Puestos

¿Sabe qué es el spear phishing? Puede que lo sepa si ha utilizado Internet. El método de ataque más común entre las diversas estafas de phishing es el spear phishing, que sigue siendo utilizado por 65% de todos los actores de amenazas conocidos. Por desgracia, las estrategias antiphishing de la mayoría de las empresas suelen tener un punto débil en su plantilla.

¿No sabe qué es el spear phishing? ¡Estás en el lugar correcto!

El spear phishing es un ataque dirigido a una persona u organización. Este método utiliza un correo electrónico para persuadir al destinatario de que revele información confidencial. Parece que un correo electrónico proviene de una fuente de confianza, como alguien que la víctima conoce y en quien confía.

En un ataque de spear phishing, los delincuentes utilizan técnicas de ingeniería social para llevar a cabo sus ataques. Recogen información sobre la empresa y sus empleados para crear un correo electrónico que parezca auténtico. Los ciberdelincuentes pueden utilizar datos confidenciales de los empleados procedentes de infracciones anteriores para personalizar sus mensajes con mayor eficacia.

El spear phishing puede utilizarse para la suplantación de identidad o el fraude y para el robo de propiedad intelectual y otros datos sensibles.

¿Cómo funciona un ataque de Spear Phishing?

Los ataques de spear phishing pueden llevarse a cabo de diversas maneras. Las técnicas típicas incluyen:

  • Un phisher selectivo envía un correo electrónico al objetivo. Al destinatario del correo electrónico se le puede pedir que acceda a enlaces o archivos adjuntos maliciosos, que infectarán su máquina con malware o pedirán un rescate.
  • Un spear phisher pide acceso a cuentas de redes sociales o a nombres de usuario y contraseñas mientras se hace pasar por un amigo, un compañero de trabajo, un supervisor u otra persona de confianza para recopilar la información que utilizará para exfiltrar datos en otro lugar.
  • Un spear phisher envía a la víctima un correo electrónico que enlaza con un sitio web falso en el que se pide al objetivo que introduzca datos personales o sensibles, como PIN, credenciales de acceso o códigos de acceso.

Los ataques de spear phishing son más difíciles que los tradicionales porque requieren más tiempo y esfuerzo por parte del atacante. Sin embargo, también son más eficaces porque están personalizados y dirigidos directamente a alguien dentro de una organización (o a veces incluso a un individuo).

La creciente amenaza de los ataques de spear phishing

Debido a las dificultades para detectar el spear phishing, la prevalencia de las fuerzas de trabajo remotas y la laxitud de la seguridad técnica, se ha convertido en el arma preferida de los ciberdelincuentes de todo el mundo.

Según datos recientes, el spear phishing se está convirtiendo en un peligro cada vez más grave para las personas y las empresas.

Según una encuesta realizada entre agosto y octubre de 2020el 87% de los intentos de spear-phishing en todo el mundo tuvieron lugar en días laborables, normalmente durante la semana laboral. Los ataques en sábados y domingos representaron solo el 13% de todos los ataques.

Un asalto de spear-phishing puede consistir en un correo electrónico que parece provenir del banco de la víctima o de una empresa de confianza como Amazon para el incauto. El mensaje puede parecer un aviso de envío o una solicitud de confirmación de una transacción, que seduce al lector para que haga clic en un enlace dañino o proporcione datos personales sensibles.

Los ciberdelincuentes también atacan a las empresas de esta manera, eligiendo con frecuencia a unos pocos empleados de una corporación concreta. Estos consumidores pueden recibir un correo electrónico convincente en el que se les ordena que envíen dinero, proporcionen una contraseña o divulguen información sensible de la empresa, haciéndose pasar por su jefe u otro ejecutivo de la compañía.

Un correo electrónico de spear-phishing suele transmitir una sensación de urgencia en ambas situaciones. Significa que las víctimas tienen la idea de que sufrirán las repercusiones más graves si no se toman medidas rápidas.

¿Qué ayuda a protegerse del Spear Phishing?

