El spear phishing es una forma sofisticada de ciberataque en la que los atacantes se dirigen a personas u organizaciones concretas, a menudo utilizando información personalizada para aumentar sus posibilidades de éxito. A diferencia de los intentos de phishing genéricos, que se extienden por una amplia red, el spear phishing está muy focalizado y personalizado, lo que lo hace más peligroso. Los atacantes pueden hacerse pasar por contactos de confianza o utilizar un lenguaje familiar para engañar a las víctimas y hacerles revelar información confidencial, como contraseñas o datos financieros. Comprender las tácticas empleadas en el spear phishing y aplicar medidas preventivas es crucial para salvaguardar la seguridad personal y organizativa.
¿Qué es el Spear Phishing? Igual que el phishing, pero un poco más directo
Todos hemos oído hablar ya del término "phishing" y de cómo funciona: se envía un correo electrónico genérico con una URL cifrada o un archivo adjunto y, cuando se hace clic, "BOOM"... te han pillado. Pero lo que estamos viendo ahora es un aumento del spear phishing.
El spear phishing es técnicamente lo mismo, pero con un enfoque más directo y selectivo. Los piratas informáticos dedican tiempo a investigar la vida, los intereses y el puesto de trabajo de una persona o un pequeño grupo de personas y crean un correo electrónico que parece legítimo e interesante, lo suficientemente interesante como para hacer clic. Y si esa persona hace clic y activa el malware, éste puede propagarse y causar efectos perjudiciales en la empresa
.
La Oficina Federal de Investigación llevó a cabo una investigación detallada sobre el spear phishing e informó de que la mayor parte de este tipo de estafa se dirige a empresas que utilizan "transferencias bancarias como método habitual de transferencia de fondos con fines comerciales". Esto también se conoce como estafa BEC, que se define como una "...sofisticada estafa dirigida a empresas que trabajan con proveedores extranjeros y/o empresas que realizan regularmente pagos por transferencia bancaria. La estafa se lleva a cabo comprometiendo cuentas de correo electrónico de empresas legítimas mediante ingeniería social o técnicas de intrusión informática para realizar transferencias de fondos no autorizadas."
Un vistazo rápido a cómo los "Spear Phishermen" capturan y dirigen sus capturas
Spear Phishing en Facebook
Tus actualizaciones pueden revelar muchas cosas sobre ti como persona. Tus hábitos de consumo, el nombre de tu perro, una foto de tus últimas vacaciones en Grecia o la compra de tu precioso coche nuevo. Los phishers pueden crear un correo electrónico creíble pidiéndote que revises tus recientes vacaciones o que compres comida para perros con descuento que lleve el nombre de tu perro, lo que incluiría un enlace lleno de malware. No estamos diciendo que no debas actualizar nada nunca más, ¡pero sé precavido y piensa antes de publicar o hacer clic!
Spear Phishing en Twitter
Tu twitter está lleno de hashtags, #hermana #mejoramiga #familia... y normalmente conectados con estos hay etiquetas de nombres de personas, ubicaciones e incluso imágenes. Esto hace que sea fácil para los phishers crear una persona "detrás de la que esconderse". Si recibieras un correo electrónico con el nombre de tu hermana, automáticamente pensarías que está bien y nunca pensarías que es un correo de phishing, pero por desgracia, a veces lo son.
Spear Phishing en LinkedIn
Tienes tu imagen, el título de tu negocio, el nombre del negocio, todos los empleados conectados y todo lo que te interesa es visible. Los phishers pueden usar esto en tu contra y para
manipularte. ¿No es un pensamiento aterrador? Todo lo que haces en línea y con lo que interactúas es básicamente bloques de construcción para tu propio ataque de spear phishing.
Si los juntas, te conviertes en el objetivo principal de un escándalo de spear phishing que, si haces clic en él, podría enviarse a tus compañeros, lo que se convertiría en una bola de nieve. Tenga cuidado y no inicie la bola de nieve
.
Spear Phishing: cómo evitar y reducir las posibilidades de ser víctima
1) ¿Cómo evitar el spear phishing? Tenga cuidado
Ahora que todos tus datos están en Internet, es muy fácil obtenerlos y utilizarlos. No des demasiada información y nunca publiques datos personales como tu dirección, número de teléfono o datos bancarios. Aun así, disfruta, cuelga fotos divertidas, di a tus amigos que has pasado el mejor día de playa con tu familia, incluso dile a todo el mundo que te has comido un burrito... pero ten cuidado. Si recibes un correo electrónico sobre un "burrito gratis" de tu comida para llevar favorita junto al mar, ¡probablemente no sea una coincidencia! Sé consciente y mantente alerta.
2) ¿Cómo evitar el spear phishing? Compruebe los enlaces
Los correos electrónicos de spear phishing suelen contener enlaces en los que se le pide que haga clic para cambiar una contraseña, verificar datos o suscribirse a algo nuevo y exclusivo. Pero antes de hacer clic, lo mejor es comprobar la URL pasando el ratón por encima del enlace. Si se trata de una estafa de phishing, puedes apostar a que la URL será algo completamente irrelevante para el correo electrónico y, a veces, irá seguida de una línea de números y dígitos aleatorios.
3) ¿Cómo evitar el spear phishing? Usa la lógica
¿Por qué querría tu compañero de trabajo conocer tus datos bancarios? ¿Por qué iba a enviarte tu jefe un enlace para ver tu factura telefónica? Lo más probable es que no, así que, en caso de duda, ponte en contacto directamente con esa persona y verifica si te ha enviado el correo electrónico. Y si recibes un mensaje de phishing, elimínalo inmediatamente. Más vale prevenir que curar.
Más información sobre cómo proteger a sus empleados del spear phishing
Mejore su concienciación en ciberseguridad a través de los programas de formación de MetaCompliance, en particular MetaPhish, nuestra avanzada plataforma de simulación de phishing.
