Spear phishing: ci­ber­ata­ques pe­r­so­na­li­za­dos

El spear phishing es una forma de phishing dirigida en la que los atacantes envían correos ele­c­tró­ni­cos o mensajes pe­r­so­na­li­za­dos a personas u or­ga­ni­za­cio­nes es­pe­cí­fi­cas para robarles in­fo­r­ma­ción co­n­fi­de­n­cial o in­tro­du­cir malware. A di­fe­re­n­cia del phishing general, el spear phishing se basa en in­fo­r­ma­ción personal sobre la víctima para parecer es­pe­cia­l­me­n­te creíble.

¿Qué es el spear phishing?

El principio del phishing es sencillo: los es­ta­fa­do­res crean correos ele­c­tró­ni­cos, páginas web e incluso mensajes cortos de carácter falso que parecen au­té­n­ti­cos y que solicitan in­fo­r­ma­ción de inicio de sesión de los usuarios. Es así como los es­ta­fa­do­res se hacen con los datos de acceso para tiendas online, redes sociales o espacios de al­ma­ce­na­mie­n­to en la nube.

El spear phishing es una variante del phishing. En lugar de dirigirse a un público lo más amplio posible con, por ejemplo, correos de spam, los de­li­n­cue­n­tes se­le­c­cio­nan cui­da­do­sa­me­n­te a su grupo objetivo. Gracias a in­fo­r­ma­ción es­pe­cí­fi­ca del grupo se­le­c­cio­na­do, son capaces de crear mensajes y páginas web muy creíbles. Esta técnica requiere un esfuerzo mayor, pero su tasa de éxito también resulta mucho más alta.

¿Cómo funciona el spear phishing?

Este tipo de ataque se­le­c­cio­na a una víctima concreta y el engaño se adapta de forma precisa a la persona elegida. Por eso, el principal foco de estos ataques suelen ser empresas y or­ga­ni­za­cio­nes. Los agentes que emplean esta variante de phishing también suelen di­fe­re­n­ciar­se de los es­ta­fa­do­res ha­bi­tua­les. En lugar de recopilar todo tipo de in­fo­r­ma­ción aleatoria para venderla en la darknet (red oscura) al mejor postor, estos ladrones actúan di­re­c­ta­me­n­te contra la víctima elegida para pe­r­ju­di­car di­re­c­ta­me­n­te a la empresa u or­ga­ni­za­ción afectada. Además del robo de datos bancarios, también se cometen delitos de espionaje in­du­s­trial y ci­ber­ata­ques a objetivos militares o la in­frae­s­tru­c­tu­ra de una región.

En la fase inicial de la estafa, los de­li­n­cue­n­tes in­ve­s­ti­gan a su objetivo y recopilan in­fo­r­ma­ción para que su mensaje resulte más creíble en las si­guie­n­tes fases. A co­n­ti­nua­ción, elaboran un correo ele­c­tró­ni­co adaptado mi­nu­cio­sa­me­n­te a la or­ga­ni­za­ción en cuestión. Por lo general, suelen usar una supuesta figura de autoridad o un supuesto socio comercial como remitente. Por eso, el spear phishing goza de un índice de éxito es­pe­cia­l­me­n­te elevado entre las grandes mu­l­ti­na­cio­na­les y grupos em­pre­sa­ria­les, ya que no todo el mundo conoce a todos los im­pli­ca­dos de la es­tru­c­tu­ra co­r­po­ra­ti­va al completo. Así, consiguen que la víctima revele datos sensibles o se descargue software malicioso.

