Qué es el spear phishing y cómo evitarlo

El spear phishing es una forma sofisticada de ciberataque en la que los atacantes se dirigen a personas u organizaciones concretas, a menudo utilizando información personalizada para aumentar sus posibilidades de éxito. A diferencia de los intentos de phishing genéricos, que lanzan una amplia red, el spear phishing está muy focalizado y personalizado, lo que lo hace más peligroso. Los atacantes pueden hacerse pasar por contactos de confianza o utilizar un lenguaje familiar para engañar a las víctimas y conseguir que revelen información sensible, como contraseñas o datos financieros. Comprender las tácticas empleadas en el spear phishing y aplicar medidas preventivas es crucial para salvaguardar la seguridad personal y de la organización.

¿Qué es el spear phishing? Igual que el phishing, pero un poco más directo

Todos hemos oído hablar ya del término phishing y de cómo funciona, en el que se envía un correo electrónico genérico con una URL cifrada o un archivo adjunto y cuando se hace clic «BOOM»… le han pillado. Pero, lo que estamos viendo ahora es un aumento del spear phishing.

El spear phishing es técnicamente lo mismo pero con un enfoque más directo y dirigido. Los piratas informáticos dedicarán tiempo a investigar la vida, los intereses y el puesto de trabajo de una persona o de un pequeño grupo de personas y crearán un correo electrónico que parezca legítimo e interesante, lo suficientemente interesante como para hacer clic. Y si esa única persona hace clic, lo que activa el malware, éste puede propagarse y causar efectos perjudiciales dentro de la empresa
.

La Oficina Federal de Investigación llevó a cabo una investigación detallada sobre el spear phishing e informó de que la mayor parte de este tipo de estafa se dirige a empresas que utilizan «las transferencias electrónicas como método habitual de transferencia de fondos con fines comerciales». También se conoce como estafa BEC, que se define como una «…sofisticada estafa dirigida a empresas que trabajan con proveedores extranjeros y/o empresas que realizan regularmente pagos por transferencia bancaria. La estafa se lleva a cabo comprometiendo las cuentas de correo electrónico legítimas de las empresas mediante técnicas de ingeniería social o de intrusión informática para realizar transferencias de fondos no autorizadas.»

He aquí un vistazo rápido a cómo los «pescadores submarinos» apuntan y capturan

Spear Phishing en Facebook

Sus actualizaciones pueden revelar muchas cosas sobre usted como persona. Sus hábitos de gasto, el nombre de su perro, una foto de sus recientes vacaciones en Grecia o la compra de su precioso coche nuevo. Los phishers pueden crear un correo electrónico creíble pidiéndole que revise sus recientes vacaciones o que compre comida para perros con descuento que lleve el nombre de su perro, lo que incluiría un enlace lleno de malware. No estamos diciendo que no deba actualizar nada nunca más, ¡pero sea precavido y piense antes de publicar o hacer clic!

Spear Phishing en Twitter

Su twitter está lleno de hashtags, #hermana #mejoramiga #familia… y normalmente conectados con estos hay etiquetas de nombres de personas, ubicaciones e incluso imágenes. Esto facilita a los phishers la creación de una persona «detrás de la que esconderse». Si recibiera un correo electrónico con el nombre de su hermana, automáticamente pensaría que está bien y nunca pensaría que se trata de un correo de phishing pero, por desgracia, a veces lo son.

Spear Phishing en LinkedIn

Tiene a la vista su imagen, el título de su negocio, el nombre de la empresa, todos los empleados conectados y todo lo que le interesa. Los phishers pueden utilizar esto en su contra y para
manipularle. ¿No es un pensamiento aterrador? Todo lo que hace en línea y con lo que interactúa es básicamente bloques de construcción para su propio ataque de phishing dirigido.
Junte todo esto y será el objetivo principal de un escándalo de phishing dirigido, que si hace clic podría enviarse a sus colegas, lo que se convertiría en un efecto de bola de nieve. Tenga cuidado y no inicie la bola de nieve
.

Spear Phishing: Cómo evitar y reducir las posibilidades de ser víctima

1) ¿Cómo evitar el spear phishing? Sea consciente

Con todos sus datos en línea ahora, su información puede ser buscada y utilizada muy fácilmente. No revele demasiado y nunca publique datos personales como su dirección, número de teléfono o datos bancarios. Aun así, disfrute, publique fotos divertidas, cuente a sus amigos que ha pasado el mejor día en la playa con su familia, incluso diga a todo el mundo que ha almorzado un burrito… pero tenga cuidado. Si recibe un correo electrónico sobre un «burrito gratis» de su comida para llevar favorita junto al mar, ¡probablemente no sea una coincidencia! Sea consciente y manténgase alerta.

2) ¿Cómo evitar el Spear Phishing? Compruebe los enlaces

Los correos electrónicos de spear phishing suelen contener enlaces en los que se le pide que haga clic para cambiar una contraseña, verificar datos o suscribirse a algo nuevo y exclusivo. Pero antes de hacer clic, lo mejor es comprobar la URL pasando el ratón por encima del enlace. Si se trata de una estafa de phishing, puede apostar a que la URL será algo completamente irrelevante para el correo electrónico y, a veces, irá seguida de una línea de números y dígitos aleatorios.

3) ¿Cómo evitar el spear phishing? Utilice la lógica

¿Por qué querría su compañero de trabajo conocer sus datos bancarios? ¿Por qué le enviaría su jefe un enlace para ver su factura telefónica? Lo más probable es que no lo hicieran, así que en caso de duda, póngase en contacto directamente con esa persona y verifique si le ha enviado el correo electrónico. Y si recibe un correo electrónico de phishing, ¡elimínelo inmediatamente! Más vale prevenir que curar.

Descubra más sobre cómo proteger a sus empleados del spear phishing

Mejore su concienciación sobre ciberseguridad mediante los programas de formación de MetaCompliance, en particular MetaPhish, nuestra avanzada plataforma de simulación de phishing.