El spear phishing es un ataque cibernético que consiste en engañar a una persona o empresa específica para obtener información confidencial. Es un tipo de phishing más sofisticado que el phishing ordinario, ya que es dirigido a personas específicas dentro de una organización. El atacante conoce datos concretos como nombres, cargos, relaciones comerciales e incluso procesos internos.
¿Por qué ocurre?
Este tipo de fraude ocurre principalmente por motivos económicos. Los ciberdelincuentes buscan:
- Beneficio financiero directo: Desviar pagos legítimos a cuentas bancarias fraudulentas.
- Robo de información: Obtener datos confidenciales de empresas y clientes.
- Acceso a sistemas: Conseguir credenciales para penetrar en los sistemas informáticos de las organizaciones. Para obtener datos o pedir rescates.
¿Cómo se desarrolla un ataque típico?
Un ataque de suplantación empresarial generalmente sigue estos pasos:
- Investigación: Los atacantes investigan a la empresa objetivo, sus clientes, proveedores y relaciones comerciales a través de sitios web, redes sociales y otras fuentes públicas.
- Preparación: Crean infraestructura fraudulenta como dominios y correos electrónicos similares al original (ejemplo: ventas@amazon.com vs. ventas@am4zon.com).
- Ejecución: Envían comunicaciones falsas pero convincentes que pueden incluir:
- Solicitudes de pago con nuevos datos bancarios
- Peticiones de información confidencial
- Enlaces maliciosos o documentos con malware
- Comunicaciones de emergencia que requieren acción inmediata
- Aprovechamiento: Utilizan la información obtenida o los fondos desviados para su beneficio, a menudo transfiriéndolos rápidamente para dificultar su rastreo.
¿Cómo el atacante obtiene mi nombre?
El Display Name no es una variable automática que el servidor de correo exponga al remitente.
No existe ningún protocolo de email que devuelva ese dato al remitente. Si en un spam ves tu nombre exacto, es porque lo consiguieron por fuera, de alguna de estas formas:
- Filtraciones de bases de datos — la más común. Empresas hackeadas que tenían tu nombre + email juntos (LinkedIn, Facebook, tiendas online, etc.)
- Deducción del email — si tu correo es
juan.jimenez@google.com, simplemente asumen que eres «Juan Jimenez» - Scraping — buscaron tu email en Google, redes sociales o directorios y encontraron tu nombre asociado
- Compra de listas — bases de datos vendidas en la dark web que ya traen nombre + email empaquetados
¿Como los atacantes obtiene otros datos, como el cargo en mi empresa, mi firma,etc?
Los atacantes combinan varias fuentes y técnicas para robar información.
- Ingeniería social:
- Redes sociales: Información pública en LinkedIn, Facebook, Twitter, etc.
- Sitio web de la empresa: Secciones de «Quiénes somos», notas de prensa y publicaciones de contacto.
- Conversaciones públicas: Comentarios en foros, webinars o conferencias.
- Correos comprometidos previos:
- Si la cuenta de alguien de la empresa o de un proveedor (un tercero) fue hackeada antes, el atacante puede leer conversaciones reales, conocer nombres, cargos, tener acceso a firmas y temas de trabajo.
- Así obtienen datos de facturación, cambios de cuenta bancaria o fechas de pago.
- Brechas de datos:
- Información filtrada en internet (dark web o foros públicos) puede incluir correos, contraseñas, y detalles personales.
- Espionaje físico o telefónico:
- Llamadas haciéndose pasar por proveedores o clientes.
- Acceso a documentos impresos desechados sin seguridad.
¿Cómo pueden estar involucrados los empleados?
- Filtración no intencional (negligente):
- Errores:
- Responder a correos fraudulentos.
- Compartir contraseñas sin pensar en las consecuencias.
- Dejar documentos confidenciales a la vista o sin destruir adecuadamente.
- Exponer contraseñas sin saberlo
- Errores:
- Filtración intencional (malicioso):
- Motivos: Venganza, beneficio económico, presión externa (chantaje) o ideología.
- Acciones:
- Vender información interna a ciberdelincuentes.
- Compartir datos de clientes, procesos o cuentas bancarias.
- Proporcionar acceso físico o remoto a los sistemas de la empresa.
- Colusión interna-externa:
- Un empleado puede colaborar directamente con atacantes externos para facilitar el acceso o la información.
Medidas de protección
Para protegerse contra estos ataques, las empresas deben implementar:
Medidas preventivas:
- Capacitación regular para empleados sobre ciberseguridad
- Procesos de verificación para cambios en información financiera
- Registro preventivo de dominios similares
- Uso de firmas digitales en comunicaciones importantes
- Implementación de autenticación multifactor