Ex­pli­ca­ción del spear phishing por medio de un ejemplo

Su­po­n­ga­mos que un estafador ha elegido un grupo em­pre­sa­rial mu­l­ti­na­cio­nal como víctima. En primera instancia, intentará reunir la mayor cantidad posible de in­fo­r­ma­ción sobre la empresa: ¿cuál es su es­tru­c­tu­ra? ¿Cómo funciona la co­mu­ni­ca­ción interna? ¿En qué sectores opera la actividad de la empresa? También intentará hacerse con una lista de di­s­tri­bu­ción de correo ele­c­tró­ni­co para conseguir las di­re­c­cio­nes de correo ne­ce­sa­rias. El atacante no enviará el correo ele­c­tró­ni­co a toda la empresa, puesto que el riesgo de que lo descubran y que toda la empresa quede en estado de alerta es demasiado elevado. En su lugar, el estafador pe­r­so­na­li­za el mensaje para cada de­s­ti­na­ta­rio y en su mensaje se dirige di­re­c­ta­me­n­te a ellos. El atacante ya ha re­co­pi­la­do in­fo­r­ma­ción detallada de los empleados a través de las redes sociales. Por eso, el mensaje parece es­pe­cia­l­me­n­te creíble a ojos de la víctima. Por norma general, se suele elegir un supuesto empleado de alto rango de otra filial como autor del correo ele­c­tró­ni­co. El nombre y la dirección del remitente son muy fáciles de fa­l­si­fi­car y así, a primera vista, no parece que el mensaje haya sido enviado por otra persona.

En el correo ele­c­tró­ni­co, el atacante incluye un botón que dirige a la víctima a una página web falsa al hacer clic. En este proceso, se oculta el verdadero destino del enlace. En cuanto el usuario haya accedido a la página web, se puede instalar software malicioso en un segundo plano. Si este software se extiende por el ordenador de la víctima, es posible que el estafador pueda espiar toda la red co­r­po­ra­ti­va de la empresa.

En este punto, la víctima todavía cree que ha visitado una página web co­n­ve­n­cio­nal para pa­r­ti­ci­par, por ejemplo, en una encuesta. Así, el virus se puede extender por toda la red co­r­po­ra­ti­va sin ser detectado y el atacante obtiene acceso pleno a la red y puede in­te­r­fe­rir en procesos im­po­r­ta­n­tes para la empresa.

¿Cómo puedes pro­te­ge­r­te del spear phishing?

Consejo 1: mantén una actitud de de­s­co­n­fia­n­za

La mejor defensa ante el spear phishing es un buen nivel de de­s­co­n­fia­n­za. Si no accedes a un enlace de­s­co­no­ci­do ni abres un anexo so­s­pe­cho­so, en principio, no puedes co­n­ve­r­ti­r­te en víctima de estos ataques. El problema radica en que estos ataques (a di­fe­re­n­cia de los correos ele­c­tró­ni­cos de phishing más comunes) están muy bien ela­bo­ra­dos. Mientras que, en los correos ha­bi­tua­les de spam, las faltas de or­to­gra­fía y las afi­r­ma­cio­nes sin sentido del mensaje ya nos hacen sospechar del carácter dudoso del correo, los mensajes de spear phishing están mucho mejor hechos. Tra­n­s­mi­ten seriedad y au­te­n­ti­ci­dad.

Consejo 2: mantén la cabeza fría

Los ataques de spear phishing se apro­ve­chan de los puntos débiles de las personas, pri­n­ci­pa­l­me­n­te la cu­rio­si­dad y el miedo. Las personas ex­ce­si­va­me­n­te preo­cu­pa­das por perderse un asunto im­po­r­ta­n­te corren mayor riesgo de dejar a un lado su de­s­co­n­fia­n­za y caer en la trampa. Por eso, a menudo, los mensajes spear phishing te prometen opo­r­tu­ni­da­des que podría impulsar tu carrera pro­fe­sio­nal o usan un tono tan au­to­ri­ta­rio que parece que te en­fre­n­ta­rás a graves co­n­se­cue­n­cias si no haces caso a su contenido.

