Los ciberdelincuentes solo necesitan unos minutos para cebar, enganchar y atrapar a una víctima de phishing entre sus empleados y luego aprovechar ese éxito en un ciberataque más amplio contra tu negocio. La historia va así:
- Elección de víctimas: un ciberdelincuente lanza una campaña de phishing a destinatarios de correo electrónico aleatorios (a menudo obtenidos de una violación de datos anterior) o dirigida a una empresa o industria específica. En este caso, un empleado de ABC Manufacturing es blanco de forma aleatoria con un correo electrónico de phishing.
- Poniendo el anzuelo: la empleada, Andi, abre el correo electrónico de phishing y ve un mensaje convincente sobre un documento que se va a descargar de una conocida aplicación de intercambio de archivos. Es convincente porque Andi usa la aplicación para compartir documentos tanto dentro de la organización como externamente con los proveedores de la empresa. El correo electrónico incluye la marca de la aplicación para que parezca legítima. Además, el remitente parece ser su jefe, que es una técnica llamada spear phishing, un correo electrónico malicioso que se hace pasar por una persona con el propósito de engañar a un destinatario para que complete una acción deseada.
- Enganchando al objetivo: Andi está increíblemente ocupada en este día y hace clic en el enlace malicioso para poder lidiar con esta última interrupción en su agenda ya desbordada. El enlace la lleva a un sitio web falso donde se le pide que ingrese sus credenciales de inicio de sesión. Ella los ingresa y abre el documento, que contiene malware oculto .
- Tomar acciones maliciosas: el malware se descarga en su dispositivo y luego se propaga rápidamente a través de la red de la empresa ABC Manufacturing, lo que permite al ciberdelincuente robar credenciales y datos confidenciales en el camino. En algún momento del ataque, las notas de rescate comienzan a aparecer en las pantallas de los empleados y las operaciones se detienen.
El phishing es una amenaza mayor que nunca
Según el Anti-Phishing Working Group (APWG), cada mes surgen aproximadamente 200.000 nuevos sitios de phishing (sitio en inglés), con campañas que se hacen pasar por más de 500 marcas y entidades diferentes por mes. El informe de tendencias de actividad de phishing (sitio en inglés) del grupo revela que el número de ataques de phishing se duplicó a lo largo de 2020. Los ataques alcanzaron su punto máximo en octubre de 2020, con un récord de 225.304 nuevos sitios de phishing que aparecieron solo en ese mes.
Según la consultora Deloitte, el 91% (sitio e inglés) de todos los ciberataques comienzan con un correo electrónico de phishing a una víctima desprevenida. Las campañas de phishing se hacen pasar por proveedores de servicios de intercambio de archivos y correo electrónico, se hacen pasar por proveedores o buscadores de empleo, se hacen pasar por instituciones financieras y mucho más para obtener credenciales de inicio de sesión, robar dinero y datos, y mantener como rehenes a empresas y sus sistemas y datos.
Por qué el phishing sigue funcionando
Todos sabemos que nunca debemos hacer clic en enlaces o abrir archivos adjuntos en correos electrónicos incompletos. Sin embargo, el phishing sigue siendo un vector de ataque lucrativo para los malos actores.
Esto se debe a que los atacantes se han vuelto más expertos en la suplantación de identidad y en aprovechar nuestras ocupadas vidas laborales. Como seres humanos, somos vulnerables a experimentar fallos momentáneos de juicio porque estamos haciendo malabares con varias aplicaciones, como chats grupales, videoconferencias, correos electrónicos y otras intrusiones en nuestro enfoque en las tareas laborales normales. Un correo electrónico de suplantación de identidad que parece encajar en un flujo de trabajo ajetreado podría deslizarse en un momento de multitarea.
La pérdida de datos es el principal impacto
Una vez que una víctima de phishing ha mordido el anzuelo, el actor malintencionado puede hacer varias cosas:
- Controlar el dispositivo de la víctima usando malware
- Obtener acceso a las credenciales de la cuenta por robo de datos o financiero
- Acceder al correo electrónico y a los contactos de la víctima para dirigirse más a los ejecutivos de la empresa u otros empleados.
- Difundir malware, incluido el ransomware, a otros dispositivos de la misma red
- Obtener acceso a otros sistemas, datos o propiedad intelectual de la empresa.
Cuando una campaña de phishing exitosa se convierte en un ciberataque exitoso, el impacto en la empresa puede ser devastador. Una encuesta reciente informa que la pérdida de datos es el resultado más frecuente de un ataque de phishing exitoso, citado por el 60% de los encuestados. Las cuentas o credenciales comprometidas fueron el segundo mayor impacto, mencionado por el 52%, con las infecciones de ransomware muy cerca con el 47%.
Protección contra ataques de phishing
Para proteger tu empresa contra los daños de un ataque de phishing exitoso, es mejor adoptar un enfoque múltiple. Primero, brindar a los empleados capacitación e información sobre la suplantación de identidad de forma regular para ayudarlos a reconocer las campañas de suplantación de identidad y evitar convertirse en víctimas.
En segundo lugar, suponer que todavía se producirán errores y que alguien dentro de la empresa hará clic accidentalmente en un enlace malicioso, abrirá un archivo adjunto malicioso o proporcionará credenciales de inicio de sesión a un sitio web falso. Para ayudar a limitar el daño de un intento de phishing exitoso, asegúrate de que tu software antivirus y antispam esté actualizado en los dispositivos de los empleados.
En tercer lugar, protege el tráfico en tu red para mitigar aún más el riesgo de phishing. Avast Secure Web Gateway (SWG) bloquea los intentos de phishing analizando y bloqueando los sitios maliciosos, así como bloqueando las descargas maliciosas y las URL maliciosas conocidas para que no ingresen a la red.
