Los 10 ataques de phishing en los que más suelen picar los empleados. Son campañas de malware sencillas de realizar, cada vez más sofisticadas y altamente efectivas, ya que solo requiere que una parte de los usuarios caiga en su «cebo» y «pique» para obtener rentabilidad. Recordemos que el phishing es un ataque que intenta robar su dinero o su identidad, haciendo que divulgue información personal en sitios web que fingen ser sitios legítimos Incluso podemos recibir llamadas telefonicas de soporte de falsos técnicos de Microsoft.

•  “El phishing es la forma más sencilla de ciberataque y, al mismo tiempo, la más peligrosa y efectiva”.

 Los ataques de phishing no entiende de plataforma, sea de escritorio o móvil, o de segmento objetivo, consumo o empresarial, y aunque pueda parecer increíble aún seguimos cayendo en la trampa de estos engaños que emplean suplantación de identidad para robar información, dinero, instalar malware o tomar el control de los sistemas atacados.

¿Qué es phishing?

Phishing es el delito de engañar a las personas para que compartan información confidencial como contraseñas y números de tarjetas de crédito. Como ocurre en la pesca, existe más de una forma de atrapar a una víctima, pero hay una táctica de phishing que es la más común. Las víctimas reciben un mensaje de correo electrónico o un mensaje de texto que imita (o “suplanta su identidad”) a una persona u organización de confianza, como un compañero de trabajo, un banco o una oficina gubernamental. Cuando la víctima abre el correo electrónico o el mensaje de texto, encuentra un mensaje pensado para asustarle, con la intención de debilitar su buen juicio al infundirle miedo. El mensaje exige que la víctima vaya a un sitio web y actúe de inmediato o tendrá que afrontar alguna consecuencia.  

Si un usuario pica el anzuelo y hace clic en el enlace, se le envía a un sitio web que es una imitación del legítimo. A partir de aquí, se le pide que se registre con sus credenciales de nombre de usuario y contraseña. Si es lo suficientemente ingenuo y lo hace, la información de inicio de sesión llega al atacante, que la utiliza para robar identidades, saquear cuentas bancarias, y vender información personal en el mercado negro.  

Cebos más usados en ataques de phishing empresarial

Sophos Iberia ha realizado una curiosa investigación en el marco de la celebración del 8º Mes de la Ciberseguridad de la Unión Europea que tiene lugar durante el mes de octubre de 2020 para conocer cuáles son los cebos más efectivos. Para ello ha utilizado la herramienta Sophos Phish Threat con el que una empresa puede instalar un simulador de ataques de phishing automatizados para sensibilizar y concienciar a sus empleados.

El equipo de Phish Threat se preguntó: “¿Qué plantillas de phishing dan los mejores resultados, o quizás con mayor precisión, los peores?”

¿Es más probable que los usuarios de correo electrónico empresarial se enamoren de los palos o las zanahorias? ¿Por amenazas u ofertas gratuitas? ¿Para obtener instrucciones explícitas o sugerencias útiles? ¿Para “debes” o “te puede gustar”?

Las 10 amenazas de phishing, por orden de importancia, en las que más han picado los trabajadores en el último año, según el estudio de Sophos son:

