El phishing es un ataque cibernético bastante común que presenta una amplia gama de riesgos, solamente en el año 2020, el 75 % de las empresas y organizaciones con presencia en la web experimentaron ataques phishing y, acorde al informe de ESET, los ataques vía correos electrónicos aumentaron un 7,3 % entre mayo y agosto del 2021.
Los ataques phishing son considerados tácticas de ingeniería social para robar datos confidenciales a objetivos específicos, tales como credenciales de inicio de sesión, datos personales y números de tarjetas de crédito.
Por ejemplo, los piratas informáticos pueden hacerse pasar por una entidad legítima y usar sitios web fraudulentos para engañar a los usuarios y hacer que estos revelen su información personal.
Se vuelve así, un aspecto crucial la práctica de conciencia de seguridad para poder minimizar los riesgos de ser víctima de ataques phishing; a continuación, vamos a explorar 12 tipos de ataques de phishing y compartiremos algunos consejos útiles para identificarlos y prevenirlos.
1. Suplantación de identidad por correo electrónico
El phishing por correo electrónico es uno de los ciberataques más populares que existen, mediante el cual los atacantes intentan extraer información confidencial de sus víctimas usando mensajes de correo. Dichos mensajes suelen contener enlaces maliciosos que redirigen a los usuarios a páginas web que contienen phishing; los atacantes también pueden adjuntar archivos maliciosos que contenga malware.
Existen varios indicadores para identificar correos phishing:
- Solicitan información personal: una empresa o institución legítima no solicita información personal de sus usuarios por correo electrónico.
- Usa un dominio de correo no oficial: una organización de confianza tiene un dominio de correo oficial que coincide con el nombre de la organización, de igual forma es necesario estar atento ya que los piratas informáticos pueden usar un dominio de público que sea similar al dominio de correo oficial.
- Incluye enlaces maliciosos: el mensaje puede incluir un enlace con una URL similar a la dirección del sitio web de una organización legítima.
2. Smishing
El phishing de smishing o servicio de mensajes de texto (SMS) es similar a un correo de phishing, con l única diferencia que el atacante usa mensajes de texto para engañar a los usuarios y hacer que estos interactúen con enlaces específicos o realicen una llamada telefónica.
Puede identificar el smishing a través de las siguientes señales:
- Número telefónico sin identificación: los atacantes usan números de teléfono no registrados o de origen desconocido para enviar los mensajes a sus víctimas.
- Solicitud de datos personales: el atacante intenta convencer al usuario a que revele información confidencial.
- Enlace o código no solicitado: Este tipo de mensaje de texto incluye código malicioso o enlaces desconocidos.
3. Spear phishing
El spear phishing usa se vale de los correos electrónicos para obtener información confidencial de forma directa de un individuo u organización en particular; los ataques de spear phishing son más avanzado que las estafas de phishing regulares, ya que el delincuente informático investiga el objetivo antes de iniciar el ataque.
Hay varios indicadores para ayudar a los usuarios a reconocer ataques spear phishing:
- Archivos adjuntos y enlaces maliciosos: los correos contienen archivos adjuntos no solicitados por el usuario o enlaces que redirigen a sitios web maliciosos.
- Formato de correo sospechoso: el formato del mensaje de correo no coincide con mensajes previos enviados por una organización oficial; por ejemplo, usa frases inusuales o apela al sentido de urgencia.
- Solicitud inusual de información confidencial: el remitente solicita enérgicamente a su objetivo que responda ofreciendo detalles para el inicio de sesión u otro tipo de información confidencial.
4. Pharming
Pharming es una palabra compuesta de los términos “phishing” y “farming,” es un ataque phishing que involucra código malicioso o sitios web falsos, generalmente el pharming explota la navegación en línea de sus víctimas corrompiendo el sistema de nombres de dominio (DNS), ya que el atacante envenena el DNS y lo modifica para que los usuarios visiten sitios web maliciosos en lugar de los legítimos sin saberlo.
