Cinco claves esenciales para comprender la situación actual del phishing
El phishing continúa siendo una de las amenazas más persistentes y evolutivas en el panorama de la ciberseguridad. A medida que la tecnología avanza, los métodos empleados por los ciberdelincuentes se vuelven más sofisticados, lo que representa un desafío constante para individuos y organizaciones. En la actualidad el panorama del phishing va evolucionando hacia un incremento y nuevas técnicas como las de la imagen QR. Vamos a explicar los aspectos claves que nos ayudan a entender mejor la situación actual del phishing. El email como vector de ataque principal Los ataques de phishing no solo han aumentado en número, sino también en complejidad, esta es una de las principales claves. Según el informe de Cofense de 2024, el correo electrónico sigue siendo el vector de ataque principal, con un 90% de las brechas de datos originándose a partir de estos ataques dirigidos a empleados. La técnica preferida sigue siendo el phishing de credenciales, observando un incremento del 67% en volumen comparado con el año anterior. Este aumento se refleja en la amplia adopción de métodos más engañosos y técnicamente avanzados, como los ataques sin archivos y los enlaces limpios, lo que marca una nueva era en las amenazas por correo electrónico. La evolución de las tácticas: de la imagen al QR Un informe de IRONSCALES y Osterman Research revela que, si bien el 70% de las organizaciones consideran que sus sistemas de seguridad son efectivos contra ataques de phishing basados en imágenes y códigos QR, el 76% fue comprometido durante los últimos 12 meses. Esto subraya una preocupante brecha entre la percepción de seguridad y la realidad, impulsando la necesidad de mejorar las defensas contra tácticas que continuamente evolucionan. El papel de la inteligencia artificial Desde la introducción de ChatGPT en noviembre de 2022, ha habido un aumento en los ataques cibernéticos, con un incremento del 1,265% en las modalidades de vishing, smishing y phishing. Este fenómeno destaca cómo los avances en la tecnología de inteligencia artificial pueden ser aprovechados por los ciberdelincuentes para desarrollar tácticas más sofisticadas y dirigidas Podría interesarle: El error humano sigue percibiéndose como el talón de Aquiles de la ciberseguridad, según los CISO Por otro lado, la introducción de Modelos de Lenguaje de Gran Escala (LLMs) ha cambiado el juego en la detección de phishing. Según un estudio de LastPass, más del 95% de los encuestados cree que el contenido dinámico generado por LLMs complica la detección de intentos de phishing. Aunque muchos se sienten confiados en sus programas de prueba de phishing, solo un 16% de los usuarios identifica entre el 75% y el 100% de la actividad sospechosa. El impacto geográfico y sectorial del phishing El informe de Zscaler de 2024 destaca que Estados Unidos, el Reino Unido e India son los países más afectados por estos esquemas, con el sector de finanzas y seguros experimentando el mayor número de intentos de phishing. Este aumento del 393% en los ataques resalta la necesidad de estrategias de seguridad específicas para los sectores más vulnerables. En el informe de tendencias de amenaza de phishing de Egress del 2024, se destaca que los millennials son los principales objetivos de estos ataques cibernéticos, recibiendo el 37.5% de los correos electrónicos maliciosos. Asimismo, el informe revela que los roles más visados dentro de las empresas son los de los altos ejecutivos, siendo los CEO los más afectados. De hecho, el 13.4% de los ataques de phishing involucraron suplantaciones de identidad de personas conocidas por la víctima, como CEOs y otros líderes empresariales. Aumentan los efectos negativos en las empresas Más allá del aumento en el número y la sofisticación de los ataques, las consecuencias de los incidentes de phishing son cada vez más graves. Proofpoint reporta que, aunque la incidencia de ataques exitosos ha disminuido ligeramente, los efectos negativos han aumentado drásticamente, incluyendo un aumento del 144% en informes de sanciones financieras y un 50% en daños a la reputación. En el 74% de las empresas, los altos cargos están adoptando medidas estrictas contra los empleados que caen víctimas de estos ataques, a menudo con consecuencias negativas para los afectados. Paralelamente, el 51% de las organizaciones han sido blanco de ataques de phishing originados desde cuentas comprometidas dentro de su propia cadena de suministro en el último año. FUENTE: Dominguez, MLuz. »Cinco claves esenciales para comprender la situación actual del phishing» Bitelifemedia.com. 21/05/2024. (https://bitlifemedia.com/2024/05/cinco-claves-esenciales-para-comprender-la-situacion-actual-del-phishing/).