Consejo 3: protege los datos sensibles

El spear phishing solo puede funcionar si el atacante es capaz de recopilar su­fi­cie­n­te in­fo­r­ma­ción sobre la víctima. La primera vía para conseguir esta in­fo­r­ma­ción son las cuentas de redes sociales. Por lo tanto, es re­co­me­n­da­ble no facilitar demasiada in­fo­r­ma­ción en estas redes, sobre todo, si se trata de in­fo­r­ma­ción relativa al trabajo. mediante técnicas de in­ge­nie­ría social, los es­ta­fa­do­res intentan hacerse con más in­fo­r­ma­ción. De nuevo, hay que extremar la pre­cau­ción: nunca se debe facilitar in­fo­r­ma­ción sensible, por mucha confianza que nos transmita el contacto.

Consejo 4: comprueba el remitente en el protocolo de envío

En el propio mensaje también se puede detectar su carácter ilegítimo. Sobre todo, en el caso de los correos ele­c­tró­ni­cos, siempre es re­co­me­n­da­ble revisar con atención el remitente. Aunque el nombre y la dirección del remitente pueden estar fa­l­si­fi­ca­dos, en el protocolo de envío del correo ele­c­tró­ni­co aparecerá la dirección real que se ha empleado. Muchos programas modernos de correo ele­c­tró­ni­co, como Outlook, han su­s­ti­tui­do la fuente del correo ele­c­tró­ni­co por un nombre de muestra, no obstante (con mayor o menor co­m­pli­ca­ción), se puede consultar el en­ca­be­za­do de un correo ele­c­tró­ni­co. Si allí detectas que la dirección de origen no coincide con la del remitente, es muy probable que se trate de un fraude.

Consejo 5: evita el uso de HTML y la descarga au­to­má­ti­ca de imágenes

Otra medida de seguridad para el in­te­r­ca­m­bio de correos ele­c­tró­ni­cos consiste en evitar HTML y no permitir que las imágenes se recarguen de forma au­to­má­ti­ca. De esta forma evitarás que los programas ma­li­cio­sos accedan al ordenador al abrir el mensaje.

Consejo 6: no abras los archivos adjuntos

Por norma general, nunca debes abrir los archivos adjuntos de re­mi­te­n­tes de­s­co­no­ci­dos. Antes de nada, debes comprobar la identidad del remitente. Aunque el remitente parezca fiable, haces bien en de­s­co­n­fiar si no te habías co­mu­ni­ca­do pre­via­me­n­te con él e, incluso si parece conocido, no debes abrir do­cu­me­n­tos anexos que no esperas de este remitente. El ordenador del remitente conocido podría haber sido infectado ya por un programa malicioso. En caso de duda, contacta con el remitente para confirmar la au­te­n­ti­ci­dad del correo.

Consejo 7: comprueba exhau­s­ti­va­me­n­te los enlaces y las URL

También debes tener mucho cuidado con las di­re­c­cio­nes de Internet que se esconden tras un enlace. Se pueden ver antes de hacer clic en el hi­pe­r­ví­ncu­lo. Mediante la fa­l­si­fi­ca­ción de URL (spoofing) los atacantes intentan que su dominio parezca una dirección legítima. Pero si prestas un poco de atención, puedes detectar esta trampa rá­pi­da­me­n­te. Conviene expandir las di­re­c­cio­nes acortadas para ver el destino real.

Consejo 8: protege tus correos ele­c­tró­ni­cos contra la fa­l­si­fi­ca­ción del remitente

Además de las medidas de pro­te­c­ción in­di­vi­dua­les, la co­n­fi­gu­ra­ción técnica del servidor de correo desempeña un papel crucial en la lucha contra el spear phishing. Con los registros SPF, DKIM y es­pe­cia­l­me­n­te DMARC, es posible proteger las di­re­c­cio­nes de los re­mi­te­n­tes, de modo que los correos ele­c­tró­ni­cos que su­pue­s­ta­me­n­te provienen de un dominio puedan ve­ri­fi­car­se té­c­ni­ca­me­n­te. De esta manera, una empresa puede evitar que los ci­be­r­de­li­n­cue­n­tes envíen mensajes fa­l­si­fi­ca­dos en nombre de su dominio.