Cómo identificar y detener un ataque de phishing
El phishing es un problema real. Uno que puede causar estragos en su vida digital y financiera. Aquí veremos diferentes maneras de identificar una estafa de phishing y detenerla en su camino.
El phishing es la práctica de enviar correos electrónicos (u otros mensajes) con la intención de hacer creer al destinatario que proviene de una determinada empresa o persona. El phishing induce a los destinatarios a divulgar información importante, como contraseñas y datos de usuario, o incluso números de tarjetas de crédito, que el hacker o ciberdelincuente puede utilizar para robar dinero o chantajear a las víctimas vulnerables.
El phishing también se denomina a veces "whaling" cuando utiliza la ingeniería social. Los correos electrónicos parecen proceder del gobierno, del banco o de equipos jurídicos. Estos correos electrónicos suelen obligar a las personas a hacer clic en enlaces dudosos. Hoy en día, cada vez más programas informáticos son secuestrados para añadir códigos maliciosos a los correos electrónicos con el fin de instalar programas no deseados en el ordenador de la víctima.
Las empresas suelen ser víctimas de estos ataques y los negocios pueden perder toneladas de tiempo y dinero porque los empleados recurren a patrones de navegación descuidados. Visitar ciertos sitios de dudosa reputación puede aumentar en gran medida las posibilidades de comprometer la seguridad. Los empleados deben comprender el riesgo de abrir archivos adjuntos o hacer clic en enlaces aleatorios.
Los 3 tipos más comunes de ataques de phishing
Spear phishing
Gira en torno a la utilización de un nombre de empresa falso y otros detalles. Los ataques Spear se dirigen a entidades específicas. Este tipo de ataque incluye dedicar tiempo a averiguar y, en consecuencia, añadir algunos detalles reales sobre el objetivo en el intento de phishing.
Un delincuente encuentra el nombre, el cargo y otros detalles de una persona importante de una empresa y los incluye en un correo electrónico de lanzamiento. El destinatario cree que el correo electrónico procede de una persona real de la empresa y es engañado para que proporcione información importante. Los atacantes suelen utilizar la información obtenida para atraer a más víctimas y duplicar el ataque de phishing.
Toma de posesión de la cuenta de correo electrónico
Todos los miembros de una organización (incluido el equipo ejecutivo) son vulnerables a los ataques de toma de posesión de cuentas de correo electrónico. Si un hacker adquiere los datos de acceso al correo electrónico de una persona de alto perfil en una empresa, puede dirigirse a casi todos los que tengan la dirección de correo electrónico de la empresa.
Suplantación de identidad por correo electrónico
1 de cada 99 correos electrónicos enviados es, de hecho, un correo electrónico de phishing y cada día se envían aproximadamente 3.400 millones de correos electrónicos fraudulentos.
Los correos electrónicos de suplantación de identidad requieren que el estafador utilice una dirección de correo electrónico que se asemeje a una dirección de correo electrónico real de una persona o empresa de confianza. Es probable que este correo electrónico incluya una solicitud de cambio de algún tipo de contraseña y le pida que introduzca la contraseña original o le pida que abra un archivo adjunto posiblemente cargado de malware.
Cómo identificar un correo electrónico de phishing
Conozca los identificadores clave de una estafa de phishing
Los hackers siempre están desarrollando nuevas formas de atacar a las personas a través de ataques de phishing, incluso ahora mismo mientras lees esto. Sin embargo, todos ellos tienen algunos puntos en común que hacen que sean fáciles de identificar si se sabe a qué atenerse.
Además, docenas de organizaciones de privacidad y seguridad en línea publican información sobre los últimos ataques de phishing, los detalles que los rodean y los marcadores clave. Cuanto antes descubras estos métodos de ataque y los comparta con los usuarios, más posibilidades tendrás de detener un ataque a tiempo.
No hagas clic inmediatamente en los enlaces
No es lo mejor empezar a hacer clic en los enlaces que recibes al azar en el messenger de Facebook, por SMS o a través del correo electrónico. Como mínimo, deberías pasar el ratón por encima del enlace para ver si el destino parece auténtico.