Autentique sus correos electrónicos con DMARC

Un estándar universal para la autentificación del correo electrónico es DMARC. Permite a los remitentes confirmar que el correo electrónico procede de la persona de la que dice proceder. Esto ayuda a reducir el spam y los intentos de spear phishing, dos de los ciberdelitos más comunes en la actualidad. En los últimos años, DMARC se ha desplegado y sus ventajas han sido alabadas por Gmail, Yahoo y otros muchos grandes proveedores de correo electrónico.

¿Cómo detiene DMARC el spear phishing?

A política DMARC de p=reject puede ser una herramienta útil en la lucha contra una variedad de amenazas en línea, como el phishing de correo electrónico y la suplantación de dominio directa.

DMARC ayuda a verificar el origen del correo electrónico y evita la recepción y apertura de correos electrónicos falsos. Pero en la práctica, solo un pequeño porcentaje de empresas ha seguido el protocolo, y aún menos lo han hecho con éxito.

Para que la implementación y la supervisión sean sencillas para los propietarios de dominios, la práctica recomendada es configurar un Analizador DMARC. Éste le ayuda a obtener una visión completa de sus canales de correo electrónico, una de las principales ventajas de DMARC. Antes, las empresas sólo podían enterarse de los ataques de phishing cuando ya se habían producido. DMARC permite prevenir los ataques antes de que se produzcan gracias a la verificación y supervisión constantes de la fuente. Los clientes pueden ser alertados de estos ataques gracias a informes DMARC.

Además, al añadir el logotipo distintivo de su marca a los correos electrónicos salientes separados que se envían a sus clientes mientras está en p=reject, puede aprovecharse de BIMI de identificación visual.

Mantenga actualizados todos sus programas informáticos

La mejor manera de protegerse contra el software malicioso (malware) es instalar las últimas actualizaciones de seguridad para su sistema operativo y aplicaciones. Los parches de seguridad corregirán cualquier fallo de seguridad conocido en el software, por lo que debes estar al día con ellos.

Eduque a sus empleados sobre el Spear Phishing

La formación de sus empleados para identificar y evitar los ataques de spear phishing es fundamental para evitar que alguien sea víctima de uno. Por ejemplo, enseñarles qué aspecto tiene un correo electrónico legítimo frente a uno ilegítimo puede ayudarles a detectar posibles señales de alarma. También debe enseñarles cómo informar de correos electrónicos o llamadas telefónicas sospechosas para que sepan qué medidas tomar si sospechan que algo no va bien.

Minimizar el uso de contraseñas

Las contraseñas se utilizan a menudo en la fase de ataque inicial de una campaña de spear phishing, por lo que es importante minimizar su uso en la medida de lo posible. Para ello, se puede utilizar la autenticación multifactor o restringir el acceso en función del tipo de dispositivo o la ubicación.

Crear una cultura centrada en la seguridad

La seguridad debe estar arraigada en la rutina diaria de cada empleado si se espera frustrar los intentos de los phishers de acceder a datos o recursos sensibles. Hay que animar a los empleados a que informen de los correos electrónicos sospechosos y a que pregunten por cualquier solicitud inusual de información procedente de terceros. Cuantas más personas conozcan las señales a las que hay que prestar atención, mejor podrá evitar su organización.

Conclusión

Ahora ya sabe qué es el spear phishing, cómo funciona y las medidas preventivas que puede tomar para evitarlo. En pocas palabras, el spear phishing es un phishing a medida. Es un intento cuidadosamente elaborado de engañarle para que facilite información. Lo que lo hace aún más peligroso es que parece provenir de alguien que usted conoce y en quien confía, y no de un spammer cualquiera.

La mejor manera de evitar ser víctima de este tipo de ciberataque es estar atento a cualquier mensaje que parezca sospechoso. Verifica siempre al emisor antes de compartir algo confidencial o personal con él. Además, autentique sus correos electrónicos con herramientas como DMARC.

