Phishing: técnicas de ataque y ejemplos

El phishing es uno de los métodos de robo de credenciales más extendidos que utilizan los ciberdelincuentes en todo el mundo. Es fácil de disfrazar. Su eficiencia es extremadamente alta y es difícil culpar a la organización de phishing por cualquier delito cibernético. La víctima les trae las credenciales él mismo, sin que los ladrones lo obliguen, por lo que apenas puede clasificarse como extorsión o propagación de malware.

Las formas de phishing son numerosas y probablemente sea imposible mencionarlas todas, no se pierda ninguna. Sin embargo, varios métodos de phishing son los más extendidos en la actualidad. Siempre fueron los más utilizados por su sencillez y la alta probabilidad de que la víctima quedara atrapada. ¡Conoce a los "héroes"!

Falsificación de sitios web

Este método se puede hacer de dos maneras: elegante y torpe. El método ágil rara vez se usa, ya que necesita el enrutador de red infectado, que la víctima usa para conectarse a Internet, o un malware específico en el dispositivo de la víctima. Se necesita un enrutador infectado para interceptar los paquetes que la víctima envía al servidor (si la conexión no es segura ) o redirigir la solicitud en el sitio falsificado.

Se necesita malware en el dispositivo de la víctima para cambiar la configuración de red y abrir a la fuerza la página de phishing en un intento de abrir una fuente legítima. El malware tiene como objetivo el archivo HOSTS en Windows que contiene información DNS para sitios que deben conectarse a través de direcciones DNS no estándar. Los estafadores agregan un DNS específico para Twitter o Facebook para obligar a la PC a mostrarle el sitio de phishing. Una vez modificada, la dirección DNS hará que cada uno de los navegadores envíe solicitudes desde el DNS especificado, que está controlado por delincuentes.

Los métodos torpes tienen algunos detalles en común con los elegantes, pero no requieren interrupción en la computadora de la víctima. Estos métodos de phishing parecen una simple redirección desde un determinado sitio web en una página con “fasebook.com” o “tvvitter.com”. Dicho enlace puede colocarse en el foro o estar en un mensaje de correo electrónico no deseado. Es sencillo detectar la falsificación cuando no tiene prisa y tiene suficiente tiempo para revisar la barra de direcciones, pero seguramente puede pasar por alto este detalle cuando las declaraciones impactantes acompañan al enlace de redirección.

Forma moderna de un conocido fraude

En 2020-2024, el mundo de la ciberseguridad fue testigo de una campaña masiva de spam por correo electrónico, que formaba parte de un esquema de phishing. La víctima recibió un mensaje de miedo que imitaba, por ejemplo, la notificación del banco. En este mensaje se le indicaba a la persona que se modifican las condiciones para servir su tarjeta de crédito (o débito, lo que sea), por lo que debe aprobar dichas modificaciones. De lo contrario, como promete el correo electrónico, la(s) cuenta(s) serán bloqueadas.

Para aprobar los "cambios", se le indica para seguir el enlace en la parte inferior del mensaje. Este enlace conducía a una mala copia del sitio del banco, exactamente a la página de inicio de sesión. Después del intento de iniciar sesión, solo verá un mensaje de error. La página falsa es difícil de confundir con la original, pero cuando tienes miedo o visitas un sitio de banca en línea real, bastante raro, es fácil pensar que estás en el original. Después de un error de este tipo, su dinero será un gran peligro: los estafadores tienen acceso completo a su banca en línea.

Suplantación de identidad telefónica

¿Alguna vez recibió una llamada del servicio de seguridad de su banco? Si no, es probable que nadie haya tratado de engañarte de esa manera. Ese método desapareció varias veces, pero luego volvió a aparecer repetidamente. Como ya sabrás, recibes una llamada telefónica de una persona que se otorga empleado del servicio de seguridad de tu banco. Afirman que su cuenta y su tarjeta bancaria están bloqueadas debido a intentos de inicio de sesión no autorizados. Para desbloquear la cuenta, solo debe decir el código de seguridad que obtiene en el número de teléfono relacionado con la cuenta bancaria mencionada.

De hecho, este código de seguridad es un código que aprueba el restablecimiento de contraseña. Los estafadores (y una persona del "servicio de seguridad del banco") solo intentan iniciar sesión en su cuenta bancaria en línea, y los dígitos que informa son una clave para todo el dinero que tiene en su cuenta bancaria.

Formularios de phishing para obtener su información personal

A veces, puede ver las ofertas para completar un formulario simple y obtener algún tipo de recompensa: un paquete de insignias, un certificado para cursos de origami o una invitación a la exposición. En ese formulario, debe responder algunas preguntas fáciles, a veces absurdas, y escribir su nombre, correo electrónico y número de teléfono; a veces, también preguntan por tu dirección. Bajo la apariencia de un "cuestionario" legítimo, los delincuentes reciben el paquete completo de su información personal.

Después de recopilar información de un cierto número de personas, estos estafadores son libres de administrar. Pueden venderlo en diferentes plataformas (incluso en Darknet), también pueden usarlo para enviarle spam, con mensajes de correo electrónico o incluso cartas en papel. A veces, pueden llamar a su puerta con una oferta para comprar algunos artículos inútiles por un precio triplicado. Eso sí, en ese momento intentarán asegurarte que estas cosas son insustituibles para tu hogar y oficina, y debes comprarlas por tu bien.

