Qué es el phishing, tipos de ataques y cómo evitarlos
¿Qué es el phishing?
Un ataque de phishing es una categoría de ciberataque en la que actores maliciosos envían mensajes haciéndose pasar por una persona o entidad de confianza. Los mensajes de phishing manipulan a los usuarios, haciéndoles realizar acciones como instalar archivos maliciosos, hacer clic en enlaces dañinos o divulgar información sensible como las credenciales de la cuenta. Este mensaje puede enviarse al objetivo a través de correos electrónicos, aplicaciones de mensajería o incluso servicios de SMS.
El phishing es la variante más común de la ingeniería social, que describe los intentos de manipular a usuarios inocentes. La ingeniería social es una amenaza cada vez más común utilizada en casi todos los incidentes de seguridad. Los ataques de ingeniería social, como el phishing, suelen combinarse con otras amenazas, como los ataques a la red y la inyección de malware.
Ahora que tenemos claro el concepto de phishing , vamos a aprender más sobre cómo funciona dicho ataque.
¿Cómo funciona un ataque de phishing?
Un ataque de phishing suele formar parte de una gran campaña, cuyo objetivo es captar el mayor número posible de víctimas. Empezando por su lugar de origen hasta la recuperación exitosa de las credenciales, un ataque de phishing consta de cuatro fases independientes que deben ejecutarse.
Fase 1: Un ciberdelincuente envía un correo electrónico o un mensaje al objetivo, actuando como una fuente reputada. La mayoría de las veces, pide al objetivo que siga un enlace de terceros para una inspección de seguridad o una simple actualización de características.
Fase 2: El objetivo cree que el correo electrónico procede del remitente mencionado, ya sea un banco o una empresa, y sigue el enlace malicioso a una página web falsa diseñada para parecerse lo más posible a un sitio web oficial.
Fase 3: En la página web falsa, se pide al usuario que envíe alguna información privada, como las credenciales de la cuenta de un sitio web específico. Una vez enviados los datos, toda la información se envía al ciberdelincuente que diseñó el sitio web y al correo electrónico malicioso.
Fase 4: Al recibir las credenciales de la cuenta, el ciberdelincuente es libre de utilizarlas iniciando sesión o vendiendo al mejor postor la información consecuente obtenida en Internet.
Después de conocer cómo funciona un ataque de phishing vamos a ver que tipos hay.
¿Qué tipos de ataques de phishing hay?
Existen varios tipos de ataques de phishing:
Phishing vía correo electrónico
En esta categoría, se envía un único correo electrónico de phishing a una gran cantidad de personas, a veces miles, sin mucha investigación previa. El ciberdelincuente espera que un pequeño porcentaje de personas haga clic en el enlace malicioso y divulgue su información privada en el sitio web falso.
Spear Phishing
En algunos casos, los ciberdelincuentes realizan una pequeña investigación para aumentar las posibilidades de éxito en los ataques de phishing. Si se sabe que una persona hace pedidos a la pizzería X con frecuencia, es más probable que el objetivo abra un ataque de phishing que actúe como si viniera de X en lugar de una encuesta o un boletín informativo al azar.
Ataque Whaling
Las personas con poder, como los directores generales y los directores administrativos, suelen ser el objetivo de los ataques de phishing que se planifican y configuran meticulosamente para garantizar un fallo de seguridad. El ciberdelincuente lleva a cabo una amplia investigación para decidir la forma y el momento adecuado para estos ataques.
Pharming
En los ataques de pharming, los ciberdelincuentes compran nombres de dominio adyacentes a sitios web populares como www.gogle.com o www.facebook.com, con la esperanza de que el objetivo escriba una URL de este tipo a toda prisa. Cuando llegan al sitio web, ven una página web idéntica a la original y envían sus credenciales de acceso sin comprobar la dirección.
Smishing y vishing
Son ataques de phishing que se producen a través SMS o vía telefónica respectivamente. El primero suelen ser mensajes instantáneos fraudulentos y el segundo llamadas telefónicas que, con información previamente recogida de internet, se identifican por ejemplo como personal del banco para conseguir los accesos a las cuentas y producirse así el fraude.
Ahora que has aprendido sobre los diferentes tipos de ataques de phishing, te decimos cómo puedes prevenir estos ataques.
¿Cómo prevenir los ataques de phishing?
Autenticidad del correo electrónico
Siempre hay que cotejar el remitente y el contenido de un correo electrónico sensible que solicite información privada. Ya sea del banco o de un sitio web de compras, comprobar la dirección del remitente es el primer paso para protegerse.
Páginas web HTTPS
Los usuarios deben hacer todo lo posible por ceñirse a las páginas web que tienen una certificación HTTPS. No sólo es menos probable que se trate de páginas web de phishing, sino que ejecutar ataques de red en estos sitios web seguros es más difícil de lo habitual.
Evitar las ventanas emergentes
Hay que evitar seguir las ventanas emergentes aleatorias que anuncian juegos o tentadoras recompensas monetarias por hacer clic en ellas. Diseñadas para engañar a los usuarios inocentes, estas ventanas emergentes se utilizan principalmente para inyectar malware en un sistema objetivo o robar credenciales importantes.
Rotación de contraseñas
Hay que cambiar las contraseñas cada cierto tiempo para mantener la máxima seguridad de nuestros datos. Por ejemplo, aunque algún sitio web consiga algunas credenciales en un ataque de phishing, es muy probable que el objetivo ya haya cambiado la contraseña comprometida.
Extensiones antiphishing
Muchas extensiones anti phishing gratuitas, como Netcraft, analiza los correos electrónicos para comprobar si existen vulnerabilidades conocidas que puedan dar lugar a ataques de phishing. El uso de estos complementos facilita el filtrado de la mayoría de los correos electrónicos de phishing sin necesidad de hacer ningún trabajo manual.
Los ataques de phishing son sólo un pequeño porcentaje de los ciberataques que han tomado por asalto Internet en la última década. Desde el ransomware, te recomendamos que leas nuestro post Qué es un ransomware y cómo evitarlo, hasta las campañas de malware, un estudio exhaustivo de la ciberseguridad es esencial para salvaguardar nuestros datos contra estos ciberdelitos.
En Ciberseguridad Global ponemos nuestros expertos a tu servicio para ayudar a gestionar tus amenazas y a combatirlas, no dudes en llamarnos.
