1. ¿QUE ES EL PHISHING?
1.1. EL PHISHING: tipo de ciberataque que busca obtener información confidencial de las víctimas, como datos personales, contraseñas o información bancaria, mediante el engaño y la suplantación de identidad.
1.1.1. EJEMPLOS
1.1.1.1. Ataque de phishing a Google y Facebook (2013-2015). Entre 2013 y 2015, los gigantes tecnológicos Google y Facebook fueron víctimas de una de las estafas de phishing más audaces de la historia. El cerebro de esta elaborada estafa fue Evaldas Rimasauskas, que ejecutó un plan tan astuto que condujo al robo de la friolera de 100 millones de dólares. Su método consistía en elaborar y enviar correos electrónicos de phishing lo suficientemente sofisticados como para engañar a los empleados de estos gigantes tecnológicos. Estos correos electrónicos estaban meticulosamente diseñados para que parecieran correspondencia comercial legítima, lo que llevó al personal desprevenido a transferir enormes sumas de dinero a cuentas controladas por Rimasauskas. Este ataque destaca no sólo por la cantidad robada, sino por el nivel de engaño y manipulación empleado para embaucar a dos de las empresas tecnológicamente más avanzadas del mundo.
1.1.1.1.1. ¡El clásico! Correos electrónicos de phishing: Si te has encontrado con correos electrónicos en tu bandeja de entrada que claman ser de grandes marcas, pero algo en ellos te hace dudar, no estás solo. Estos correos electrónicos o mensajes suelen provenir de direcciones que, a primera vista, parecen legítimas, pero al detenernos a observarlas, descubrimos pequeñas inconsistencias. Algunas de ellas pueden ser letras adicionales, signos extraños o la ausencia de ciertos detalles que suelen acompañar a los correos legítimos. Pero, ¡cuidado! Aunque el remitente te suene falso, no te confíes del contenido. Estos astutos atacantes suelen camuflar su ataque cibernético en el cuerpo del mensaje, tentándote a hacer clic en el enlace o descargar archivos adjuntos que, en realidad, son trampas cibernéticas. De hecho, la empresa de Seguridad Informática, ESET, lanzó recientemente una advertencia a toda Latinoamérica debido a un ataque de spear phishing, donde camuflaba el ejecutable mediante una imagen jpg.
2. CARACTERISTICAS
2.1. Suplantación de identidad: Los atacantes se hacen pasar por entidades confiables, como bancos, empresas o instituciones, para engañar a las víctimas y hacerlas creer que están interactuando con una fuente legítima.
2.1.1. Envío de correos electrónicos falsos: El phishing a menudo comienza con el envío de correos electrónicos que parecen provenir de una fuente confiable. Estos correos electrónicos suelen contener enlaces a sitios web fraudulentos que imitan la apariencia de sitios legítimos.
2.1.1.1. Ataques masivos y dirigidos: Los ataques de phishing pueden ser de dos tipos. Los ataques masivos se envían a un amplio público sin un objetivo específico, mientras que los ataques dirigidos se personalizan para engañar a una persona o grupo específico.
2.1.1.1.1. Uso de diferentes canales: El phishing puede ocurrir a través de diferentes canales, como correos electrónicos, llamadas telefónicas o mensajes de texto.
3. COMO SE EJECUTA EL PHISHING
3.1. Correo electrónico falso: Los atacantes envían correos electrónicos que parecen legítimos, utilizando el nombre y logotipo de una empresa o entidad confiable. Estos correos suelen contener enlaces o adjuntos maliciosos que, al hacer clic o descargar, pueden comprometer la seguridad de tus datos.
3.1.1. Sitios web falsos: Los ciberdelincuentes crean páginas web falsas que imitan a las legítimas, como la de un banco o una red social. Estas páginas solicitan información personal o credenciales de inicio de sesión, que luego son utilizadas de manera fraudulenta.
3.1.1.1. Mensajes de texto y llamadas telefónicas: Los atacantes también pueden utilizar mensajes de texto o llamadas telefónicas para engañar a las personas y obtener información confidencial.