Los 7 trucos que utilizan los cibercriminales para robarte los datos de tus tarjeta de crédito
Con el crecimiento exponencial del comercio electrónico y las transacciones en línea, la ciberseguridad nunca ha estado más en peligro. Los piratas informáticos pueden intentar invadir nuestra privacidad de varias maneras, pero un área que les resulta especialmente atractiva es la información de la tarjeta de crédito. Las tarjetas de crédito robadas pueden afectar negativamente no solo vuestras finanzas, sino también vuestra identidad personal y privacidad. Protegerlos eficazmente y los datos que están conectados es esencial al mundo en línea. La gran cantidad de correos electrónicos enviados cada día significa que es un vector de ataque evidente para los ciberdelincuentes. Cada día se envían más de 300.000 millones de correos electrónicos y se cree que al menos tres mil millones de ellos son correos electrónicos fraudulentos. A partir de este ejemplo y otras maneras de acceder, los estafadores encuentran el camino perfecto. 1.- Evitar el phishing La mayoría de la gente simplemente no tiene tiempo para analizar esmeradamente cada mensaje que llega a su bandeja de entrada. Algunos estafadores apuntan a consumidores exponenciales. El asunto de su correo electrónico estará diseñado para llamar la atención de la víctima. Las técnicas habituales de campañas de pesca incluyen ofertas de premios ganados en competiciones falsas, como loterías o concursos de comerciantes que ofrecen uno vale ganador. Eso se llama phishing. Podría interesarle: Lo que podemos aprender de la nueva estrategia de ciberseguridad de la Casa Blanca Para recibir el premio, se pide a las víctimas que introduzcan sus datos como el nombre, la fecha de nacimiento, la dirección y los datos bancarios, así como su nombre de usuario y contraseña, para poder reclamarlo. Evidentemente, no hay premio y lo único que han hecho es poner sus datos personales en manos de los estafadores. 2.- Vigila los correos de instituciones financieras Otros correos electrónicos de pesca afirman ser de un banco u otra institución financiera que buscan verificar detalles, tiendas en línea que intentan verificar compras inexistentes o, a veces, todavía más descaradamente, atacantes afirmarán que ha habido un comportamiento sospechoso en vuestra cuenta e iniciáis sesión para comprobarlo. Lea también: Protección de datos personales en el uso de aplicaciones bancarias A veces, incluso afirmarán ser representantes de empresas tecnológicas o de ciberseguridad y que necesitan acceso a la información para mantener a sus clientes seguros. Otras estafas, generalmente más sofisticadas, apuntan a los usuarios empresariales. Aquí los atacantes pueden hacerse pasar por alguien de la misma organización o de uno de sus proveedores y os pedirán que bajéis un fichero adjunto que dicen que contiene información sobre un contrato o un acuerdo. 3.- No abrir documentos, tampoco de Office Una técnica habitual es entregar un documento de Microsoft Office que requiera que el usuario habilite las macros para ejecutarse. El mensaje que viene con el documento pretende engañar a la víctima potencial para que habilite macros para permitir que el documento se vea correctamente, pero en este caso permitirá que los delincuentes entreguen en secreto su carga útil de software malicioso. Es difícil calcular el coste total del fraude que deriva de las estafas de pesca, porque las pérdidas pueden ir desde unos pocos dólares por un ataque de pesca contra una persona hasta ataques de pesca con éxito contra grandes organizaciones que pueden costar millones de dólares. 4.- Sistema spray and pray El spray and pray es el tipo de ataque de pesca menos sofisticado, mediante el cual mensajes básicos y genéricos se envían por correo masivo a millones de usuarios. Estos son los mensajes «Mensaje URGENTE» que tienen el objetivo de asustar a las víctimas para que cometan un error o las ciegan de avaricia. Algunos correos electrónicos intentan utilizar el miedo, sugiriendo que hay una orden de detención de la víctima y que serán lanzadas en la prisión si no clican. 5.- Compras con código de confirmación para cargar la compra a tus tarjetas de crédito El comercio electrónico es una buena manera de acceder a las tarjetas de crédito. Demasiado a menudo, incluso páginas de compra conocidas y certificadas, no incluyen un código de confirmación antes de realizar la transacción bancaria. Este sistema, menos encriptado, permite en los ciberdelincuentes acceder y, por lo tanto, es recomendable no comprar de forma en línea si no se incorpora este sistema de seguridad. 6.