¡Pide presupuesto en 2 min! ✓
CiberseguridadInternet

Técnicas de Phishing

7 Mins read

El phishing es una técnica que lleva a cabo un delincuente con el fin de robar información privada a través de un correo electrónico haciéndose pasar por una entidad o empresa.

Por lo general, estos correos tienen algún enlace que nos envía a una página falsa en la que si introducimos nuestros datos quedarán en manos del estafador.

Normalmente cuando hablamos de phishing se suele relacionar con correo electrónico, pero cada vez más aparecen mensajes que redirigen a una web falsa mediante mensajes de servicios de mensajería instantánea, mensajes en redes sociales o a través de sms.

Los mensajes suplantadores tienen todo tipo de argumentos para conseguir que proporcionemos nuestros datos. Los temas más frecuentes son problemas de carácter técnico, falsas ofertas de empleo, promoción de nuevos productos o la desactivación de algún servicio. Además se suele obligar a la víctima a tomar la decisión en el momento amenazando con multas económicas.

Uno de los servicios más utilizados para el phishing son los bancos y cajas. En los mensajes suelen avisar con cambios de la normativa del banco o bloqueos de la cuenta por motivos de seguridad. El objetivo será conseguir el PIN de nuestra tarjeta o números de tarjetas de crédito.

Los juegos online también son objetivos de los delincuentes. Nos harán llegar un correo diciendo que existen problemas con nuestra cuenta de usuario para que así demos los datos de está cuenta.

Mediante oferta de puestos de trabajo falsos también se intentan robar datos para utilizarlos con fines fraudulentos.

Vamos a analizar las principales técnicas de phishing y cómo proteger nuestra empresa de ellas.

Técnicas de phishing

Existen varias técnicas diferentes que se utilizan para obtener información personal de los usuarios. A medida que la tecnología se vuelve más avanzada, las técnicas de los ciberdelincuentes que se utilizan también son más avanzadas.

Para evitar el phishing en Internet, los usuarios deben tener conocimiento de cómo los malos hacen esto y también deben estar al tanto de las técnicas anti-phishing para protegerse de ser víctimas.

Spear Phishing

Si bien el phishing tradicional utiliza un enfoque de “echar la caña y esperar “, lo que significa que se envían correos electrónicos masivos a la mayor cantidad de personas posible, el phishing es un ataque mucho más selectivo en el que el pirata informático sabe qué persona u organización específica persigue. Investigan el objetivo para hacer que el ataque sea más personalizado y aumentar la probabilidad de que el objetivo caiga en su trampa.

Email / Spam

Utilizando la técnica de phishing más común durante el COVI19, se envía el mismo correo electrónico a millones de usuarios con una solicitud para completar sus datos personales. Estos detalles serán utilizados por los phishers para sus actividades ilegales. La mayoría de los mensajes tienen una nota urgente que requiere que el usuario ingrese sus credenciales para actualizar la información de la cuenta, cambiar detalles o verificar cuentas. A veces, se les puede pedir que completen un formulario para acceder a un nuevo servicio a través de un enlace que se proporciona en el correo electrónico.

Entrega basada en web

La entrega basada en web es una de las técnicas de phishing más sofisticadas. También conocido como “hombre en el medio”, el hacker se encuentra entre el sitio web original y el sistema de phishing. El phisher rastrea detalles durante una transacción entre el sitio web legítimo y el usuario. A medida que el usuario continúa pasando información, los phishers la recopilan sin que el usuario lo sepa.

Manipulación de enlaces

La manipulación de enlaces es la técnica mediante la cual el phisher envía un enlace a un sitio web malicioso. Cuando el usuario hace clic en el enlace engañoso, abre el sitio web del phisher en lugar del sitio web mencionado en el enlace. Al pasar el mouse sobre el enlace para ver la dirección real, los usuarios no caen en la manipulación del enlace.

Keyloggers

Los keyloggers se refieren al malware utilizado para identificar entradas desde el teclado. La información se envía a los piratas informáticos que descifrarán las contraseñas y otros tipos de información. Para evitar que los registradores de teclas accedan a información personal, los sitios web seguros ofrecen opciones para usar clics del ratón para hacer entradas a través del teclado virtual.

Troyano

Un caballo de Troya es un tipo de malware diseñado para engañar al usuario con una acción que parece legítima, pero que en realidad permite el acceso no autorizado a la cuenta del usuario para recopilar credenciales a través de la máquina local. La información adquirida se transmite a los ciberdelincuentes.

Malvertising

La publicidad maliciosa es publicidad maliciosa que contiene scripts activos diseñados para descargar malware o forzar contenido no deseado en su computadora. Los exploits en Adobe PDF y Flash son los métodos más comunes utilizados en anuncios malignos.

Secuestro de sesión

En el secuestro de sesión, el phisher explota el mecanismo de control de sesión web para robar información del usuario. En un procedimiento simple de pirateo de sesión conocido como sniffing de sesión, el phisher puede usar un sniffer para interceptar información relevante y poder acceder ilegalmente al servidor web.

Inyección de contenido

La inyección de contenido es la técnica en la que el phisher cambia una parte del contenido en la página de un sitio web confiable. Esto se hace para engañar al usuario para que vaya a una página fuera del sitio web legítimo donde se le pide al usuario que ingrese información personal.