Estos son tres señales para identificar un ataque pharming:
- Tu navegador web te redirige a un sitio web falso: tus enlaces con páginas web legítimas son redirigidas a una página phishing.
- El sitio web no usa una conexión encriptada: en lugar de usar HTTPS, el sitio falso usa HTTP.
- El sitio web contiene elementos sospechosos: El sitio web que regularmente visitas de súbito luce distinto, puedes notar errores ortográficos, contenido inusual, colores y fuentes distintas a las usuales, etc.
5. Vishing
El vishing o phishing de voz es una estafa que se vale de llamadas telefónicas para engañar a sus víctimas para que compartan su información personal. Los piratas informáticos se valen de múltiples enfoques para llevar a cabo sus fechorías, tales como advertir a los usuarios que su cuenta se ha visto comprometida o anunciarle al usuario que ha ganado un tipo de recompensa o lotería.
Los usuarios pueden identificar un ataque de vishing prestando atención a los siguientes indicadores:
- La persona que llama afirma ser de una entidad legítima: se hace pasar por un representante de instituciones legítimas, tales como bancos, empresas o agencias gubernamentales.
- El atacante solicita información personal: este procede a pedirle a las víctimas que confirmen su identidad, solicitando datos tales como nombre completo, fecha de nacimiento, etc., para hacerle creer a la víctima que la persona que le está contactando es de una organización de confianza.
- El número de teléfono de contacto tiene un código de área no identificado: el número de la persona que llama no es reconocible o tiene un código de otro país.
6. Angler Phishing
El angler phishing es una nueva modalidad de estafa dirigida a los usuarios de las redes sociales, mediante la cual los atacantes se disfrazan como agentes de servicio al cliente de una plataforma de redes y así obtener credenciales de sus objetivos.
Los siguientes consejos pueden ayudar a identificar el angler phishing:
- Comprueba si la cuenta está verificada: Una cuenta verificada en una plataforma de redes tales como Instagram, tienen un pequeño ícono que denota verificación de la cuenta.
- Ten cuidado con enlaces abreviados: si la cuenta que le contacta envía mensajes con enlaces abreviados, es mejor verificar si el enlace es válido, de lo contrario, es mejor no abrirlo.
- Comunícate con el equipo de atención al cliente: si te consigues en una situación de este tipo es mejor notificarle al equipo de soporte legítimo de la plataforma para que estos investiguen.
7. Suplantación de identidad HTTPS
En los ataques phishing HTTPS, los piratas informáticos usan un correo electrónico para enviar un enlace que redirige a los usuarios a una página web falsa; en dicho mensaje los atacantes convencen a los usuarios de que dicho sitio es oficial y seguro, ya que las víctimas pueden reconocer que el enlace usa HTTPS.
Los siguientes dos indicadores pueden ser útiles para identificar el phishing HTTPS:
- Revisa los hipervínculos: el atacante utiliza un hipervínculo para ocultar la URL original, por lo que es mejor examinar la URL completa pasando el cursor sobre el enlace que se te ofrece.
- Revisa el dominio de correo electrónico del remitente: una breve verificación del dominio de correo que envía el mensaje puede ser más que suficiente para notar si el remitente es una entidad legítima o no.
8. Fraude CEO
Un ataque de fraude CEO o Business Email Compromise (BEC) tiene como objetivo a los empleados de una compañía, ya que el atacante se hace pasar por el CEO o los ejecutivos de alto nivel de la empresa; el propósito de dicho ataque es el robo de información confidencial, tales como documentos de declaraciones de impuestos, información de nómina, o información de cuentas bancarias.
Existen múltiples indicadores para identificar este tipo de ataque:
- Cualquier solicitud para compartir información confidencial: los atacantes solicitan a sus víctimas divulgar información confidencial al responder un mensaje de correo o haciendo clic en un enlace malicioso.
- Apelar a la sensación de urgencia: el tono del mensaje de correo suena contundente, y le pide al objetivo que actúe con rapidez; en ocasiones, los atacantes hacen amenazas puntuales si la solicitud no se cumple de manera inmediata.