- No compartas el wifi ni utilices tus tarjetas de crédito en sitios públicos Cuando se está fuera de casa, puede resultar tentador navegar por la web utilizando puntos de acceso wifi públicos, ya sea a aeropuertos, hoteles, cafeterías y otros espacios compartidos. Incluso si se tiene que pagar para unirse a la red, es posible que no sea seguro si los ciberdelincuentes han hecho lo mismo, ya que se puede utilizar el acceso a una red para espiar los datos de terceros a medida que son ingresadas. Es igual de peligroso compartir nuestro wifi como acceder a otro que desconocemos el origen o su verificación. 7.- Malware Son diferentes tipos de malwares diseñados para robar información, algunos pueden registrar las pulsaciones del teclado de la víctima; por ejemplo, mientras escribís los detalles de la tarjeta en un lugar de comercio electrónico o bancario. Los ciberdelincuentes colocan programas maliciosos en los dispositivos mediante correos de phishing, mensajes de texto, o también a través de anuncios maliciosos. En otros casos, se compromete un sitio web que recibe muchas visitas y se espera que los usuarios ingresen para infectarlos. Ciertos malwares se descargan automáticamente, y se instalan en el equipo nada más el usuario visita el lugar comprometido. FUENTE: Casas, Nuria. »Los 7 trucos que utilizan los cibercriminales para robarte los datos de la tarjeta de crédito» Elnacional.cat. 11/06/2023. (https://www.elnacional.cat/oneconomia/es/economia/7-trucos-utilizan-cibercriminales-robarte-datos-tarjeta-credito_1041426_102.html).,
Cerca de un 10% de los menores españoles ha sido víctima de ‘phishing’ durante el último año
Según un estudio de Kaspersky, el exceso de confianza hace a los niños y menores de edadmuy vulnerables frente a ciberataques. Según el último estudio de Kaspersky, compañía global de ciberseguridad y privacidad digital, el exceso de confianza hace a los niños muy vulnerables frente a ciberataques. El hacer un uso correcto y responsable de todos los dispositivos debe ser algo fundamental para todos, pero también para los niños, ya que cada vez es mayor el tiempo que pasan delante de las pantallas. Podría interesarle: Así te multa la AEPD: ¿Cómo evitar sanciones millonarias? Por ello es indispensable que desde bien pequeños las familias les inculquen el hacer buen uso de todas las tecnologías que podrán manejar a lo largo de su vida. Dispositivos en edades tempranas Según los datos la compañía, el 75% de los niños españoles entre 7 y 13 años ya tiene sus propios dispositivos de conectividad. Cada vez hay menos juegos de mesa y más pantallas en las casas de las familias. De ahí que cobre significado el tener que enseñar a hacer uso de ellos si se quiere evitar que los más pequeños sufran muchas posibilidades de sufrir ciberataques. De hecho, según los resultados del estudio de la compañía de ciberseguridad, alrededor de un 10% ha sufrido ataques de phishing durante el último año en España. Y precisamente una de las posibles razones de estos ataques sea que los menores españoles que tienen entre 11 y 15 años no tengan los conocimientos necesarios sobre la seguridad en las plataformas online. al y como refleja el estudio, un alto porcentaje no recibe una enseñanza correcta en cuanto a ciberseguridad por parte de sus padres. El 76% de los menores de 11 años, el 68% de los de 12 años, el 65% de los de 13 años, el 66% de los de 14 años y el 68% de los de 15 ha tenido dudas en alguna ocasión acerca de un posible correo de phishing, y han consultado esas dudas con un amigo. De media, un 68% ha tenido dudas. Peligro en WhatsApp Muchas aplicaciones de hoy en día generan esos riesgos en cuanto a ciberseguridad, pero es WhatsApp que, para un 40 % de los menores con un intervalo de edad de entre 11 y 15 años, es la plataforma que más tendencia genera a la hora de hacer clics sobre los enlaces. El siguiente formato con más riesgo a la hora de clicar en enlaces que puedan contener phishing es el correo electrónico con un 22%. En el informe también re recoge que la educación en ciberseguridad no solo debe ser para los niños, sino que tiene que llegar a las generaciones adultas. Además, refleja que los adultos no hablan lo suficiente sobre la seguridad online, pero aunque lo hagan, deben formarse más en las amenazas. Por ello promover la educación y concienciar mejor. Medidas recomendadas Para que tanto niños como adultos se mantengan protegidos y alerta sobre diferentes técnicas de phishing, Kaspersky recomienda a las familias implementar las siguientes medidas: FUENTE: Bordonaba, Mario. »Cerca de un 10% de los menores españoles ha sido víctima de ‘phishing’ durante el último año» 20minutos.es. 04/06/2023. (https://www.20minutos.es/tecnologia/ciberseguridad/menores-espanoles-victima-phishing-durante-el-ultimo-ano-5128228/).