1. Código de conducta. El empleado recibe una carta de RRHH que expone los nuevos códigos de conducta de la compañía. Dado que la mayoría del personal sabe que es un contenido de lectura obligatoria, es la estafa en la que más caen los empleados.
2. Resumen del cierre fiscal retrasado. Este email notifica al personal que su documentación fiscal va a llegar con retraso y facilita un enlace en el que conocer de cuánto tiempo se trata ese retraso. Dada la relevancia de esta información, son muchos los trabajadores que pinchan en el enlace para saber qué pasará con su documentación.
3. Mantenimiento programado del servidor. Aunque resulte sorprendente que esta amenaza se sitúe en el número 3, ya que es probable que muchos trabajadores ignoren este tipo de mensajes, el teletrabajo ha cambiado algunas conductas y saber cuándo se puede interrumpir el acceso es ahora más relevante.
4. Tiene una nueva tarea. Esta amenaza se trata de un phishing semi-dirigido ya que el administrador simula utilizar el programa interno que utilice la empresa para que no sea tan obvia la amenaza. Hay que tener en cuenta que los cibercriminales manejan la mayoría de las herramientas empresariales y pueden utilizarlas en tu contra.
5. Nueva prueba del sistema de correo electrónico. Solo requiere de un clic rápido en un email para ayudar a un compañero. Las probabilidades de que al menos alguien pinche en el enlace son altas.
6. Actualización de la política de vacaciones. La crisis del coronavirus ha obligado a muchas empresas a cambiar sus políticas de vacaciones. Esta información es de alto interés para toda la plantilla por lo que también es un riesgo importante.
7. ¿Te has dejado las luces encendidas? En este mensaje, el administrador del edificio informa de que uno de los coches de los trabajadores se ha quedado con las luces encendidas. Al recibir un enlace en el que acceder a la imagen del vehículo en cuestión podría parecer sospechoso, pero también puede pensarse que es un protocolo de RGPD. Muchos trabajadores pincharan solo para asegurarse de que no es su vehículo.
8. Fallo en la entrega del servicio de mensajería. Este es un truco probado y comprobado que los cibercriminales han usado durante años. Hoy en día, es especialmente creíble debido al aumento de compras por internet y de envío a domicilio. Como en la mayoría de los casos, es el vendedor quién selecciona la empresa de mensajería con la que trabaja es fácil que los trabadores piquen al estar esperando un envío y no saber exactamente que empresa lo entregará.
9. Documento seguro. Este truco es ampliamente utilizado en las estafas de phishing, en el que se envió un documento seguro por parte del equipo de RRHH con una razón plausible para acceder a él. El email trata de convencerte de que introduzcas las contraseñas donde normalmente no habría porqué hacerlo o te solicitan un ajuste de configuración de tu ordenador para “mejorar tu seguridad” cuando es todo lo contrario.
10. Mensaje de redes sociales. Las notificaciones simuladas de redes sociales son cebos muy utilizados. En este caso se trata de una notificación de LinkedIn con el mensaje “Tienes mensajes no leídos de [cualquier nombre]”.

Aquí se muestran algunas formas de reconocer un correo electrónico de phishing:

• Llamada urgente a la acción o amenazas: sospeche de los correos electrónicos que afirman que debe hacer clic, llamar o abrir un archivo adjunto de inmediato. A menudo afirman que tiene que actuar ahora para reclamar una recompensa o evitar una penalización. Crear un falso sentido de urgencia es un truco común de los ataques de phishing y estafas.
• Ortografía y mala gramática: los ciberdelincuentes no son conocidos por su gramática y ortografía. Las organizaciones o empresas profesionales suelen tener un equipo editorial para garantizar que los clientes reciban contenido profesional de alta calidad. Si un mensaje de correo electrónico tiene errores ortográficos o gramaticales obvios, es posible que se trate de una estafa.
• Vínculos sospechosos: si sospecha que un vínculo de correo electrónico es una estafa, no abra ningún enlace que vea. En su lugar, pase el mouse sobre el vínculo, pero no haga clic en él, para ver si la dirección coincide con el vínculo escrito en el mensaje. En el ejemplo siguiente, al situar el mouse sobre el vínculo, la dirección web real se muestra en el cuadro con el fondo amarillo. Tenga en cuenta que la cadena de números de la dirección IP no se parece en nada a la dirección web de la empresa.

• Dominios de correo electrónico que no coinciden: si el correo electrónico dice ser de una empresa acreditada, como Microsoft, pero el correo se envía desde otro dominio de correo electrónico como Yahoo.com o microsoftsupport.ru, probablemente es una estafa. También esté atento a los errores ortográficos muy sutiles del nombre del dominio legítimo. Como micros0ft.com donde la segunda "o" se ha reemplazado por un 0 o rnicrosoft.com, donde la "m" se ha reemplazado por una "r" y una "n". Son trucos comunes de estafadores. Es muy similar a la siguiente sugerencia...
• Direcciones web alteradas: una forma de suplantación de identidad donde las direcciones web son muy similares a los nombres de empresas conocidas, pero se han modificado ligeramente; por ejemplo, www.micorsoft.com o www.mircosoft.com.
  

Fuentes:

https://www.muyseguridad.net/2020/10/08/ataques-de-phishing-sophos/

https://news.sophos.com/es-es/2020/09/22/los-10-ataques-de-phishing-mas-usados-en-2020/