El phishing es un tipo de ataque informático en el que los delincuentes intentan obtener información confidencial, como contraseñas, información bancaria o de tarjetas de crédito, haciéndose pasar por una entidad legítima a través de correos electrónicos, mensajes de texto, llamadas telefónicas o sitios web falsos. 

Los correos electrónicos o mensajes de phishing a menudo incluyen enlaces que parecen legítimos, pero en realidad llevan a sitios web falsos que pueden parecerse a los sitios web reales, pero que están diseñados para robar información personal. Es importante tener cuidado al abrir correos electrónicos y mensajes de texto sospechosos, y nunca proporcionar información personal a través de sitios web no confiables.

Características del phishing

Algunas características del phishing son:

• Suplantación de identidad: los atacantes se hacen pasar por una entidad legítima, como una empresa o una organización gubernamental, para engañar a las personas.
• Engaño: los ataques de phishing suelen utilizar tácticas engañosas para incitar a las personas a proporcionar información confidencial, como mensajes de correo electrónico que afirman que hay un problema con la cuenta del destinatario y que deben proporcionar sus credenciales para solucionarlo.
• Uso de enlaces o archivos adjuntos maliciosos: los correos electrónicos o mensajes de phishing suelen incluir enlaces o archivos adjuntos maliciosos que, una vez que se hacen clic o se descargan, pueden instalar malware en el equipo del usuario o dirigirlo a un sitio web falso.
• Falsificación de sitios web: los sitios web falsos creados por los atacantes a menudo tienen una apariencia similar a la de los sitios web legítimos, lo que puede hacer que las personas proporcionen información sin darse cuenta de que están siendo engañadas.
• Consecuencias negativas: el phishing puede tener consecuencias negativas, como la pérdida de información personal o financiera, la exposición a malware o la infección del sistema informático, el robo de identidad y el fraude financiero.

Tipos de ataques del phishing

Hay varios tipos de ataques de phishing, cada uno con sus propias características y enfoques. Algunos de los tipos de ataques de phishing más comunes incluyen:

Phishing de suplantación de identidad

En este tipo de ataque, el atacante se hace pasar por una entidad de confianza, como un banco, una empresa de tecnología o una red social. Los correos electrónicos, mensajes de texto o sitios web falsos se utilizan para engañar a las personas y hacer que revelen información confidencial.

Spear Phishing

En el spear phishing, los atacantes se dirigen a individuos específicos o a un grupo selecto de personas, a menudo empleando información personal previamente recopilada. Esto hace que los ataques sean más convincentes y peligrosos.

Whaling

Este es un tipo de phishing dirigido a personas de alto nivel en una organización, como CEOs o directores ejecutivos. Los atacantes pretenden ser personas de confianza o miembros de la alta dirección para obtener información sensible.

Vishing

El vishing es la versión de phishing que se realiza a través de llamadas telefónicas. Los atacantes se hacen pasar por entidades legítimas y solicitan información confidencial por teléfono.

Smishing

En el smishing, los atacantes utilizan mensajes de texto o SMS para engañar a las personas. Estos mensajes suelen contener enlaces maliciosos o solicitudes de información personal.

Pharming

En lugar de depender de la interacción del usuario, el pharming redirige automáticamente a las víctimas a sitios web falsos, sin que estas lo sepan. Esto se logra a menudo manipulando la configuración de DNS o utilizando software malicioso.

Clone Phishing

En este tipo de ataque, un correo electrónico legítimo previamente enviado se clona y se modifica para incluir enlaces maliciosos o adjuntos. El correo electrónico clonado se envía nuevamente a la víctima, lo que puede hacer que parezca más confiable.

Malware distribuido a través de phishing

Los atacantes pueden utilizar correos electrónicos de phishing para distribuir malware, como troyanos o ransomware, que se instala en los sistemas de las víctimas una vez que hacen clic en un enlace o abren un archivo adjunto.

Phishing de soporte técnico

En este tipo de estafa, los atacantes hacen que las víctimas crean que tienen problemas técnicos en sus computadoras y les instan a llamar a un número de soporte técnico falso, donde se les solicitará información confidencial o se les pedirá acceso remoto a sus sistemas.

Phishing de redes sociales

Los atacantes utilizan plataformas de redes sociales para crear perfiles falsos o engañar a las personas para que hagan clic en enlaces maliciosos que llevan a sitios de phishing.