Ciberseguridad: ¿Qué hago si hice clic en un link fraudulento?
Ciberseguridad. Es muy útil un aviso en las redes sociales para avisar a los contactos y urge cambiar rápidamente las contraseñas y activar la doble verificación. Ojo, ciberataque. Y somos todos vulnerables, ya que los ciberdelincuentes atacan cada vez más a los móviles. Lo hacen enviando correos electrónicos y SMS fraudulentos para que pinchemos en algún enlace que nos dejará expuestos. Son constantes las alertas de las agencias de ciberseguridad y de los cuerpos de seguridad sobre oleadas de estos mensajes de ‘phising’ o ‘smishing’. El primero de estos engaños consiste en enviar a la víctima un email con un enlace que dirige a una página en la que se le pide que introduzca información personal (nombre de usuario, contraseñas, número de tarjeta de crédito…). La víctima generalmente accede, ya que cree que se trata de la web de una empresa con la que tiene relación, pero en realidad es una página trampa que han creado los delincuentes imitando el aspecto de la marca original para conseguir así información de ese cliente y poder suplantar su identidad. El ‘smishing’ es similar, pero en lugar de un correo electrónico los delincuentes envían un mensaje de texto con el link. Podría interesarle: ¿Cómo pueden las empresas gestionar los riesgos generales de ciberseguridad? ¿Qué dicen los expertos sobre estos incidentes de ciberseguridad? Los expertos insisten en que dudemos siempre de cualquier mensaje que redirija a una web en la que haya que introducir nuestros datos, pero los delincuentes han perfeccionando tanto tus tácticas que muchas veces picamos: en el mensaje advierten de la urgencia de entrar en el enlace y proporcionar esa información si no queremos exponernos a una multa, perder un paquete que nos va a llegar por mensajería o que nos bloqueen la cuenta bancaria, por ejemplo. ¿Qué podemos hacer cuando nos damos cuenta o sospechamos que ese link al que hemos accedido es en realidad un fraude? Estas son algunas de las recomendaciones que ofrecen desde las distintas agencias de ciberseguridad. Toma pruebas desde los primeros momentos Hay que recordar qué datos (contraseña de un sitio determinado, número de la tarjeta de crédito…) han obtenido los delincuentes. Si es posible todavía, tenemos que hacer capturas de pantalla de la web fraudulenta y del mensaje que nos haya dirigido a ella y guardarlos en un lugar seguro, por ejemplo, enviándolas a un correo de seguridad que no hayamos proporcionado, de manera que no puedan acceder los delincuentes. Analiza el alcance de los daños para solucionarlos Esto supone eliminar cualquier archivo que se haya descargado en el móvil y revisar con un antivirus actualizado que el teléfono no esté infectado. Hay que avisar al banco para que se pueda cancelar cualquier pago no autorizado y desactivar la tarjeta bancaria si hay sospecha de que los delincuentes pueden haber accedido a esos datos. Lea también: ¿Qué es la ciberresiliencia y por qué representa una nueva etapa en ciberseguridad? Cambia las contraseñas para mejorar la ciberseguridad Si la contraseña que se facilitó a los ciberdelincuentes es la que utilizamos en varios sitios (redes sociales, bancos o cuentas de correo electrónico) hay que entrar en todos esos servicios lo antes posible, cambiar la contraseña y activar la doble verificación. Avisa a los posibles afectados Algunas veces, los delincuentes toman el control de las redes sociales de la víctima para, desde ellas, mandar mensajes de spam o enviar a los contactos nuevos enlaces que les dirijan a webs fraudulentas. Al provenir de alguien conocido es más fácil que los receptores abran los enlaces y se conviertan en nueva víctimas. En el caso de las redes sociales, es muy útil escribir mensajes públicos avisando de que la cuenta ha sido víctima de un ataque. Y a través del correo electrónico se puede avisar a todos los contactos (si ya no podemos acceder porque los delincuentes han cambiado las contraseñas, hay que avisar a la empresa que proporciona el servicio). Alerta a las autoridades y denuncias. FUENTE: Borondo, Sara. »Ciberseguridad: He pinchado en un link fraudulento. ¿Qué hago?» Heraldo.es. 02/10/2022. (https://www.heraldo.es/noticias/sociedad/2022/10/02/ciberseguridad-link-fraudulento-que-hago-1602598.html).