Cómo identificar un ataque de phishing

La primera y más obvia señal de un posible ataque de phishing es una carta que requiere alguna acción de su parte, pero no recuerda haber esperado tal llamada. Puede ser un correo electrónico o un mensaje directo en las redes sociales. Si es cualquier cosa menos texto sin formato, esto debería alertarlo. Si hay alguna sugerencia de que debe descargar algo o seguir un enlace, piénselo dos veces antes de cumplir.

Los mensajes de phishing suelen tener muchos errores. Estos pueden ser errores tipográficos, errores gramaticales o errores ortográficos. Preste especial atención a la falta de coincidencia de ortografía de nombres de empresas o geográficos en todo el texto de la carta. Por alguna razón, las campañas de phishing carecen de revisión en general.

Considerar Internet como una imagen digital del mundo real. Si alguien por la calle se te acerca y te dice que eres bisnieto de algún duque de Austria-Hungría de sangre azul y que, por tanto, te espera un patrimonio inmenso, no lo creerás, ¿verdad? La diferencia entre tal afirmación y un típico cebo de phishing es que este último es mucho más fácil de disfrazar de oficial y creíble. No confíe en las notificaciones demasiado buenas para ser verdad .

Puede detectar fácilmente sitios web, enlaces y direcciones de correo electrónico falsificados. Recuerda que los sitios web falsos a menudo carecen de certificados SSL. Puede verlo fácilmente sin un icono de candado cerrado y HTTPS en la barra de direcciones del sitio web. En cuanto a las direcciones, pueden diferir de las direcciones de sitios web confiables en un carácter para que se parezcan y no sospeches nada. Es posible que el nombre de dominio de un sitio web falso que se parece al que pretende ser no coincida con el nombre de dominio del recurso original. Puede haber un subdominio que no conocías, como support.website.com, pero difícilmente un dominio diferente, como website-support.com.

Los phishers sorprenden a los usuarios inexpertos con enfoques que, en algún punto, contradicen el sentido común y las reglas del negocio. Por ejemplo, ninguna empresa le pedirá una contraseña por correo electrónico. Asimismo, ningún servicio le pedirá que descargue archivos para entregar información sobre su pedido, pagos pendientes o envío postal. Mostrarían dichos datos en el cuerpo de la carta (aunque podría haber un archivo adicional con la misma información).

Teniendo en cuenta que las campañas de phishing a menudo son ataques de lanza, lo que significa que se dirigen a usted en particular, cualquier carta o mensaje breve que parezca un tanto extraño puede alertarlo. Si recibe una carta de su amigo donde le pide ayuda financiera, por ejemplo, pero lo llama con el apodo que rara vez se usa, mejor comuníquese con él a través de otro canal para confirmarlo.

¿Cómo protegerse del phishing?

La mayoría de los casos de phishing se llevan a cabo principalmente gracias a la falta de atención de la víctima. Por lo tanto, puede suponer una solución fácil: estar atento en cada momento cuestionable. ¿Abriendo el enlace que encontraste en el chat grupal en WhatsApp? Verifique con precisión la barra de direcciones porque fácilmente puede ser algo como "tvvitter.com". Puede encontrar muchas cosas falsificadas y, con las herramientas especiales disponibles hoy en día, esta forma de fraude es muy fácil de realizar.

Para evitar los métodos de phishing realizados con malware que modifica su sistema, verifique con precisión el certificado del sitio web que está intentando abrir. Las copias fraudulentas que se publican en la dirección DNS falsa no pueden obtener un certificado HTTPS. Haga clic en el ícono de candado en el extremo izquierdo de la barra de direcciones en su navegador; le mostrará la información sobre la presencia del certificado. Este es, precisamente, uno de los trucos de ciberseguridad más fáciles y que sigue teniendo una alta eficacia contra el phishing y la suplantación de identidad.

Usar autenticación de dos factores. Eso no permitirá que nadie, excepto el que tiene su teléfono móvil (con suerte, usted mismo), inicie sesión en su cuenta. Sin embargo, es posible que su teléfono tenga otro procedimiento de autenticación para desbloquearlo, lo que haría que la autenticación de su cuenta sea multifactorial, lo que es aún mejor para abordar las consecuencias de un ataque de phishing exitoso.

Si es víctima de un ataque de phishing, mejor haga una copia de seguridad de todos sus datos valiosos en un disco duro o almacenamiento en la nube. Los ataques de phishing pueden tener varias consecuencias, pero la protección de datos es la contramedida más fácil de mantener.

No difundas tu información personal. Los cuestionarios anteriores pueden parecer algo pacífico, y es posible que te interesen sus premios. Sin embargo, piénselo dos veces antes de compartir la información que se utilizará para ganar dinero: solo lo están explotando.

Utilice un filtro de spam. Esta característica de su buzón de correo ahorrará muchas de sus células nerviosas. Y lo necesita habilitado si limpia los escombros en su bandeja de entrada todos los días. Sí, a veces una carta esperada termina en la carpeta de correo no deseado, pero sucede muy rara vez en comparación con los mensajes peligrosos y molestos que se pierden en la bandeja de entrada.

El último método de contraataque para cualquier forma de phishing en la computadora es el software antimalware. Por supuesto, es importante tener en cuenta que no todas las herramientas de seguridad se adaptarán a usted: los programas con una función de protección en línea garantizan la mejor protección. Esa característica habilita el filtro del sitio web, que prohíbe la carga de falsificaciones malévolas de páginas populares. GridinSoft Anti-Malware puede ofrecerle dicha función. Además, también es capaz de deshacerse del virus que ayuda a los estafadores a engañarte.

Read also: Whaling Phishing