Los profesionales del marketing son los diseñadores de la imagen de marca, por lo que deben conocer estos 5 famosos términos de Phishing, que pueden causar estragos en la reputación de una empresa. El phishing es un tipo de vector de ataque que implica un sitio web o un correo electrónico que parece provenir de una organización de buena reputación, pero que en realidad se crea con la intención de recopilar información sensible como nombres de usuario, contraseñas y detalles de tarjetas de crédito (también conocidos como Card Data). Los ataques de phishing son comunes en el mundo online.

Cuando su empresa es víctima de un ataque de phishing, puede causar daños a la marca e interferir en su clasificación en los motores de búsqueda o en la tasa de conversión. Debería ser una prioridad para los profesionales del marketing protegerse contra los ataques de phishing porque son un reflejo directo de la consistencia de su empresa. Por lo tanto, como vendedores, debemos proceder con extrema precaución cuando se trata de estafas de phishing.

Las estafas de phishing existen desde hace muchos años. No te preocupes si no te has enterado antes, no es culpa tuya. Algunos dicen que la ciberestafa nació hace 10 años, pero el phishing se convirtió oficialmente en un delito en 2004. Como las técnicas de phishing siguen evolucionando, encontrarse con un nuevo correo electrónico de phishing puede resultar rápidamente confuso, y a veces es difícil saber si el mensaje es legítimo o no. Puede protegerse mejor a sí mismo y a su organización estando atento a estas cinco técnicas comunes de phishing.

5 términos comunes de phishing que debe conocer

1) Suplantación de identidad por correo electrónico 

Los correos electrónicos de phishing suelen enviarse de forma masiva desde un dominio que imita a uno legítimo. Una empresa puede tener la dirección de correo electrónico [email protected], pero una empresa de phishing puede utilizar [email protected] El objetivo es engañarle para que haga clic en un enlace malicioso o comparta información sensible, haciéndose pasar por una empresa real con la que hace negocios. Un dominio falso a menudo implica la sustitución de caracteres, como el uso de "r" y "n" uno al lado del otro para crear "rn" en lugar de "m".

Los ataques de phishing evolucionan constantemente y son cada vez más indetectables. Los actores de la amenaza están utilizando tácticas de ingeniería social para suplantar dominios y enviar correos electrónicos fraudulentos desde un dominio legítimo, con fines maliciosos.

2) Spear Phishing 

Un ataque de spear phishing es una nueva forma de ciberataque que utiliza información falsa para acceder a cuentas que tienen un nivel de seguridad más alto. Los atacantes profesionales tienen como objetivo comprometer a una sola víctima, y para llevar a cabo esta idea, investigan el perfil social de la empresa y los nombres y funciones de los empleados dentro de la misma. A diferencia del phishing, el Spear phishing es una campaña dirigida contra una organización o individuo. Estas campañas son cuidadosamente construidas por los actores de la amenaza con el único propósito de dirigirse a una persona o personas específicas para obtener acceso a una organización.

3) La caza de ballenas

El whaling es una técnica muy selectiva que puede comprometer los correos electrónicos de asociados de alto nivel. El objetivo, que es similar a otros métodos de phishing, es engañar a los empleados para que hagan clic en un enlace malicioso. Uno de los ataques de correo electrónico más devastadores que pasan por las redes corporativas es la estafa de whaling. Estos intentos de lucro personal utilizan el poder de persuasión para disminuir la resistencia de las víctimas, engañándolas para que entreguen los fondos de la empresa. El whaling también se conoce como fraude del director general, ya que los atacantes suelen hacerse pasar por personas con cargos de autoridad, como el director general de una empresa.

4) Compromiso del correo electrónico empresarial 

El Business Email Compromise (BEC) es una forma de ciberdelincuencia que puede ser extremadamente costosa para las empresas. Este tipo de ciberataque utiliza el fraude por correo electrónico para influir en los dominios de las organizaciones para que participen en actividades fraudulentas que resultan en el compromiso y el robo de datos sensibles. Los ejemplos de BEC pueden incluir estafas de facturas, suplantación de dominios y otras formas de ataques de suplantación de identidad. Cada año una organización media puede perder hasta 70 millones de dólares por estafas BEC, conozca más sobre las estadísticas de ataques BEC de 2020. En un ataque típico, los estafadores se dirigen a funciones específicas de los empleados dentro de una organización enviando una serie de correos electrónicos fraudulentos que dicen provenir de un colega de alto nivel, un cliente o un socio comercial. Pueden instruir a los destinatarios para que realicen pagos o divulguen datos confidenciales.

