A finales de 2021, los ataques de ransomware habían aumentado a un intento cada 11 segundos. Las violaciones de datos también continúan a un ritmo vertiginoso, con casi 19.000 millones de registros violados durante la primera mitad de 2021.

Muchos de estos ataques utilizan phishing o datos suplantados en algún momento del ataque y las estadísticas así lo demuestran, siendo el phishing el vector de ataque número uno, cuyo volumen aumentará un 161% en 2021.

¿Por qué phishing a sus usuarios?

El phishing juega con la falibilidad y el comportamiento humanos, lo que convierte a esta táctica en insidiosa y difícil de proteger. Según las investigaciones, el 96% de las violaciones de datos comienzan con un correo electrónico de phishing. Un correo electrónico de phishing se parece menos a una bomba que estalla y más a una mecha de combustión lenta; el phishing tiene como resultado el robo de credenciales de inicio de sesión, la infección por malware y puede dejar su red vulnerable a un lento robo de datos y a estragos informáticos durante muchos meses.

Un informe reveló que el 74% de los correos electrónicos de phishing se utilizaron para robar las credenciales que sus empleados utilizan para iniciar sesión en sus aplicaciones corporativas.

El phishing funciona porque engaña a la gente para que haga cosas que redundan en beneficio del ciberdelincuente que ha enviado el correo electrónico malicioso. Por ejemplo, el phishing por correo electrónico suele utilizar estratagemas como hacer que el destinatario se sienta preocupado porque si no hace clic en un enlace puede acabar teniendo problemas en el trabajo. Las condiciones que provocan miedo, incertidumbre y duda, junto con la urgencia, y otros trucos psicológicos hacen del phishing el método número uno para iniciar un ciberataque.

Los empleados deben conocer estos astutos trucos de phishing para tener alguna posibilidad de resistir el impulso de hacer clic en un enlace malicioso o descargar un archivo adjunto infectado.

Para evitar que su empresa se convierta en un número más en las estadísticas de phishing, puede utilizar una plataforma de simulación de phishing para suplantar a sus usuarios. Para conocer más a fondo cómo funciona el phishing y ayudarle a empezar lea la Guía definitiva del phishing de MetaCompliance.

¿Qué es la simulación de phishing?

Las simulaciones de phishing son servicios basados en la nube que generan correos electrónicos de phishing simulados. Estos correos electrónicos reflejan las amenazas de phishing actuales y emergentes. Los correos electrónicos de phishing simulados se envían a los destinatarios de toda una organización como parte de una campaña organizada por una empresa, a menudo con la ayuda de una organización experimentada en la concienciación sobre la seguridad.

Los correos electrónicos de phishing simulados ayudan entonces a formar al personal sobre cómo detectar las tácticas de phishing.

¿Cómo funciona la simulación de phishing?

Las herramientas de simulación de phishing funcionan como parte de una campaña más amplia de concienciación sobre la seguridad. Se integran perfectamente en una estrategia organizada de educación y concienciación que funciona en armonía para mejorar la seguridad del correo electrónico y reducir los ciberataques a una organización.

Las herramientas de simulación de phishing, como MetaPhish, están basadas en la nube y pueden configurarse y gestionarse de forma centralizada desde una consola de administración y generación de informes. La simulación de phishing comienza configurando plantillas listas para usar que reflejen un ataque de phishing conocido o emergente.

Las plantillas están diseñadas para emplear marcas conocidas que se utilizan a menudo en campañas de phishing reales. Por ejemplo, marcas como Microsoft son regularmente las marcas falsificadas más utilizadas en las campañas de phishing.

Una plantilla de simulación de phishing incluye el correo electrónico de phishing y cualquier página de destino falsa relacionada necesaria para llevar a un usuario a través del ciclo de vida del phishing. Cuando un empleado recibe un correo electrónico de phishing simulado, si el correo incluye un enlace malicioso y el empleado hace clic en el enlace, el empleado será conducido a esta página de destino asociada.

Es importante que las herramientas de simulación de phishing sean altamente configurables. Las plantillas de phishing deben poder modificarse para adaptarse al entorno exacto de los distintos sectores industriales.

Algunas herramientas de simulación de phishing, como MetaPhish, cuentan con la ayuda de terceros expertos para garantizar que el diseño de las plantillas se ajuste lo más posible a las campañas de phishing reales. Esto garantiza que se asemejen lo máximo posible a un phishing real. De este modo, los resultados del ejercicio de phishing simulado son más precisos.

Hacer de la simulación de phishing una experiencia de aprendizaje

Una cosa es hacer phishing a sus usuarios, pero asegurarse de que aprenden de la experiencia puede ser complicado. Por ello, las herramientas de simulación de phishing deben utilizar el aprendizaje activo. Si un empleado cae en los trucos del correo electrónico de phishing simulado, el acontecimiento debe convertirse en algo positivo.

El aprendizaje en el punto de necesidad saca al usuario del ciclo de vida del phishing para hacer hincapié en dónde se equivocó y en sus vulnerabilidades. Normalmente, esto ocurre en una coyuntura, como cuando un empleado hace clic en un enlace de phishing o introduce las credenciales de inicio de sesión en un sitio web de phishing.

Una vez que se produce una estafa de phishing, se presenta al empleado un mensaje de advertencia, una infografía o una encuesta en pantalla, que explica al usuario lo que ha ocurrido, lo que podría ocurrir si se tratara de un correo electrónico de phishing real y cómo asegurarse de no volver a caer en ese truco.

Captura de los resultados de la simulación de phishing

Las métricas son un aspecto importante de la Formación de Sensibilización sobre Seguridad y la simulación de phishing. Medir el éxito de un programa de formación sobre concienciación en materia de seguridad permite a una organización ajustar con precisión la entrega del material para mejorar los resultados.

Las plataformas de simulación de phishing, como MetaPhish, ofrecen un panel de informes que muestra los resultados de los datos de las simulaciones de phishing: por ejemplo, cuántos de sus empleados hicieron clic en un enlace de un correo electrónico de phishing simulado.

Los informes generados pueden granularse hasta el nivel del dispositivo utilizado para acceder al correo electrónico de phishing, lo que permite un mayor enfoque a la hora de crear campañas de simulación de phishing de seguimiento. Los departamentos individuales o los grupos de usuarios también pueden tener un enfoque de formación, lo que permite a su organización profundizar en áreas específicas de la empresa que trabajan con datos sensibles o financieros, como cuentas por pagar o RRHH.

La simulación de phishing es una forma práctica de educar a su plantilla sobre los peligros del phishing y las ingeniosas tácticas de ingeniería social utilizadas por los ciberdelincuentes. La técnica para formar a los empleados sobre la concienciación en materia de seguridad también está reconocida por normas de seguridad de la información como la ISO 27001.

Empleando una plataforma de simulación de phishing basada en la nube tendrá la oportunidad de jugar contra los ciberdelincuentes a su propio juego y ganar.

Riesgo de ransomware