Recomendaciones para evitar el Phishing

Algunas recomendaciones para ayudar a evitar el phishing:

• Sospecha de correos electrónicos no solicitados: Sé escéptico con los correos electrónicos no solicitados o inesperados, especialmente si contienen enlaces o archivos adjuntos. No hagas clic en enlaces ni descargues archivos adjuntos de correos electrónicos sospechosos.
• Verifica la dirección de correo electrónico del remitente: Examina la dirección de correo electrónico del remitente para asegurarte de que sea legítima. Los atacantes pueden falsificar la dirección del remitente, así que presta atención a los detalles.
• No reveles información confidencial: Nunca proporciones información personal, contraseñas, números de tarjeta de crédito o datos financieros a través de correos electrónicos o sitios web no verificados.
• Utiliza la autenticación de dos factores (2FA): Habilita la autenticación de dos factores siempre que sea posible. Esto agrega una capa adicional de seguridad al requerir una segunda forma de autenticación además de la contraseña.
• Verifica la autenticidad de los sitios web: Antes de ingresar información en un sitio web, asegúrate de que la dirección (URL) sea correcta y que el sitio utilice cifrado (comienza con “https://”). Ten cuidado con las imitaciones de sitios web, que a menudo tienen direcciones web similares a las legítimas.
• Mantén tu software actualizado: Mantén tu sistema operativo, navegadores y programas de seguridad actualizados para protegerte de vulnerabilidades conocidas que los atacantes pueden explotar.
• Instala un software antivirus confiable: Utiliza software antivirus y antimalware actualizado en tus dispositivos para ayudar a detectar y prevenir amenazas.
• Educa a los empleados y familiares: Capacita a tus empleados y a tus familiares sobre los riesgos del phishing y cómo identificar correos electrónicos o mensajes sospechosos. La concienciación es fundamental para evitar caer en trampas de phishing.
• Utiliza filtros de correo no deseado: Aprovecha las funciones de filtro de correo no deseado en tu cliente de correo electrónico para reducir la cantidad de correos electrónicos de phishing que llegan a tu bandeja de entrada.
• Confirma solicitudes inusuales: Si recibes una solicitud inusual o sospechosa por correo electrónico, incluso si parece provenir de una fuente conocida, verifica su autenticidad contactando a la entidad a través de canales oficiales antes de tomar cualquier medida.
• Reporta correos electrónicos de phishing: Si recibes un correo electrónico de phishing, repórtalo a la entidad legítima y a las autoridades cibernéticas de tu país. También puedes marcarlo como correo no deseado en tu cliente de correo electrónico.
• Mantén un respaldo de datos: Realiza copias de seguridad de tus datos importantes en caso de que te conviertas en víctima de un ataque de ransomware o pérdida de datos.

Empresas víctimas del Phishing

Varias empresas y organizaciones han sido víctimas de ataques de phishing a lo largo de los años. Estos ataques pueden tener graves consecuencias para la empresa, incluyendo la pérdida de datos confidenciales, la exposición de información sensible y el daño a la reputación. Aquí hay algunos ejemplos de empresas y organizaciones que han experimentado ataques de phishing notables:

Sony Pictures Entertainment (2014)

Sony Pictures sufrió un ataque de phishing que resultó en la filtración de una gran cantidad de datos confidenciales, incluyendo correos electrónicos internos, información financiera y películas no lanzadas. El grupo de hackers “Guardians of Peace” se atribuyó la responsabilidad y afirmó que fue en respuesta al lanzamiento de la película “The Interview”.

Equifax (2017)

La compañía de informes crediticios Equifax fue víctima de un ataque de phishing que llevó a una brecha de seguridad masiva. Los atacantes explotaron una vulnerabilidad en una aplicación web y accedieron a información personal de casi 147 millones de personas, incluyendo números de seguridad social y datos financieros.

Google (2017)

Google sufrió un ataque de phishing que se dirigía principalmente a periodistas y activistas. Los atacantes enviaron correos electrónicos maliciosos que pretendían ser de Google y solicitaban credenciales de inicio de sesión. Los atacantes pudieron acceder a las cuentas de correo electrónico de las víctimas.

Wannacry Ransomware (2017)

Aunque no fue un ataque de phishing típico, el ransomware WannaCry se propagó a través de un exploit de phishing llamado EternalBlue. El ataque afectó a organizaciones de todo el mundo, incluyendo hospitales, empresas y gobiernos.

IRS (Internal Revenue Service) (varios años)

Los estafadores han utilizado ataques de phishing dirigidos a los contribuyentes, haciéndose pasar por el IRS de Estados Unidos. Los correos electrónicos de phishing suelen incluir solicitudes de información personal o financiera y pueden ser particularmente efectivos durante la temporada de impuestos.

Yahoo (2013 y 2014)

Yahoo experimentó dos brechas masivas que afectaron a miles de millones de cuentas de usuarios. Los atacantes utilizaron el phishing como parte de sus tácticas para acceder a las cuentas de los usuarios y robar información.