Correos falsos dirigidos (spear phishing)

El spear phishing es un ataque cibernético que consiste en engañar a una persona o empresa específica para obtener información confidencial. Es un tipo de phishing más sofisticado que el phishing ordinario, ya que es dirigido a personas específicas dentro de una organización. El atacante conoce datos concretos como nombres, cargos, relaciones comerciales e incluso procesos internos.

¿Por qué ocurre?

Este tipo de fraude ocurre principalmente por motivos económicos. Los ciberdelincuentes buscan:

1. Beneficio financiero directo: Desviar pagos legítimos a cuentas bancarias fraudulentas.
2. Robo de información: Obtener datos confidenciales de empresas y clientes.
3. Acceso a sistemas: Conseguir credenciales para penetrar en los sistemas informáticos de las organizaciones. Para obtener datos o pedir rescates.

¿Cómo se desarrolla un ataque típico?

Un ataque de suplantación empresarial generalmente sigue estos pasos:

1. Investigación: Los atacantes investigan a la empresa objetivo, sus clientes, proveedores y relaciones comerciales a través de sitios web, redes sociales y otras fuentes públicas.
2. Preparación: Crean infraestructura fraudulenta como dominios y correos electrónicos similares al original (ejemplo: ventas@empresa.com vs. ventas@empresaa.com).
3. Ejecución: Envían comunicaciones falsas pero convincentes que pueden incluir:
   • Solicitudes de pago con nuevos datos bancarios
   • Peticiones de información confidencial
   • Enlaces maliciosos o documentos con malware
   • Comunicaciones de emergencia que requieren acción inmediata
4. Aprovechamiento: Utilizan la información obtenida o los fondos desviados para su beneficio, a menudo transfiriéndolos rápidamente para dificultar su rastreo.

¿Cómo obtiene el atacante información tan precisa en el spear phishing?

Los atacantes combinan varias fuentes y técnicas:

1. Ingeniería social:
   • Redes sociales: Información pública en LinkedIn, Facebook, Twitter, etc.
   • Sitio web de la empresa: Secciones de «Quiénes somos», notas de prensa y publicaciones de contacto.
   • Conversaciones públicas: Comentarios en foros, webinars o conferencias.
2. Correos comprometidos previos:
   • Si la cuenta de alguien de la empresa o de un proveedor (un tercero) fue hackeada antes, el atacante puede leer conversaciones reales, conocer nombres, cargos, tener acceso a firmas y temas de trabajo.
   • Así obtienen datos de facturación, cambios de cuenta bancaria o fechas de pago.
3. Brechas de datos:
   • Información filtrada en internet (dark web o foros públicos) puede incluir correos, contraseñas, y detalles personales.
4. Dominios similares y técnicas de typosquatting:
   • Registran dominios casi idénticos al original, cambiando una letra (ej. empresaa.com en vez de empresa.com) o usando caracteres similares (é vs. e).
   • Configuran estos dominios para parecer legítimos, con firmas y logos reales extraídos de correos previos o del sitio web.
5. Espionaje físico o telefónico:
   • Llamadas haciéndose pasar por proveedores o clientes.
   • Acceso a documentos impresos desechados sin seguridad.

¿Cómo pueden estar involucrados los empleados?

1. Filtración intencional (malicioso):
   • Motivos: Venganza, beneficio económico, presión externa (chantaje) o ideología.
   • Acciones:
     • Vender información interna a ciberdelincuentes.
     • Compartir datos de clientes, procesos o cuentas bancarias.
     • Proporcionar acceso físico o remoto a los sistemas de la empresa.
2. Filtración no intencional (negligente):
   • Errores:
     • Responder a correos fraudulentos.
     • Compartir contraseñas sin pensar en las consecuencias.
     • Dejar documentos confidenciales a la vista o sin destruir adecuadamente.
     • Exponer contraseñas sin saberlo
3. Colusión interna-externa:
   • Un empleado puede colaborar directamente con atacantes externos para facilitar el acceso o la información.

Medidas de protección

Para protegerse contra estos ataques, las empresas deben implementar:

Medidas preventivas:

• Capacitación regular para empleados sobre ciberseguridad
• Procesos de verificación para cambios en información financiera
• Registro preventivo de dominios similares
• Uso de firmas digitales en comunicaciones importantes
• Implementación de autenticación multifactor