Consigue complementos gratuitos contra el phishing
Los navegadores como Chrome y Firefox tienen complementos que te avisan cuando visitas un sitio web malicioso diseñado para robar información. Muchas veces el diseño web esta hecho tan bien que no te darás cuenta.
Su instalación suele ser gratuita. Es una buena forma de prevenir los ataques más comunes.
No des tu información a un sitio inseguro
A pesar de que la mayoría de los sitios web de phishing utilizan ahora un protocolo seguro, sigue siendo mejor no introducir ninguna información sensible en sitios web no seguros. Si la URL del sitio comienza con https y tiene un icono de candado cerrado junto a la URL, se considera seguro. Estos indicadores señalan que el sitio está en un protocolo seguro https.
Rota las contraseñas con regularidad
Si tiene una cuenta en internet (¿y quién no?), cambia contraseñas con regularidad para evitar que alguien obtenga acceso no autorizado. Sus cuentas pueden verse fácilmente comprometidas, incluso sin que lo sepas, y cambiar las contraseñas es una de las medidas más eficaces que puede tomar para ayudar a prevenir los ataques.
No ignore las actualizaciones
Los mensajes de actualización son frustrantes y es fácil ignorarlos. Mucha gente suele relegarlas a un punto lejano en el futuro que nunca llega. Las actualizaciones suelen contener parches de seguridad críticos y éstos ayudan a prevenir los ataques de phishing que hacen uso de vulnerabilidades ya conocidas.
Instalar cortafuegos
Los cortafuegos son una buena forma de prevenir la mayoría de los ataques. Mantienen la seguridad de las redes y los ordenadores de sobremesa y reducen las probabilidades de que alguien se cuele.
No te dejes tentar por las ventanas emergentes
Las ventanas emergentes son molestas, pero aún más angustioso es el hecho de que a menudo están vinculadas a sofisticados programas de malware. Por favor, no haga clic en ellas.
La mayoría de los navegadores disponen de extensiones gratuitas de bloqueo de anuncios que están equipadas para bloquear las ventanas emergentes por sí solas. Incluso si algunas ventanas emergentes consiguen soltarse, no empieces a hacer clic en los enlaces que contienen. Intentan engañarte presentando un falso "botón de cierre" o "x". El botón real está en otra parte. Cualquier intento de hacer clic en el "botón x" sólo da lugar a más ventanas emergentes.
Utiliza una plataforma de seguridad de datos para alertarte de los ataques
Una plataforma de seguridad de datos alerta de ataques, comportamientos sospechosos y cambios no deseados en los archivos o registros. Si un atacante pone sus manos en información sensible, una plataforma de seguridad de datos puede identificar la cuenta y evitar más intentos inescrupulosos del atacante.
Mejores prácticas para prevenir los ataques de phishing
¿Cuáles son algunas formas prácticas de prevenir los ataques directos? Aquí está nuestra lista de mejores prácticas para evitar las estafas de phishing:
-Formación para empleados
-Filtro de SPAM para detectar virus y remitentes de spam
-Actualiza tu(s) sistema(s) con los parches de seguridad vigentes
-Utiliza un software antivirus o un detector de malware.
-Ten una política de seguridad que pida a los usuarios que restablezcan las contraseñas con regularidad
-Crea contraseñas fuertes y bastante seguras, algo con letras, números y caracteres especiales
-Convierte los correos electrónicos HTML en mensajes de sólo texto.
Las anteriores son sólo algunas de las medidas que debes tomar para protegerte del phishing en línea. Vigila las estrategias de seguridad en línea que decidas emplear y confirma si los pasos y políticas que sigues evolucionan con las nuevas tendencias de phishing.
Para concluir, se trata de una técnica de manipulación social, parecida al vishing y al smishing, enfocada en obtener información personal o financiera de las personas. En este caso, el método utilizado para engañar es una llamada telefónica.
Es importante comprender los ataques a los que puede enfrentarse y aprender a hacer frente a estos ataques, después de todo las personas informadas son la clave para prevenir los ataques y eliminar la vulnerabilidad.