El phishing es un problema grave para empresas de todos los tamaños y sectores. Pero mediante ejercicios de simulación de phishing, una organización puede tomar el control de esta insidiosa amenaza.
A los ciberdelincuentes les encanta suplantar a los empleados para robar credenciales y datos, e infectar a las empresas con ransomware. El informe de tendencias de la actividad de phishing del Anti-Phishing Working Group (APWG) muestra que el phishing alcanzó un máximo histórico en el segundo trimestre de 2022. Además, estos ataques mostraron un aumento del 7% en el robo de credenciales contra empleados de empresas.
El resultado suele ser catastrófico cuando se roba una contraseña u otros datos: un ataque de phishing provocó que el Departamento de Defensa de Estados Unidos entregara 23,5 millones de dólares (19,3 millones de libras) a un ciberdelincuente; la Open University de Londres sufrió más de un millón de ataques de phishing en nueve meses, causando trastornos masivos, y la lista continúa.
¿Por qué son importantes los programas de simulación de phishing?
El phishing es sin duda una de las herramientas más eficaces del arsenal de los ciberdelincuentes para obtener información confidencial. Un informe de RiskIQ sobre las pérdidas debidas a la ciberdelincuencia reveló que se perdían 17.700 dólares (14.500 libras) por minuto a causa de los ataques de phishing.
El phishing es un método inteligente de ingeniería social que engaña a empleados y otros usuarios para que hagan cosas que benefician al hacker. Los ciberdelincuentes utilizan ampliamente el phishing, ya que el 83 % de las organizaciones fueron blanco de ataques de phishing en 2021.
Con el paso del tiempo, los hackers que están detrás de los correos electrónicos de phishing se dan cuenta de los sistemas de software automatizados que impiden el phishing, como las plataformas antispam/email gateway. Como resultado, los hackers cambian la forma en que operan las estafas de phishing y el contenido de esos correos electrónicos para que puedan evadir las pasarelas de correo electrónico.
Por ejemplo, un informe que analizaba 55,5 millones de correos electrónicos enviados a Microsoft Office 365 descubrió que el 25 % de los correos electrónicos de phishing que contenían archivos adjuntos maliciosos se permitían a través de la pasarela de correo electrónico integrada en Office 365. El resultado es que los correos electrónicos de phishing son difíciles de prevenir y acaban en la bandeja de entrada de un empleado desprevenido, listos para engañarle y hacerle entregar sus credenciales de inicio de sesión o instalar malware.
Sin embargo, este empleado desprevenido puede convertirse en un empleado experto en cibernética, conocedor de la seguridad, utilizando ejercicios regulares de simulación de phishing.
¿Qué ocurre en un ataque de simulación de phishing?
Los ataques de phishing simulado están diseñados para parecerse exactamente a un intento de phishing real. Se utiliza una plataforma de phishing simulado para generar correos electrónicos de phishing simulados como parte de una campaña de formación de concienciación sobre la seguridad. Los empleados y cualquier otro grupo de usuarios que necesiten una formación de concienciación sobre la seguridad deben recibir estos correos electrónicos de phishing simulado.
La plataforma de prueba de phishing interactuará con el usuario para ayudarle a formarse sobre los peligros del phishing. Sin embargo, la plataforma también debe registrar y auditar lo que ocurre cuando ese usuario recibe el correo electrónico de phishing simulado. Por ejemplo, ¿abre el usuario el correo electrónico, hace clic en un enlace o descarga un archivo adjunto, etc.?
Estos eventos se registran y se generan informes que pueden utilizarse para evaluar el éxito de la formación en materia de concienciación sobre la seguridad y las áreas que deben mejorarse.
Características principales del mejor software de simulación de phishing
Un software avanzado de simulación de phishing debe tener varias características importantes:
Imita los correos electrónicos de phishing reales
El sistema debe crear correos electrónicos de phishing realistas que reflejen las campañas de phishing actuales vistas en la vida real.
Ofrecer una amplia gama de plantillas
La plataforma de simulación de phishing debe incluir un amplio conjunto de plantillas que puedan utilizarse para diseñar un correo electrónico de phishing de aspecto realista. Las plantillas deben poder configurarse para que coincidan con marcas conocidas y crear nombres de dominio y URLs "parecidos".
Puede adaptarse para reflejar las funciones
Se sabe que los estafadores se dirigen a funciones específicas de la organización, como RRHH y cuentas por pagar. Los ejecutivos también son un grupo objetivo y deben participar en ejercicios de phishing simulado, ya que los ciberataques específicos, como el Business Email Compromise, pueden afectar al nivel C. Por lo tanto, los mensajes de phishing simulado deben adaptarse a grupos de empleados.
Aprendizaje puntual
Las personas aprenden mejor cuando están comprometidas y tienen una experiencia de aprendizaje interactiva. Una plataforma que ofrece aprendizaje en el punto de necesidad permite a los empleados aprender de sus errores. Por ejemplo, los empleados recibirán una notificación de advertencia si hacen clic en un enlace malicioso.
Una experiencia interactiva en el punto de necesidad ayuda a explicar lo que ha sucedido y los peligros asociados a un correo electrónico de phishing. Algunos sistemas avanzados van más allá y educan al empleado en estrategias de evasión para ayudar a prevenir futuros intentos de phishing.
Ofrece opciones lingüísticas
Muchas empresas cuentan con personal que habla inglés como segunda lengua o con oficinas en países de habla no inglesa. Por lo tanto, las plantillas de correo electrónico de phishing simulado deben ser capaces de ofrecer soporte en otros idiomas.
Auditoría e informes
Las métricas de un ejercicio de phishing simulado son esenciales, ya que ofrecen una visión de la evolución de la formación en materia de concienciación sobre la seguridad. Además, las métricas detallan cuántos empleados son vulnerables a los ataques de phishing.
Algunos sistemas avanzados proporcionan un desglose granular de las métricas de phishing para analizar departamentos y grupos de usuarios específicos. Los informes generados a partir de estas métricas demuestran la eficacia de un programa de simulación de phishing e identifican las áreas débiles en la comprensión del personal de lo que implica el phishing.
¿Qué eficacia tienen los simulacros de phishing?
Según una encuesta de Cisco, los correos electrónicos de phishing son difíciles de detectar, ya que el 86% de las empresas tienen al menos un empleado que hace clic en un enlace malicioso. Y sólo hace falta que un empleado haga clic en un enlace e introduzca las credenciales de acceso a un sitio web falso para abrir las puertas de su red. Las simulaciones de phishing ofrecen una forma de minimizar el riesgo de ese clic desastroso.
¿Con qué frecuencia se debe enviar una simulación de phishing?
Un estudio de USENIX sobre la longevidad de la formación en concienciación sobre seguridad descubrió que los empleados aún podían detectar correos electrónicos de phishing cuatro meses después de la formación inicial. Sin embargo, a los seis meses, los empleados perdían la capacidad de detectar correos maliciosos.
El informe también destaca que los vídeos y la formación interactiva producen los resultados más duraderos, ya que este nivel de formación dura otros seis meses. Por lo tanto, el informe recomienda que la formación se realice cada seis meses. Además, las simulaciones de phishing periódicas son una buena idea porque el panorama de la seguridad también suele cambiar con frecuencia.
