El phishing se erige como una de las tácticas de ciberdelincuencia más utilizadas en este momento. El phishing puede ser preocupantemente fácil de llevar a cabo y puede provocar la infección del dispositivo y el robo de datos altamente confidenciales. Además, casi todo el mundo corre el riesgo de ser víctima de un ataque de phishing. Pero, ¿qué es en realidad? ¿Cómo funciona el phishing? ¿Y puedes evitarlo?
La historia del phishing
El acto de phishing se remonta a mediados de la década de 1990, cuando las computadoras se veían y funcionaban de manera muy diferente a las que usamos hoy. Durante este tiempo, AOL (América en línea), un popular servicio de acceso telefónico estadounidense, fue el proveedor de Internet elegido por muchos. Esto lo convirtió en un objetivo clave para los phishers, que optaron por hacerse pasar por personal de AOL para robar valiosa información de inicio de sesión de las víctimas.
Cinco años después, más de 50 millones de computadoras se infectaron con algo conocido como Love Bug. Este fue un virus que se propagó entre los dispositivos a través de la ingeniería social. Como sugiere el nombre, esta estratagema se basó en el atractivo del amor para estafar a las víctimas. Los objetivos recibirían un correo electrónico con un archivo adjunto que, según el remitente, era una carta de amor. Las personas curiosas optaron por abrir este archivo adjunto, pero no se dieron cuenta de que estaban dando paso a una estafa peligrosa.
El virus Love Bug se replicaría a sí mismo para propagarse, convirtiéndolo en un especie de gusano informático. También era una versión acelerada de un error anterior creado por el perpetrador, que era capaz de robar contraseñas. Esta nueva versión del virus podía usar secuencias de comandos de Visual Basic en Outlook como punto de entrada, que luego permitió al operador piratear las cuentas de correo electrónico de las víctimas y enviar correos electrónicos de phishing a todos dentro de su dirección lista.
La forma en que los métodos de phishing pueden manipularse para jugar con las emociones de uno es lo que a menudo lo hace tan exitoso. El virus Love Bug se aprovechaba de la soledad, mientras que otros phishers utilizan un sentido de urgencia en sus comunicaciones para asustar a la víctima y hacer que cumpla. Entonces, veamos cómo funcionan estos ataques en detalle.
¿Cómo funciona el phishing?
Para comprender mejor cómo funciona el phishing, veamos un ejemplo típico de phishing, conocido como phishing de credenciales. Esta empresa maliciosa busca robar las credenciales de inicio de sesión de los usuarios para piratear cuentas. Esto podría hacerse para difundir más mensajes de phishing, robar datos o simplemente jugar con el perfil de alguien. Algunas personas tienen sus cuentas de redes sociales pirateadas sin otro motivo que publicar lenguaje inapropiado u odioso.
Supongamos que Alice recibe un correo electrónico de Walmart que indica que se ha observado actividad sospechosa en su cuenta de compras en línea. El correo electrónico también solicitaría que inicie sesión en su cuenta a través de un enlace proporcionado para que pueda verificar el problema o verificar su identidad.
Es probable que Alice se sienta nerviosa o asustada al ver esto y, naturalmente, se preocupe de que alguien haya comprometido su cuenta. Esta preocupación puede empujar a Alice a cumplir con la solicitud del correo electrónico para que aparentemente pueda resolver el problema lo antes posible. Es este miedo en el que se apoya fuertemente el phisher. Incluso pueden declarar que la cuenta está amenazada o que podrían cerrarla si Alice no toma medidas.
Entonces, asumiendo que está llevando a cabo un procedimiento correctivo, Alice hace clic en el enlace proporcionado, que la lleva a una página de inicio de sesión de Walmart. Luego ingresa sus credenciales de inicio de sesión para iniciar sesión. En este punto, ya es demasiado tarde.
Las consecuencias del phishing
Lo que Alice no sabe es que esta no es la página de inicio de sesión legítima de Walmart. Más bien, es un sitio web malicioso diseñado para robar sus datos.
Cuando ingresa sus credenciales de inicio de sesión en esta página, el atacante que la controla puede interceptarlas y robarlas. Desde aquí, el atacante puede piratear directamente la cuenta de Walmart de Alice para realizar compras no autorizadas, o incluso puede usar otra información privada en la cuenta de Alice, como una dirección de correo electrónico o una dirección particular, para explotarla más.
El atacante a veces cambiará la contraseña de la cuenta comprometida después de iniciar sesión para que pueda bloquear a la víctima mientras realiza la estafa.