3.1.1.1.1. EJEMPPLO DE COMO SE EJECUTA EL PHISHING
3.1.1.1.2. Mensajitos con gancho, el SMS phishing: ¿Quién hubiera pensado que esos mensajes de texto que recibes en tu móvil podrían ser otra forma de phishing? Estos mensajes suelen hacerse pasar por instituciones financieras, empresas de servicios o incluso contactos conocidos, todos ellos solicitándote alguna acción urgente. Y ahí está el gancho: buscan que, por la urgencia, accedas a sus plataformas falsas o descargues contenido malicioso. Por sorprendente que parezca, esta técnica ha ganado popularidad debido a su aparente autenticidad, así que, al igual que con los correos, ¡mantente alerta y cuestiona siempre la legitimidad de estos mensajes!
3.1.1.1.3. Netflix (2019) Una plataforma global como Netflix, con millones de suscriptores, resulta un blanco jugoso para los delincuentes digitales. En 2019, se reportó una campaña que enviaba correos electrónicos falsos, supuestamente provenientes de Netflix, alertando sobre actividad sospechosa en las cuentas de los usuarios. El engaño estaba tan bien elaborado que imitaba con precisión la estética de la plataforma. Pero al hacer clic en el enlace proporcionado, el usuario era dirigido a una página apócrifa que solicitaba datos de acceso y, lo más alarmante, información de tarjetas de crédito. Estos datos, además de ser utilizados de manera fraudulenta, tienen un valor en el mercado negro.
4. TECNICAS UTILIZADAS PARA COMBATIR EL PHISHING
4.1. Mantén tus sistemas actualizados: Asegúrate de tener instaladas las últimas actualizaciones de software y antivirus en tus dispositivos, ya que estas actualizaciones suelen incluir parches de seguridad que protegen contra amenazas conocidas.
4.1.1. Desconfía de correos electrónicos sospechosos: Si recibes un correo electrónico que te parece sospechoso, presta atención a los detalles, como errores ortográficos, direcciones de correo electrónico extrañas o solicitudes inusuales. No hagas clic en enlaces ni descargues archivos adjuntos de correos electrónicos sospechosos.
4.1.1.1. Verifica la autenticidad de los sitios web: Antes de ingresar información personal en un sitio web, verifica que la URL sea legítima y segura. Puedes hacerlo escribiendo la dirección del sitio web directamente en el navegador en lugar de hacer clic en enlaces sospechosos.
4.1.1.1.1. No compartas información confidencial por teléfono o mensajes de texto: Ten precaución al proporcionar información personal o financiera por teléfono o mensajes de texto, especialmente si la solicitud te parece sospechosa. Siempre verifica la autenticidad de la entidad que te está contactando antes de compartir información confidencial.
5. MEDIDAS PARA PREVENIR EL PHISHING
5.1. Use contraseñas seguras y únicas: cree contraseñas seguras y complejas para todas sus cuentas en línea y evite usar la misma contraseña para varias cuentas. Considere la posibilidad de utilizar un gestor de contraseñas para almacenar y generar contraseñas únicas de forma segura para cada cuenta
5.1.1. Habilitar la autenticación multifactor (MFA): MFA agrega una capa adicional de seguridad al requerir una verificación adicional, como un escaneo de huellas dactilares o un código único enviado a su dispositivo móvil, además de su contraseña. Habilite MFA siempre que sea posible para proteger sus cuentas.
5.1.1.1. Edúcate a ti mismo y a tu equipo: Mantente informado sobre las últimas técnicas de phishing y edúcate a ti mismo y a tus colegas sobre los riesgos. Capacitar regularmente a los empleados sobre cómo identificar y denunciar intentos de phishing
5.1.1.1.1. Vuelve a comprobar la fuente: Presta mucha atención a la dirección de correo electrónico o al número de teléfono del remitente. Los ciberdelincuentes pueden utilizar direcciones de correo electrónico o números de teléfono que se parecen mucho a fuentes legítimas. Busca errores ortográficos o caracteres inusuales que puedan indicar un mensaje fraudulento.