- La dirección de correo no coincide: la dirección de correo usada por el atacante no coincide con la dirección legítima usada para la comunicación del directivo o ejecutivo.
9. Phishing de clonación
Un ataque de clonación phishing usa y copia correos de empresas o proveedores de servicios oficiales en un esfuerzo por robar información personal de los usuarios; bajo esta modalidad los atacantes modifican los correos reemplazando o agregando enlaces que redirigen a sitios que consuman el phishing.
Dado que el phishing clonado es similar a los correos phishing regulares, aquí hay varias formas de identificar este tipo de ataque:
- Verifica la dirección de correo del remitente: asegúrate que el dominio del correo del remitente coincida con la dirección de correo legítima.
- Pasa el cursor sobre el enlace en el mensaje de correo: asegúrate que la URL coincida exactamente con la URL del sitio oficial que te piden visitar.
- Compara el formato del mensaje de correo: el formato del correo debería ser el mismo que usa la empresa o proveedor de servicios normalmente.
10. Pop-Up phishing
El phishing pop-up o emergente es aquel que infecta sitios web con código malicioso que genera una serie de mensajes emergentes cada vez que los usuarios la visitan, estos mensajes redirigen a los usuarios a sitios web phishing si hacen clic en este tipo de ventanas emergentes. Por ejemplo, una ventana emergente puede advertir a los usuarios sobre un problema de seguridad y solicitar que descarguen una herramienta que permite solucionar el problema.
El phishing emergente puede ser identificado fácilmente al examinar cuidadosamente los siguientes signos:
- El enlace contiene una URL desconocida: revisa el enlace y comprueba el formato largo de la URL, ya que los enlaces maliciosos suelen contener nombres de dominio inusuales.
- El mensaje emergente pide tomar medidas: por ejemplo, pide a los usuarios que hagan clic en un botón o enlace determinado.
11. Phishing de gemelo malvado
El phishing de gemelos malvado es similar a un hackeo general en el cual el atacante usa una red Wi-Fi falsa y se hace pasar por un punto de acceso confiable; esta modalidad de phishing ocurre con más frecuencia en áreas públicas, donde las empresas ofrecen un punto de acceso Wi-Fi gratuito a los visitantes.
Hay varias señales para reconocer este tipo de ataque:
- La red aparece como una conexión “no segura»: los usuarios reciben notificación de que la red no es segura.
- Redirige a los usuarios a una página de inicio de sesión sospechosa: una vez conectado a la red fraudulenta, al ingresar a la red los usuarios son redirigidos automáticamente a una página falsa que solicita datos de inicio de sesión.
12. Phishing de watering hole o abrevadero
El phishing de watering hole o abrevadero se dirige a una organización específica y busca infectar sitios web de alto tráfico entre los empleados para hacerles caer en un sitio malicioso; el propósito es obtener acceso remoto a la red de la organización y robar información confidencial, tales como archivos financieros o credenciales de inicio de sesión.
Si un ataque abrevadero compromete un sitio web, hay varios indicadores:
- El navegador web redirige a los usuarios a un sitio sospechoso: los usuarios son dirigidos a una página web diferente cuando hacen clic en los enlaces de la página web visitada.
- El sitio web solicita a los usuarios que descarguen archivos desconocidos: si alguien interactúa con estos el archivo instala malware en el sistema operativo del usuario, lo cual permite que el atacante obtenga acceso remoto.
Conclusión
El resumen general que podemos ofrecer es que los ataques phishing son engañosos y pueden pasar por alto fácilmente; es fácil para un usuario desprevenido, caer en estafas de phishing y así poner en riesgo su empresa u organización con la pérdida de información valiosa, tales como detalles personales y financieros.
Puede ser difícil detectar una estafa phishing inmediatamente, pero puedes evitar este tipo de ataques examinando cuidadosamente los indicadores para cada tipo de ataque de phishing.
Este artículo cubrió 12 tipos de ataques de phishing y varios consejos para reconocerlos. ¡Recuerda la importancia de mantenerte alerta!