Ransomware y phishing, los nuevos riesgos de ciberseguridad
Ransomware y phishing. La información percibida como más vulnerable es la personal con un 51.1% y la financiera 44.7%, señala el estudio de IQSEC. El panorama actual de ciberseguridad es otro a diferencia de hace 15 años, hoy estamos ante una evolución de amenazas cibernéticas, entre ellas la principal el ransomware, de tal manera que es una necesidad que las organizaciones tomen medidas urgentes para proteger su información y así evitar el robo de los datos, así lo consideraron los especialistas de la empresa IQSEC. En el marco de la presentación del estudio: “Ciberamenazas y riesgos digitales en México”. Israel Quiroz, CEO de IQSEC, destacó la importancia de establecer estrategias de ciberseguridad integrales de la mano de profesionales que otorguen capacidades de ciberinteligencia bajo certificaciones y marcos normativos internacionales. »El ransomware, el phishing y la suplantación de identidad, se han consolidado como las principales amenazas a la seguridad de empresas, organismos gubernamentales y público en general en México, riesgos que se ven agravados por la falta de cultura en materia de ciberseguridad y protección de datos, así como los vacíos legales”, dijo Israel Quiroz. Manuel Moreno, chief Security Sales Enablement Officer en IQSEC, destacó que, en México, son más probables las ciberamenazas a aplicaciones basadas en biometría e inteligencia artificial, debido a que la contratación remota de productos y servicios financieros está teniendo un gran auge. Lea también: ¿Cómo funciona el Hacking Ético y por qué es importante? De acuerdo con Sergio Navarro, director de Arquitectura y Consultoría de IQSEC, la falta de un marco legal que fortalezca las regulaciones existentes sobre seguridad, privacidad y protección de datos personales hace “una frágil ruta hacia la consolidación de la ciberseguridad en el país”. Recomendaciones de ciberseguridad ante el phishing y el ransomware Un experto señaló que ante la tendencia del trabajo flexible, donde la información de una empresa puede incluso llevarse al hogar o a lugares públicos, se debe poner una mayor atención en los filtros de seguridad, donde se puede implementar una arquitectura de Zero Trust, la cual se centra en la verificación de cada usuario, dispositivo, o entidad antes de conceder el acceso a aplicaciones y activos de información. “Un ejemplo práctico de lo anterior es la tecnología ZTNA (Zero Trust Network Access) la cual brinda acceso remoto seguro a las aplicaciones, los datos y los servicios de una empresa con base en políticas granulares de control de acceso. Las redes privadas virtuales o VPN que han sido utilizadas tradicionalmente para el trabajo desde el hogar otorgan acceso a un segmento completo de red mientras que con ZTNA solamente se otorga acceso a servicios o aplicaciones específicos”, señaló. Algunas recomendaciones de expertos De acuerdo con los especialistas algunas recomendaciones para las empresas que tienen a sus empleados trabajando en el hogar o en oficinas remotas y evitar que su información sea vulnerada a través de técnicas como el phishing o el ransomware son: Llevar a cabo campañas de concientización sobre los riesgos que involucra un ciberataque y el robo de información. Restringir el uso de dispositivos informáticos personales para motivos de trabajo. Activar y hacer obligatoria la Autenticación Multi Factor (MFA) siempre que sea posible. Uso de herramienta PAM (Gestión del Acceso Privilegiado) para administrar contraseñas y cuentas de sistemas sensibles o críticos. Cifrado de la información considerada como confidencial. Realizar evaluaciones o auditorías continuas de ciberseguridad. Implementar políticas robustas de control de acceso y de contraseñas. Uso de soluciones de monitoreo profundo para contar con mayor visibilidad de quién está conectado, o quién entra o sale a una red, no limitándose a un solo punto, sino que cubriendo más allá del perímetro tradicional. FUENTE: Servin, Alba. »Ransomware y phishing, los principales desafíos de la ciberseguridad» Eleconomista.com.mx. 01/10/2022. (https://www.eleconomista.com.mx/empresas/Ransomware-y-phishing-los-principales-desafios-de-la-ciberseguridad-20221001-0019.html).
