Últimamente la modalidad de phishing ha tenido un importante crecimiento a nivel mundial, google bloquea más de 100 millones de este tipo de correos al día y según el informe publicado por VERIZON en 2018 el 32% de las brechas de seguridad a nivel mundial y el 78% de incidentes de seguridad tuvieron como vector de ataque el phishing. Aunque no es una técnica novedosa, continúa siendo bastante efectiva y cada vez más sofisticada.
Los cibercriminales saben cómo aprovechar emociones y necesidades de las personas, las utilizan a su favor para lograr que la víctima muerda el anzuelo. Para esto utilizan generalmente tres tácticas para persuadir:
1 Prometer un beneficio económico, si hace lo que dice el mensaje; de lo contrario la perdida de tal beneficio o afectación económica.
2. Usar una figura de autoridad que sea respetada por la víctima.
3. Utilizar algún factor emocional.
Phishing se refiere a un tipo de ataque que simula ser un mensaje legitimo proveniente de una fuente de confianza (banco, entidades estatales o de la institución) enviado a través de correo electrónico con el propósito de engañar al usuario para que acceda a algún enlace o descargue un archivo adjunto. Esto para robar información, datos personales o usuarios y contraseñas.
El correo electrónico sigue en el primer lugar al momento del ciberdelincuente elegir el medio para lanzar el ataque, pero existen diferentes medios que le permiten llegar hasta su objetivo, como lo son: mensajes SMS (Smishing), llamadas telefónicas (Vishing) o mensajes instantáneos en redes sociales.
Un aspecto que se debe tener presente, es que el ciberdelincuente juega en cierta manera con la mente de la víctima, haciéndole creer que el mensaje debe ser resuelto con urgencia; es decir, no da mucho tiempo para que la víctima sospeche y haga justamente lo que quiere el atacante que haga… Click en el enlace.
Para evitar ser víctima de este tipo de ataque se recomienda tener en cuenta:
- Es poco probable que las entidades bancarias nos pidan datos personales, menos a través de correo electrónico, se supone que si somos clientes de esa entidad ya conocen nuestra información.
- Para el ciberdelincuente es importante cualquier información, así que pensar que nuestros datos no son importantes es un error.
- Estos mensajes son muy bien elaborados, tratan de copiar fielmente la imagen de la institución o empresa que suplantan, pero detalles como errores de ortografía, redacción o incoherencias son un claro indicador de alerta.
- Verificar la dirección de correo del remitente,
generalmente utilizan algo muy similar a la legitima, pero con alguna variante,
por ejemplo: microsoftoffice365@email.office.com
- Evitar descargar adjuntos o acceder a enlaces, los adjuntos normalmente son archivos pdf que al pasar el puntero sobre el archivo muestran el enlace a algún sitio externo, que finalmente descarga un archivo comprimido seguramente con algún malware o troyano. Los enlaces pueden dirigirnos a sitios maliciosos que con el simple hecho de cargar ejecutan scripts o inician descargas automáticamente.
Lo
mejor y más recomendable para evitar ser víctima, es desconfiar, tomar un poco
de tiempo para analizar el mensaje y verificar el remitente, recuerde que para los
ciberdelincuentes cualquier persona es un objetivo y que cualquier información
que obtenga puede ser utilizada para su beneficio. Para contribuir a que en la
institución no se presenten casos de phishing, reporte el incidente ante el
grupo de telemática de su unidad.
0 Comentarios