5) Phishing de pescadores 

Muchas empresas tienen miles de clientes y reciben cientos de quejas a diario. Gracias a las redes sociales, las empresas pueden escapar de sus limitaciones y llegar a sus clientes. Esto permite a una empresa ser flexible y ajustarse a las demandas de sus clientes. El angler phishing es el acto de llegar a los clientes descontentos a través de las redes sociales y fingir ser parte de una empresa. La estafa del angler phishing es una táctica sencilla que se utiliza para engañar a los usuarios ocasionales de las redes sociales, haciéndoles creer que una empresa está tratando de solucionar sus problemas cuando, en realidad, la persona que está al otro lado se está aprovechando de ellos.

Cómo proteger a su organización de la suplantación de identidad y el fraude por correo electrónico

Su proveedor de servicios de correo electrónico puede venir con paquetes de seguridad integrados como parte de su servicio. Sin embargo, estos actúan como filtros de spam que ofrecen protección contra los intentos de phishing entrantes. Sin embargo, cuando los estafadores envían un correo electrónico utilizando su nombre de dominio a las bandejas de entrada de los destinatarios, como en el caso de BEC, whaling y otras formas de ataques de suplantación de identidad enumeradas anteriormente, no servirán de nada. Por ello, es necesario aprovechar las soluciones de autenticación de correo electrónico, como DMARC, de inmediato y pasar a una política de aplicación.

  • DMARC autentifica sus correos electrónicos alineándolos con los estándares de autenticación SPF y DKIM.
  • Especifica a los servidores receptores cómo deben responder a los correos electrónicos que no superan las comprobaciones de autenticación.
  • Los informes agregados de DMARC (RUA) le proporcionan una mayor visibilidad de su ecosistema de correo electrónico y de los resultados de autenticación y le ayudan a supervisar sus dominios fácilmente.
  • Los informes forenses de DMARC (RUF) le ofrecen un análisis en profundidad de los resultados de los fallos de DMARC, lo que le ayuda a responder más rápidamente a los ataques de suplantación de identidad.

¿Cómo puede ayudar PowerDMARC a su marca?

PowerDMARC es más que su proveedor de servicios DMARC, es una plataforma SaaS multi-tenant que proporciona una amplia gama de soluciones de autenticación y programas DMARC MSSP. Hacemos que la autenticación del correo electrónico sea fácil y accesible para todas las organizaciones, desde las pequeñas empresas hasta las multinacionales.

  • Le ayudamos a pasar de p=none a p=reject en un abrir y cerrar de ojos, para proteger su marca de ataques de suplantación de identidad, spoofing de dominios y phishing.
  • Le ayudamos a configurar fácilmente los informes DMARC para su con gráficos y tablas completos y vistas de informes RUA en 6 formatos diferentes para facilitar su uso y ampliar su visibilidad
  • Nos preocupamos por su privacidad, por lo que puede cifrar sus informes DMARC RUF con su clave privada
  • Le ayudamos a generar informes programados en PDF sobre los resultados de la autenticación
  • Proporcionamos una solución de aplanamiento de SPF dinámico como PowerSPF para que nunca supere el límite de 10 búsquedas de DNS
  • Le ayudamos a que el cifrado TLS sea obligatorio en SMTP, con MTA-STS para proteger su dominio de los ataques de vigilancia generalizados
  • Le ayudamos a que su marca sea visualmente identificable en las bandejas de entrada de los destinatarios con BIMI

Regístrese en PowerDMARC hoy mismo para obtener una prueba gratuita de la herramienta de análisis DMARC y pase de una política de supervisión a una de ejecución para proporcionar a su dominio la máxima protección contra los ataques BEC, phishing y spoofing.