A medida que las amenazas de correo electrónico están aumentando en popularidad, ¿qué puedes hacer para proteger tu negocio o cuenta personal de los ataques?
El correo electrónico es una parte tan integral de la vida cotidiana que tendemos a ignorar, que es la mayor amenaza a la seguridad cibernética. Sin embargo, casi todo el delito cibernético se basa en el correo electrónico o lo emplea como parte del proceso.
Los delincuentes juegan con nuestras emociones, especialmente la preocupación, el miedo, el amor, la confianza y la codicia, sazonados con un toque de urgencia. Por cada desastre nacional o internacional, habrá mil delincuentes tratando de explotarlo . Considera la propagación del coronavirus. A los pocos días de un brote grave en Italia, el 10% de todas las organizaciones italianas habían sido blanco de un correo electrónico de phishing que (traducido) decía: “Debido a la cantidad de casos de infección por coronavirus que se han documentado en su área, la Organización Mundial de la Salud ha preparado un documento que incluye todas las precauciones necesarias contra la infección por coronavirus. Le recomendamos encarecidamente que lea el documento adjunto a este mensaje ".
Este es un ejemplo de robo estándar y phishing de oración: el ataque simplemente está dirigido a tantas personas como sea posible, sabiendo que algunos serán engañados. No debe confundirse con la suplantación de identidad (phishing) donde una sola persona o un pequeño grupo relacionado de personas son blanco de una manera centrada en la víctima.
Las emociones que se juegan en el phishing de Coronavirus son preocupación, miedo, confianza (en la Organización Mundial de la Salud) y urgencia (protéjanse antes de que sea demasiado tarde). El documento adjunto y atractivo se titulaba "Coronavirus: información importante sobre precauciones". Leerlo conduce al Ostap Trojan -Downloader que se ha utilizado en otros lugares para descargar el troyano bancario TrickBot.
El coronavirus se está utilizando como 'señuelo', el cebo que lo engaña para responder al correo electrónico. Los señuelos cambian según las circunstancias actuales y el objetivo. Los señuelos generales, como en este ejemplo, se utilizan en campañas de phishing a gran escala. Los señuelos más específicos basados en los intereses conocidos del objetivo se usan en el phishing enfocado conocido como spear-phishing. Pero el phishing no es la única amenaza que llega por correo electrónico.
Estadísticas detrás de la amenaza
Las estadísticas de amenazas de correo electrónico varían ligeramente según su fuente y cómo se miden los detalles. Sin embargo, podemos decir con confianza que el 90% o más de todas las infracciones de la empresa involucran correos electrónicos; El 90% o más implican exitosas actividades de spear phishing; y el 90% de todo el malware se entrega por correo electrónico.
Del lado del consumidor, las últimas cifras del FBI (sitio en inglés) para los EE. UU., Publicadas en febrero de 2020, destacan el compromiso del correo electrónico comercial (BEC), el fraude de personas mayores (destacando que los ancianos son particularmente atacados en todas las formas de estafas por correo electrónico ), el fraude de soporte técnico y el ransomware como 'Temas de actualidad'. El primero ya no afecta solo a las empresas, sino que también puede dirigirse a cualquier persona que se considere que tiene recursos. El último, aunque ahora afecta a las empresas, todavía se entrega a los consumidores por correo electrónico. Los otros dos son, o a menudo involucran, correspondencia por correo electrónico.
Un ejemplo de fraude de BEC contra una persona (aunque ella tiene una pequeña empresa) fue la pérdida de $ 380,000 por parte de Barbara Corcoran de 'Shark Tank' en febrero de 2020. Aparentemente, un correo electrónico del asistente de Barbara le indicó a su contable que enviara $ 388,700.11 a una compañía en Alemania . Barbara comentó: "Al principio estaba molesta, pero luego recordé que solo era dinero". un comentario que solo vendría de alguien que podría permitirse perder $ 400,000.
