Campaña de phishing

Una campaña de phishing es una estafa por correo electrónico diseñada para robar información personal a las víctimas Los ciberdelincuentes emplean el phishing, un intento fraudulento de obtener información sensible como datos de tarjetas de crédito y credenciales de inicio de sesión, haciéndose pasar por una organización fiable o una persona de renombre en una comunicación por correo electrónico.

Normalmente, una campaña de phishing se lleva a cabo mediante suplantación de correo electrónico; un correo electrónico lleva al destinatario a introducir información personal en un sitio web falso, que parece idéntico al sitio legítimo. Los correos electrónicos de phishing también se emplean para distribuir malware y spyware mediante enlaces o archivos adjuntos que pueden sustraer información y llevar a cabo otras tareas maliciosas.

El phishing es una técnica ampliamente utilizada por los ciberdelincuentes porque les permite robar información personal y financiera sensible sin tener que vulnerar las defensas de seguridad de un ordenador o red. La concienciación pública sobre las campañas de phishing ha aumentado considerablemente en los últimos años, ya que numerosos medios de comunicación han informado de diversos incidentes. Además de las soluciones técnicas, la formación en concienciación sobre seguridad es una de las medidas de ciberseguridad que se utilizan para ayudar a prevenir los intentos de phishing.

Cómo funciona una campaña de phishing

Una campaña de phishing utiliza técnicas de Social Engineering para engañar a los destinatarios de correo electrónico y hacer que revelen información personal o financiera. Por ejemplo, durante las Navidades, un correo electrónico que finge ser de una empresa conocida le indica que visite su sitio web y vuelva a introducir sus datos de facturación o, de lo contrario, su paquete no se enviará a tiempo para que el destinatario reciba su regalo. El único problema es que el correo electrónico falso le dirige a un sitio fraudulento, donde la información que introduzca se utilizará para cometer robos de identidad, fraude y otros delitos.

Tipos de campañas de phishing

A medida que las empresas continúan implementando estrategias antiphishing y educando a sus usuarios sobre ciberseguridad, los ciberdelincuentes siguen perfeccionando los ataques de phishing y desarrollando nuevas estafas. Aquí tiene más información sobre algunos de los tipos más comunes de campañas de phishing.

Los ataques de spear phishing se dirigen contra una persona o grupo pequeño, generalmente con acceso a información sensible o capacidad de transferir fondos. Los ciberdelincuentes recopilan información sobre el objetivo previsto con antelación y la utilizan para personalizar el ataque, generar sensación de familiaridad y hacer que el correo electrónico malicioso parezca fiable. Los correos electrónicos de phishing parecen proceder de alguien que el objetivo conoce, como un compañero de trabajo o de otra empresa de su red.

El whaling es un ataque de spear-phishing que se dirige específicamente contra los altos ejecutivos de una empresa.

El vishing, o phishing por voz, utiliza mensajes telefónicos para intentar que las posibles víctimas devuelvan la llamada proporcionando su información personal. Los ciberdelincuentes suelen falsificar el identificador de llamadas para que parezca que la llamada proviene de una organización o empresa legítima. El smishing, también conocido como phishing por SMS, utiliza mensajes de texto para intentar engañar a las víctimas y que revelen información de sus cuentas o instalen software malicioso.

Aunque los filtros de spam y otras soluciones tecnológicas pueden ayudar a evitar que lleguen a las bandejas de entrada, educar a los usuarios sobre los peligros de los correos electrónicos de campañas de phishing es un componente crítico de la ciberseguridad para cualquier organización. La formación en concienciación sobre la seguridad de los usuarios ayuda a cada empleado a reconocer, evitar y reportar las amenazas potenciales que pueden comprometer datos y sistemas críticos. Como parte de la formación, se suelen emplear simulacros de phishing y otras simulaciones de ataques para evaluar y reforzar el buen comportamiento.