Los principios de influencia de Robert Cialdini explican por qué funciona la ingeniería social. Autoridad: las personas cumplen las órdenes de quienes perciben como figuras de autoridad (CEO, IRS, policía). Urgencia/escasez: la presión temporal impide evaluar la situación detenidamente («Actúe en los próximos 10 minutos»). Prueba social: las personas hacen lo que hacen los demás. Agrado: las personas cumplen las solicitudes de quienes les inspiran confianza o les resultan agradables. Reciprocidad: las personas sienten la obligación de devolver los favores. Compromiso: una vez que adquieren un pequeño compromiso, las personas tienden a asumir otros mayores. Comprender estos principios ayuda a los formadores en concienciación sobre seguridad a elaborar mensajes de respuesta más eficaces.

La tecnología VoIP moderna hace que la suplantación del identificador de llamadas sea trivial. Servicios como SpoofCard, Twilio y diversas API de VoIP permiten a cualquiera establecer el identificador de llamadas mostrado como cualquier número antes de realizar una llamada. Los atacantes suplantan habitualmente líneas de atención al cliente de bancos, números de organismos gubernamentales o el propio número de la víctima (suplantación de números vecinos). El marco STIR/SHAKEN (Secure Telephony Identity Revisited / Signature-based Handling of Asserted information using toKENs) fue impuesto en EE. UU. para autenticar criptográficamente el identificador de llamadas, pero su adopción aún es incompleta. No confíe nunca únicamente en el identificador de llamadas para verificar la identidad.

El personal de soporte es un objetivo principal del vishing porque su trabajo consiste en ayudar a los usuarios, lo que crea una tensión natural con los procedimientos de seguridad. Un ataque típico consiste en que el atacante llame haciéndose pasar por un empleado sénior que necesita restablecer urgentemente su cuenta porque está bloqueado antes de una reunión importante. La combinación de autoridad y urgencia puede hacer que un agente de soporte bien intencionado omita los pasos de verificación. El conocido ataque de Twitter de 2020 comenzó con ataques de vishing contra empleados de Twitter que permitieron acceder a herramientas internas. Los servicios de soporte necesitan procedimientos estrictos de verificación de identidad que no puedan omitirse, independientemente de la urgencia.

Un ataque de SIM swap combina vishing e ingeniería social contra el servicio de atención al cliente de un operador móvil. El atacante llama al operador haciéndose pasar por la víctima, responde a preguntas de verificación de identidad (utilizando información obtenida de filtraciones de datos o redes sociales) y convence al agente para transferir el número de teléfono de la víctima a una tarjeta SIM controlada por el atacante. Una vez secuestrado el número, todos los códigos de MFA enviados por SMS llegan al atacante, lo que permite tomar el control de cuentas de correo electrónico, bancarias y de criptomonedas. El SIM swapping se ha utilizado para robar millones en criptomonedas.

La detección de ataques de ingeniería social requiere combinar los informes de los empleados con los registros técnicos. Todos los empleados deben saber cómo informar de una llamada o un mensaje sospechoso; lo ideal es disponer de un botón de un solo clic en el correo electrónico o de un alias de correo específico (phishing@company.com). Entre los indicadores técnicos se incluyen registros de llamadas que muestran llamadas entrantes desde números falsificados, alertas del SIEM sobre restablecimientos de contraseñas del servicio de soporte precedidos por llamadas entrantes y cambios en el acceso a cuentas fuera del horario laboral. Después de un incidente, los registros telefónicos y de SMS son artefactos forenses clave, junto con los registros de correo electrónico y los eventos de autenticación.

La defensa contra el pretexting requiere establecer procedimientos de verificación que los empleados sigan de forma coherente, independientemente de la presión que sientan. Entre las políticas clave se incluyen: verificar siempre la identidad mediante un canal independiente y establecido antes de atender solicitudes inusuales; establecer un sistema de palabras clave para las comunicaciones de los ejecutivos; formar a los empleados para que sepan que las figuras de autoridad de la organización no se ofenderán si se les solicita una verificación; y crear una cultura positiva hacia la seguridad en la que se recompense el cumplimiento de los procedimientos, aunque cause pequeñas molestias. Las pruebas de ingeniería social no anunciadas permiten medir si la formación es eficaz en la práctica.

Para el examen Security+, debe distinguir claramente entre los canales de phishing. El phishing se realiza por correo electrónico. El vishing se realiza mediante voz o teléfono. El smishing se realiza mediante mensajes de texto SMS. El pharming redirige el DNS sin requerir un clic. Todos comparten el mismo objetivo: manipular a la víctima para que revele credenciales, transfiera dinero o instale malware, pero el mecanismo de distribución y las medidas de protección son diferentes. El correo electrónico cuenta con defensas técnicas (SPF/DKIM/DMARC/sandboxing); la voz y los SMS tienen muchos menos controles técnicos, por lo que la formación de los usuarios es aún más importante en esos canales.

Compruebe sus conocimientos sobre los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que el vishing utiliza llamadas telefónicas y la suplantación del identificador de llamadas para hacerse pasar por figuras de autoridad y obtener credenciales o conseguir que se realicen determinadas acciones; el smishing distribuye cebos de phishing mediante SMS, donde los usuarios móviles pueden ver las URL con menor claridad; y el pretexting crea situaciones falsas creíbles que justifican solicitudes inusuales. Estos ataques se combaten con procedimientos estrictos de verificación de identidad, confirmación por un canal alternativo y formación de los empleados. A continuación, exploraremos la ingeniería social física mediante tailgating y baiting.