El informe del FBI pone algunas cifras a otras amenazas (pero recuerde que la realidad probablemente sea peor ya que esto solo cubre los crímenes reportados al FBI). Algunos ejemplos incluyen $ 475 millones perdidos por víctimas de fraude de confianza y romance; $ 160 millones perdidos por robo de identidad; $ 111 millones para fraude con tarjeta de crédito; $ 100 millones para el fraude de tarifas anticipadas (el llamado fraude nigeriano); $ 54 millones para fraude de soporte técnico; y así. Esto es en el año único, 2019.
Ataque y defensa
El ataque
Las estafas se presentan en tres formatos básicos: un intento de involucrar a la víctima en una conversación con el atacante (como estafas de romance, estafas de tarifas anticipadas, estafas de lotería y más); un intento de hacer que el objetivo haga clic en un enlace y visite un sitio malicioso; y un documento adjunto malicioso (armado).
Hasta cierto punto, el sentido común puede protegernos del primero, pero los ancianos, los solitarios, los confinados y los ansiosos están en riesgo. Si tenemos un pariente o vecino como este, podemos ayudar simplemente interesándonos y siendo un apoyo.
El archivo adjunto malicioso y el enlace malicioso son las amenazas generales más generalizadas que nos afectan a todos. El cuerpo del correo contendrá un mensaje de ingeniería social diseñado para atraernos a hacer clic en un enlace en el mensaje o abrir un documento armado adjunto. El enlace podría conducir a un sitio malicioso que podría persuadirnos de ingresar datos personales o contraseñas de cuentas bancarias , mientras que el documento armado podría tratar de instalar malware directamente, desde un ladrón de información o un fraude bancario hasta ransomware.
Los ataques de correo electrónico más avanzados 'falsificarán' la fuente. Parecen provenir de fuentes legítimas o genuinas. Por ejemplo, si conoces o trabajas con JoeBloggs @ xyz.com, los delincuentes pueden intentar registrar JoeBloggs @ gmail.com y enviarte un correo electrónico con esa apariencia. Del mismo modo, pueden registrar dominios similares, como bankofamericaco.com (actualmente disponible) para bankofamerica.com, y desarrollar el sitio de forma maliciosa. La intención es lograr que confíes tanto en el remitente como en el destino del enlace.
El futuro
Si crees que las cosas están mal hoy, solo empeorarán en el futuro. La inteligencia artificial y el aprendizaje automático se promocionan como excelentes soluciones de seguridad. Pero también son excelentes herramientas de ataque.
El aprendizaje automático es una tecnología en la que se aprenden acciones al examinar y analizar grandes cantidades de datos, hoy en día conocidos como big data. Los delincuentes tienen acceso a los algoritmos que se utilizan en el aprendizaje automático. También tienen acceso a grandes cantidades de datos para enseñar a sus máquinas.
En algún momento, los delincuentes utilizarán el aprendizaje automático de la máquina contra los miles de millones de credenciales robadas disponibles en la web oscura para aprender objetivos y atacar a los consumidores a escala y automáticamente. Los ataques dirigidos que actualmente llamamos phishing se lanzarán a la escala de las actuales campañas de phishing de 'rociar y rezar'.
Soluciones tecnológicas
Correo electrónico y filtros del navegador
Los principales proveedores de correo electrónico y navegadores intentan filtrar las amenazas. Los 'filtros de spam' incorporados pondrán en cuarentena y luego eliminarán los ataques obvios. Esto es excelente para eliminar gran parte de la basura que llega por correo electrónico, pero no se puede confiar en que elimine todo el phishing, o incluso cualquier ataque de spear-phishing.
Del mismo modo, los principales navegadores nos impedirán visitar sitios maliciosos conocidos. Pero recuerde que los delincuentes pueden producir nuevos sitios maliciosos más rápido de lo que los buenos pueden encontrarlos. Entonces, nuevamente, esto es una ayuda pero no una solución.
