Las estafas de phishing por correo electrónico van en aumento y los atacantes son cada vez más creativos en las formas en que intentan robar datos. Echamos un vistazo a los distintos tipos de ataques de phishing y a las mejores formas de protegerse a sí mismo y a su empresa.
¿Qué son el phishing y la suplantación de identidad?
Los correos electrónicos de suplantación de identidad son correos cuidadosamente elaborados que se envían desde un atacante de forma que parezcan legítimos, para engañar al objetivo y conseguir que realice algún tipo de acción de buena fe.
La suplantación de identidad por correo electrónico puede dividirse a grandes rasgos en los siguientes tipos:
Phishing
En este tipo de ataque, un atacante se hace pasar por una empresa real para obtener sus credenciales de inicio de sesión. Es posible que reciba un correo electrónico pidiéndole que verifique los detalles de su cuenta con un enlace que le lleva a una pantalla de inicio de sesión impostora que entrega su información directamente a los atacantes.
Spear Phishing
El spear phishing es un ataque más sofisticado que incluye información personalizada que hace que el atacante parezca una fuente legítima. Pueden utilizar su nombre y número de teléfono y hacer referencia a su empresa en el correo electrónico para engañarle y hacerle creer que tienen una conexión con usted, haciéndole más propenso a hacer clic en un enlace o archivo adjunto.
Whaling
Este ataque se ha hecho más popular recientemente, con atacantes dirigidos muy específicamente a empleados clave de empresas para conseguir que transfieran dinero o envíen información sensible haciéndose pasar por un ejecutivo real de la empresa. Utilizando un dominio falso que parece similar al de la empresa de la víctima, o en combinación con Spoofing (ver más abajo), el atacante envía un correo electrónico que parece un mensaje de un colega de alto nivel en la empresa, normalmente el CEO o CFO, y pide información sensible (incluyendo nombres de usuario y contraseñas). Un ejemplo habitual de whaling es pedir a la víctima que realice acciones financieras bajo presión ("transfiera rápidamente dinero a una cuenta bancaria para que la empresa no pierda un contacto importante").
Phishing de documentos compartidos
Es posible que reciba un correo electrónico que parece proceder de una plataforma de documentos compartidos (como SharePoint o Google Drive) que le avisa de que se ha compartido un documento con usted. El enlace proporcionado en estos correos electrónicos le llevará a una página de inicio de sesión falsa que imita la página de inicio de sesión real y robará las credenciales de su cuenta si las introduce.
Spoof Emails
Un spoof email es cuando un atacante envía un correo electrónico haciéndose pasar por un remitente diferente. Suele utilizarse en combinación con los ataques anteriores para aumentar la confianza en el correo electrónico recibido, bajando la guardia.
¿Qué debe tener en cuenta?
La mayoría de las plataformas de correo electrónico filtran muchos mensajes maliciosos, pero es inevitable que algunos lleguen, sobre todo a personas que ocupan altos cargos o cuyos datos de contacto son más públicos. Por eso siempre hay que estar alerta al abrir cualquier correo electrónico que se reciba. Hemos reunido algunas señales de advertencia obvias que debe tener en cuenta al abrir cualquier correo electrónico...
Advertencias obvias
Advertencias de remitente no verificado
Es posible que en tu bandeja de entrada aparezca el mensaje "No verificado" o algo similar junto al remitente. El proveedor de correo electrónico intenta advertirte de que el remitente puede ser sospechoso.
Advertencias en la línea de asunto y en el cuerpo del correo electrónico
En plataformas de correo electrónico como Office 365, los administradores pueden configurar políticas personalizadas que preceden el asunto de un correo electrónico con [ADVERTENCIA] o [PRECAUCIÓN] cuando se reciben correos electrónicos de un remitente no reconocido. Cuando este es el caso, el cuerpo del correo electrónico también va precedido de un mensaje de advertencia o precaución como el siguiente.
Solicitudes anormales
Los correos electrónicos de phishing le solicitarán que realice algún tipo de acción, por lo que si recibe una solicitud de cualquiera de los siguientes elementos, debe tratarla como sospechosa;
1. Haga clic en un enlace incrustado que le lleve a un sitio web
2. Responder al correo electrónico proporcionando información sensible como nombre de usuario, contraseña o información de identificación personal.
3. Realizar acciones financieras como transferencias bancarias o facilitar datos bancarios o de tarjetas de crédito.
Urgencia de tiempo
Los correos electrónicos de phishing suelen crear una sensación de urgencia del tipo "debe hacer esto en la próxima 1 hora para no perder el acceso" o "puede hacer la transferencia bancaria hoy para que no perdamos un negocio crítico". Si la solicitud es auténtica y realmente urgente, a menudo el correo electrónico no es la mejor forma de comunicación y esto debería levantar sospechas.
Mala ortografía/gramática
Los correos electrónicos de phishing también suelen utilizar una ortografía pobre o incorrecta, así como una gramática deficiente. Si el tono del correo electrónico no parece coincidir con el de la persona que parece enviarlo, siempre debe intentar verificar la solicitud, ya sea cara a cara o mediante una llamada de vídeo/audio, para estar seguro de que habla con la persona correcta.
Advertencias sutiles
A veces las señales son un poco menos evidentes, pero con algunas comprobaciones básicas es posible detectar los correos electrónicos de phishing. A continuación se muestra un ejemplo de un correo electrónico de alguien que se hace pasar por PayPal. A primera vista, el correo electrónico parece legítimo, pero con algunas comprobaciones rápidas podemos identificarlo como un correo electrónico de phishing.
1. Si nos fijamos en la dirección de correo electrónico del remitente en el ejemplo, parece ser de "service@intl.paypal.com", pero en una inspección más detallada verá que en realidad es de "service.epaiypal@outlook.com".
2. El correo electrónico contiene un enlace de inicio de sesión que conduce a un sitio sin escrúpulos. Puede comprobar a dónde le llevará el enlace de cualquier correo electrónico pasando el ratón por encima de la URL, que mostrará la dirección a la que conduce para que pueda inspeccionarla antes de hacer clic en ella. Suele aparecer en una de las esquinas inferiores o, a veces, en el cursor.
Qué hacer y qué no hacer
Todo esto puede sonar un poco complicado, pero en general, si sigues lo que debes y no debes hacer a continuación, tendrás muchas posibilidades de detectar cualquier correo electrónico de phishing.
- Preste atención a las señales de arriba.
- Intente verificar el remitente a través de otro método de comunicación si no está seguro.
- NO transmita información sensible o de identificación personal por correo electrónico siempre que sea posible, especialmente cuando proceda de una solicitud ciega o externa.
- NO tome medidas financieras o de administración de TI sin verificar por otro método de comunicación.
- NO haga clic en los enlaces de los correos electrónicos sin comprobar antes a dónde conduce la URL.
- NO ABRA archivos adjuntos de remitentes sospechosos o desconocidos.
- NO comparta sus credenciales de acceso con nadie bajo ninguna circunstancia.
