Phishing y spear phishing

El phishing es un ataque de ingeniería social que utiliza correos electrónicos, mensajes o sitios web engañosos para inducir a las víctimas a revelar credenciales, instalar malware o transferir dinero.

Es el vector de acceso inicial más común en las filtraciones de datos a nivel mundial.

Los correos de phishing eficaces incluyen:

• Una dirección del remitente suplantada o parecida a la legítima
• Urgencia ("Su cuenta se suspenderá")
• Un enlace malicioso que apunta a un sitio para capturar credenciales
• La imagen de marca y los logotipos de organizaciones de confianza
• Solicitudes que llevan a saltarse las comprobaciones de seguridad habituales

Variantes del phishing:

• Email phishing — campañas masivas dirigidas a muchas víctimas
• Spear phishing — dirigido a personas específicas con contenido personalizado
• Whaling — tiene como objetivo a directivos (CEO y CFO)
• Vishing — phishing de voz mediante llamadas telefónicas
• Smishing — phishing mediante SMS

El spear phishing utiliza información investigada sobre la víctima para aumentar la credibilidad. Los atacantes recopilan información de LinkedIn, sitios web corporativos y redes sociales para crear mensajes personalizados que hacen referencia a compañeros, proyectos o eventos reales.

El BEC es una variante sofisticada del spear phishing en la que los atacantes suplantan a directivos para autorizar transferencias bancarias fraudulentas o revelar datos confidenciales. Los ataques BEC han costado a las organizaciones miles de millones de dólares en todo el mundo.

Los atacantes utilizan:

• Dominios parecidos a los legítimos (por ejemplo, paypa1.com, microsoft-verify.net)
• Servidores legítimos comprometidos para eludir los filtros de reputación
• Acortadores de URL y redirecciones para ocultar los destinos finales
• Kits de captura de credenciales que clonan páginas de inicio de sesión

Señales de advertencia en los correos electrónicos:

• La dirección del remitente no coincide con el nombre mostrado
• Urgencia inesperada o solicitudes inusuales
• Pase el cursor sobre los enlaces: el destino no coincide con el texto mostrado
• Saludos genéricos ("Estimado cliente")
• Solicitudes de credenciales, pagos o datos confidenciales

Mecanismos contra la suplantación:

• SPF — autoriza qué servidores pueden enviar correo electrónico en nombre de un dominio
• DKIM — firma criptográficamente los correos electrónicos del dominio
• DMARC — define qué hacer cuando SPF/DKIM fallan (poner en cuarentena/rechazar)

Las organizaciones sin DMARC pueden ser suplantadas fácilmente.

Las organizaciones realizan simulaciones de phishing para comprobar la concienciación de los empleados y enseñar a los usuarios a detectar ataques. Los empleados que hacen clic en enlaces de phishing simulados reciben formación adicional. Los programas de simulación reducen de forma medible las tasas de clics con el tiempo.

Cuando se notifica un correo electrónico de phishing:

1. Bloquear el remitente y la URL en todos los buzones
2. Identificar a todos los destinatarios
3. Comprobar si alguien hizo clic o envió sus credenciales
4. Restablecer inmediatamente las cuentas comprometidas
5. Conservar los encabezados del correo electrónico para la investigación

Capas de defensa:

• Filtrado de la pasarela de correo electrónico (analiza los adjuntos en un sandbox)
• Comprobación de la reputación de DNS
• Filtrado de URL en el navegador y páginas de advertencia
• MFA — limita los daños incluso si roban las credenciales
• MFA resistente al phishing (FIDO2/claves de hardware)

El phishing es el vector de ataque más común y utiliza mensajes engañosos para robar credenciales o instalar malware. El spear phishing utiliza información investigada para personalizar los ataques. SPF, DKIM y DMARC combaten la suplantación del correo electrónico. La MFA y las credenciales resistentes al phishing (FIDO2) limitan los daños incluso cuando el phishing tiene éxito.