Antimalware
El anti-malware es esencial. Ignore las afirmaciones de que no puede detectar todo el malware. Eso puede ser cierto, pero puede detectar y detecta la gran mayoría de malware. Un buen producto anti-malware convencional actualizado y moderno te protegerá de todas las tecnologías de ataque menos las más avanzadas con el último malware desconocido.
Pero no puede confiar en él para una seguridad total. El antimalware es solo el punto de partida importante para su defensa contra la amenaza del correo electrónico.
DMARC y BIMI
DMARC (autenticación, informes y conformidad de mensajes basados en el dominio) y BIMI (indicadores de marca para la identificación de mensajes) son tecnologías que deberían ser implementadas por todas las compañías que operan en línea. DMARC es una tecnología que funciona entre empresas y proveedores de correo electrónico que detectará intentos de falsificación de marca. Si está completamente instalado, DMARC bloqueará todos los correos electrónicos falsos que aparentemente provengan de compañías legítimas.
El uso de DMARC está creciendo, pero solo un pequeño porcentaje de las empresas lo han adoptado. Los consumidores se quedan con un problema: si bien detiene las falsificaciones de aquellas compañías que lo están utilizando correctamente, el usuario final podría creer falsamente que los correos electrónicos recibidos son legítimos cuando no lo son (porque el remitente no está utilizando DMARC).
Una solución a esto se puede encontrar en BIMI. Las compañías que han instalado DMARC pueden usar BIMI con el proveedor de correo electrónico para agregar un logotipo de la compañía adyacente a los correos electrónicos protegidos por DMARC. Si este logotipo aparece con el correo electrónico entregado, es una fuerte indicación de que el correo electrónico es genuino.
Soluciones personales
Si bien la tecnología puede reducir la amenaza del correo electrónico, no se acerca a eliminarla. La defensa final debe ser nosotros mismos y nuestro comportamiento: debemos ser conscientes de que todos estamos constantemente bajo ataque. Todos los correos electrónicos deben revisarse desde el punto de vista del escepticismo inicial.
El primer consejo es revertir el proverbio ruso, "Confía pero verifica": ahora deberíamos verificar antes de confiar. Si hay algo en el correo electrónico que no funciona: errores ortográficos, errores gramaticales que no esperaríamos, o un archivo adjunto de alguien que no conocemos o que normalmente no nos envía archivos adjuntos, haga una pausa y mire más de cerca. Un buen consejo es mantener el cursor sobre el nombre del remitente y ver la dirección de correo electrónico que se está utilizando.
Aquí hay uno que recibí recientemente. Todo lo que veo es el remitente: Equipo de soporte. Pero al examinar la dirección manteniendo el cursor sobre ese nombre, veo al remitente real: '360GM67M.360GM67M@24b1t2t7.us'. No lo creo.
El mismo proceso se puede usar con enlaces incrustados en el cuerpo del correo electrónico. Lo que ves podría ser simplemente 'Haz clic aquí'. Si mantiene el cursor sobre el enlace, sin hacer clic, verá la dirección real. Obviamente puede ser malicioso, o puede disfrazarse a través de un servicio de acortamiento de enlaces de estilo mordido. Si es esto último, pregúntese si es razonable que el remitente use bit.ly.
Pero una palabra de precaución: tenga mucho cuidado si hace esto en un teléfono móvil o computadora portátil con un panel táctil. Algunos paneles táctiles son tan sensibles que es fácil hacer clic en un enlace, mientras que todo lo que tiene que hacer es pasar el cursor sobre él.
En el análisis final, el mejor consejo para manejar las amenazas de correo electrónico es adaptar el comentario de Benjamin Franklin, "No pospongas hasta mañana lo que puedes hacer hoy", a "No hagas ahora lo que puedes hacer tan fácilmente más tarde'. Insertar un retraso entre la recepción de un correo electrónico y la reacción a ese correo electrónico le permitirá ver más fácilmente las inconsistencias y las amenazas ocultas en el mensaje.
