El phishing es, en resumen, un ciberataque de suplantación de identidad, para engañar a usuarios y revelar información confidencial, como por ejemplo un número de tarjeta de crédito o un número de teléfono. Los atacantes imitan fuentes legítimas, como entidades bancarias, o redes sociales, para poder llevar a cabo su persuasión al eslabón más débil de la seguridad informática, las personas. La educación y concienciación digital son claves para identificar los intentos de phishing, tanto para proteger nuestra información personal, como la profesional.
¿Aún no tienes un servicio que disponga de correo electrónico corporativo? Te recomendamos echar un vistazo a nuestras ofertas de hosting.
cta:hosting
Los ataques de phishing se presentan en diversas formas que se adaptan para explotar diferentes vulnerabilidades y engañar a los objetivos de las maneras más singulares. Te enumeramos a continuación las más conocidas:
Email phishing: O también conocido "phishing por correo electrónico, es la forma más general de phishing, consiste en correos electrónicos no legítimos, imitando a empresas con la finalidad de obtener información, persona, o credenciales de acceso. Suelen contener enlaces a sitios web falsificados con apariencia real.
Spear phishing: Es dirigido de forma específica de email phishing a personas u organizaciones. Tras una recopilación inicial de información sobre la posible víctima, y poder elaborar un correo electrónico más convincente. Dentro del ataque spear phishing, se encuentra el Whaling, el cual se dirigen a personas con un alto perfil laboral, como directores financieros, o directores generales.
Correo electrónico comercial comprometido: También conocido por BEC por sus siglas en inglés, los ciberdelincuentes se intentan hacer pasar por ejecutivos, o bien empleados de una entidad, para intentar inducir a otras personas a enviar transferencias monetarias o información a cuentas falsas.
Clon phishing: Se trata de una réplica casi idéntica de un correo electrónico legítimo que el destinatario ha recibido previamente, pero con enlaces o adjuntos maliciosos. Su peligrosidad radica en que puede ser de fiar, dado que parece proceder de una fuente de confianza.
Pharming: Tiene como finalidad, redirigir a los usuarios de sitios web oficiales a otros sitios web fraudulentos. Para este fin, se suele realizar un ataque de manipulación de la configuración DNS (DNS Spoofing).
Smishing: O bien phishing por sms, éste ataque consiste en el envío de mensajes de texto al dispositivo móvil, con el objetivo de engañar a la posible víctima para que haga clic en enlaces fraudulentos, o bien pueda facilitar datos personales.
Angler Phishing: El ciberdelincuente se hace pasar por el personal de atención al cliente o soporte de una entidad en redes sociales u otras plataformas con el objetivo de solicitar información privada o dirigiéndolos a sitios web de phishing.
Phishing emergente: En el navegador web aparecen ventanas emergentes mientras el usuario navega por la red, afirmando que tiene un virus informático en su dispositivo, o bien que ha ganado un premio. Suele ser para que el usuario introduzca información personal o descargue software malicioso.
Protegerte tanto a ti como a tu empresa, consta de dos partes. En primer lugar, es altamente recomendable que todos los integrantes de la empresa sepan cómo identificar los mensajes de phishing y sus distintos ataques. En segundo lugar, es tener una buena infraestructura de ciberseguridad de todos los ordenadores y dispositivos relacionados con la empresa. Ante este tipo de situaciones, igual que ante cualquier otro mensaje no deseado o spam, lo más adecuado es eliminarlos y no hacerles caso. Ante un caso de phishing siempre debes tener presente las siguientes recomendaciones:
Presta especial atención con los correos que parecen ser de alguna entidad bancaria o servicio si no lo esperabas.
Duda si en el cuerpo del mensaje hay errores gramaticales, pues ningún servicio con reputación enviaría mensajes mal redactados.
Las prisas nunca fueron buenas; desconfía.
Revisa que el texto del enlace en el mensaje coincide con la dirección a la que lleva, y que esta corresponde a la URL oficial del servicio. En estos casos, es usual que los enlaces ocultos no coincidan con el texto del mensaje, y llevan a sitios no deseados para guardar tu información.
Una entidad con cierta reputación, utilizará sus propios dominios para sus direcciones de correos corporativos. Si recibes un comunicado electrónico desde una dirección diferente a la de la empresa que en principio te la envía, sospecha.
Puedes recordar esta fórmula: solicitud de datos bancarios + datos personales = fraude.
Recuerda que todo suma. Si has detectado un posible caso de phishing, puedes trasladar el caso a la entidad española INCIBE, el Instituto Nacional de Ciberseguridad. Para ello, ponen a tu disposición un formulario de contacto para que expongas tu caso, además de su buzón de correo electrónico [email protected]. Cuando se reporta el incidente mediante el formulario o correo, el personal de INCIBE se encarga de su evaluación, y ayudar para poder mitigarlo y llegar a la resolución, tanto en el aspecto técnico del ataque informático, como la denuncia en otras entidades.
¿Te gustaría alojar tus servicios de correo corporativo en tu propio servidor privado? Échale un vistazo a nuestras soluciones cloud con nuestro SWPanel integrado que te facilitará enormemente todas tus gestiones.
cta:cloud_app_swpanel_smart_d5