Alternativamente, el phisher puede tomar cualquier información privada que haya recopilado y venderla en un mercado ilícito. Hay hordas de diferentes mercados clandestinos en la web oscura, donde uno puede comprar cualquier cosa, desde un arma hasta los detalles de la tarjeta de crédito de alguien. Los datos confidenciales son muy valiosos en estos sitios, con números de seguro social, contraseñas e incluso pasaportes que se enumeran a la venta.
Los actores malintencionados pueden ganar miles o incluso millones de dólares a través de la venta ilegal de datos en la dark web, por lo que no sorprende que muchos estén haciendo todo lo posible para tenerlo en sus manos.
La suplantación de identidad es un elemento clave del phishing. Por supuesto, un atacante no te dirá rotundamente que es un atacante. Si este fuera el caso, su tasa de éxito sería increíblemente baja. En cambio, los actores maliciosos pretenderán ser una entidad oficial, como un minorista, un medio de comunicación social o un organismo gubernamental. Este aire de legitimidad se suma a la supuesta credibilidad del atacante y le da al objetivo una sensación de falsa confianza.
Aunque algunos ataques de phishing pueden llevarse a cabo en cuestión de minutos o segundos, algunos tardan días o semanas en completarse. Si el atacante necesita desarrollar una mayor confianza con el objetivo para atraerlo a divulgar información altamente confidencial. Por ejemplo, un atacante podría hacerse pasar por un colega en una gran corporación que necesita la información del objetivo para verificar algo, restablecer su cuenta o similar.
Con el tiempo, el phisher creará un aire de profesionalismo que ciega a la víctima de lo que realmente está sucediendo. Pueden intercambiar múltiples correos electrónicos, a través de los cuales la guardia de la víctima baja cada vez más. Es este cambio gradual de cauteloso a dispuesto lo que los phishers intentan forjar en sus objetivos.
Y el phishing también se puede utilizar para propagar software malicioso. Esto podría ser cualquier cosa, desde spyware escurridizo hasta ransomware altamente peligroso. Por lo tanto, el phishing puede afectar a un dispositivo y a su propietario de diversas formas.
Si bien puede ser fácil suponer que nunca caería en un ataque de phishing, estas estafas se vuelven cada vez más sofisticadas cada año. Las páginas de phishing ahora pueden verse idénticas a los sitios que están engañando, y los atacantes son expertos en redactar sus correos electrónicos de una manera convincente pero profesional.
Entonces, ¿qué puedes hacer para evitar el phishing?
Cómo evitar el phishing
La suplantación de identidad suele realizarse por correo electrónico, aunque se puede realizar a través de cualquier tipo de servicio de mensajería. Debido a que las direcciones de correo electrónico no se pueden replicar, es probable que un phisher cree una que sea casi idéntica a la dirección oficial. Por eso es importante verificar la dirección del remitente en busca de errores ortográficos inusuales u otros.
Además, debe tener cuidado con los enlaces que se le proporcionan a través del correo electrónico, independientemente de cuánto crea que puede confiar en el remitente. Los phishers a veces piratean cuentas para enviar correos electrónicos a todos los contactos disponibles. Es mucho más probable que las personas abran un enlace si es de un amigo, familiar u otra persona de confianza, lo que también influye en el éxito del ataque de phishing.
Por lo tanto, no importa quién le envíe un enlace, siempre debe verificarlo primero. Puedes hacer esto usando un sitio web de verificación de enlaces que puede determinar si un enlace es malicioso o seguro. También puede usar un verificador de dominios para ver si un sitio web es legítimo. Por ejemplo, si recibió lo que parece ser un enlace a la página de inicio de sesión de Instagram, pero el dominio tiene solo unos días, probablemente se trate de una estafa.
También debe utilizar las funciones antispam de su proveedor de correo electrónico para filtrar correos electrónicos maliciosos para que no lleguen directamente a su bandeja de entrada.
También es crucial equipar su dispositivo con altos niveles de seguridad para evitar el malware. Aunque el phishing se puede usar para propagar varios tipos de malware, gran parte de él se puede detener en seco mediante el uso de un software antivirus legítimo. Nadie quiere pagar una tarifa por algo que simplemente se ejecuta en segundo plano, pero puede marcar la diferencia si alguna vez es atacado por un atacante malicioso.
Los errores de ortografía en las comunicaciones también pueden ser otro indicador de estafa. Las entidades oficiales a menudo se aseguran de que sus mensajes estén escritos con la ortografía y la gramática correctas, mientras que algunos ciberdelincuentes pueden ser un poco descuidados aquí.
El phishing está en todas partes, pero se puede detener
El phishing es una gran preocupación para nosotros. Este tipo de ataque pone en riesgo nuestros datos y dispositivos y puede tener graves consecuencias. Consulte los consejos anteriores si desea protegerse contra este ciberdelito malicioso y manténgase alerta.