Phishing a través de motores de búsqueda

Algunas estafas de phishing involucran motores de búsqueda donde el usuario es dirigido a sitios de productos que pueden ofrecer productos o servicios de bajo costo. Cuando el usuario intenta comprar el producto ingresando los datos de la tarjeta de crédito, el sitio de phishing lo recopila. Hay muchos sitios web de bancos falsos que ofrecen tarjetas de crédito o préstamos a los usuarios a una tasa baja, pero en realidad son sitios de phishing.

Vishing (Phishing por voz)

En el phishing telefónico, el phisher hace llamadas telefónicas al usuario y le pide que marque un número. El propósito es obtener información personal de la cuenta bancaria a través del teléfono. El phishing telefónico se realiza principalmente con una identificación de llamada falsa.

Smishing (phishing de SMS)

Phishing realizado a través del Servicio de mensajes cortos (SMS), un servicio de mensajes de texto por teléfono. Un texto smishing, por ejemplo, intenta atraer a una víctima para que revele información personal a través de un enlace que conduce a un sitio web de phishing.

Malware

Las estafas de phishing que involucran malware requieren que se ejecute en la computadora del usuario. El malware generalmente se adjunta al correo electrónico enviado al usuario por los phishers. Una vez que haga clic en el enlace, el malware comenzará a funcionar. A veces, el malware también se puede adjuntar a archivos descargables.

Secuestro de datos

El ransomware niega el acceso a un dispositivo o archivos hasta que se haya pagado un rescate. Ransomware para PC es un malware que se instala en la estación de trabajo de un usuario mediante un ataque de ingeniería social en el que se engaña al usuario al hacer clic en un enlace, abrir un archivo adjunto o hacer clic en publicidad maliciosa.

Técnicas anti-phishing

Las siguientes contramedidas al phishing incluyen recibir capacitación, conocer conceptos legales, implementar medidas de control de seguridad y crear conciencia a través de mejores prácticas de seguridad.

Estas prácticas mejoran la arquitectura empresarial y la hacen adecuada para resistir los ataques.

Inicio de sesión seguro

El primer paso de seguridad debe ser el uso de un sitio HTTPS en lugar de HTTP. Cada vez que inicia sesión desde una página HTTP, no hay garantía de que sus credenciales de inicio de sesión se envíen en un formato cifrado a la página principal. Además, la autenticación bidireccional o el inicio de sesión basado en certificados es imprescindible para inicios de sesión significativos. Esta es una combinación de un nombre de usuario y contraseña tradicionales junto con un código que se le envió en su teléfono.

Implementación de políticas y procedimientos de la organización

Cada empresa debe actualizar periódicamente sus políticas, procedimientos y procesos para proteger los datos confidenciales de sus usuarios. Esa es la razón por la cual los departamentos de TI lo presionan continuamente para realizar copias de seguridad, restauraciones y cambios mensuales de contraseña.

Informes

Informar sobre actividades sospechosas observadas en cuentas de correo electrónico es imprescindible para los empleados. Deben mantenerse alertas ante correos electrónicos sospechosos, enlaces o archivos adjuntos para mantener su seguridad.

Firma digital de correos electrónicos seguros

Agregar una capa digital de seguridad asegura que los estafadores no puedan alterar su contenido. Esto se puede hacer mediante el “envío de marcos de políticas”. Un marco de políticas de envío es una medida de seguridad utilizada para bloquear correos electrónicos falsificados. Las empresas que usan políticas SPF permiten a los intercambiadores de correo verificar si los correos electrónicos entrantes provienen de un host autorizado aprobado por los administradores de dominio.

Actualizaciones de software

Debe mantener sus PC actualizados instalando los últimos firewalls para evitar el correo no deseado.

Manejo de correo no deseado

Puede configurar su solución Anti-phishing para que tome una de varias acciones cuando se enfrente a un ataque de phishing de correo electrónico , como eliminar permanentemente dichos correos electrónicos, regresar al remitente, almacenar en una carpeta dedicada o casilla de correo no deseado, reenviar el correo electrónico a su jefe de seguridad cibernética junto con etiquetas relevantes o encabezados X.

Contrarrestando los ataques del Hombre en el Medio

En este tipo de ataque, los phishers recopilan contraseñas de un solo uso de corta duración llamadas contraseñas de identificación de usuario y organizaciones de ataque. El software puede detectar si hay muchas conexiones desde un PC al sitio de su organización, ya que esto es indicativo de un hombre en el medio del ataque.

Como se indicó al comienzo de este artículo, es esencial conocer varios tipos de métodos de phishing utilizados por los phishers y comprender cómo combatir los ataques de phishing.

Related posts
Ciberseguridad

BadPower, el virus que quema tu móvil mientras lo cargas

3 Mins read
En las últimas fechas ha saltado la noticia de la aparición de un nuevo virus que afecta a los teléfonos móviles. Este…
Ciberseguridad

La ciberguerra o Internet como campo de batalla

14 Mins read
La guerra cibernética se ha utilizado para aterrorizar a empresas individuales y a gobiernos enteros. Se les niega a los civiles servicios…
Ciberseguridad

¿Qué es la gestión de claves de cifrado?

14 Mins read
Cuantos más datos protejas, más dependiente serás de las claves de cifrado. Dado que los profesionales de seguridad tienen suficientes dificultades para…

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Las siguientes reglas del RGPD deben leerse y aceptarse:
Este formulario recopila tu nombre, correo electrónico y e contenido para que podamos realizar un seguimiento de los comentarios dejados en la web. Para más información revisa nuestra política de privacidad, donde encontrarás más información sobre dónde, cómo y por qué almacenamos tus datos.