A pesar de que muchos usuarios siguen pensando que el phishing sigue consistiendo en emails pobremente redactados y que quien cae en esta trampa se lo merece por no haberse fijado lo suficiente, la realidad es que los delincuentes han estado perfeccionando las campañas de phishing desde hace años para hacerlas más creíbles y conseguir así nuevas víctimas.
“Hace unos días publicamos un artículo en el que describíamos por qué el phishing seguía siendo tan efectivo, especialmente en el ámbito empresarial. En ese artículo apuntábamos a ciertos puntos clave como la utilización de correos legítimos previamente comprometidos, el uso de enlaces acortados, o la creación de portales de acceso cada vez más elaborados”, declara Josep Albors, Director de Investigación y Concienciación de ESET España.
Los ciberdelincuentes evolucionan sus técnicas a la vez que modernizan los ataques de phishing. Este tipo de ataques se propagan de forma cada vez más dirigida no solo a nivel nacional, sino a usuarios de ciertas regiones o autonomías. Los ciberdelincuentes, se están aprovechando de phishings más dirigidos, incluso algunos empleando lenguas cooficiales, para atraer cada vez más víctimas.
“Aunque parezca más habitual los casos de phishing en inglés, como el ejemplo anterior, esos correos fraudulentos pueden estar en cualquier otro idioma como el español o incluso en lenguas cooficiales del estado español, como el catalán”, declara Josep Albors.
Según ESET, lo primero en lo que se suele fijar un usuario cuando recibe un correo es en el remitente, y en este caso pertenece a alguien que supuestamente trabaja en una empresa real con sede en Singapur. Podríamos pensar que la mayoría de empresas no tienen relación comercial con empresas de ese país, pero la globalización hace que los socios comerciales se puedan encontrar en todo el mundo, por lo que tampoco resulta descabellado pensar que un usuario crea que el correo es legítimo.
El siguiente punto en el que suelen fijarse los usuarios es el asunto y cuerpo del mensaje, y vemos que en este ejemplo el remitente hace una consulta sobre un presupuesto, adjuntando un enlace que no proporciona más información que la de que es necesario descargar algún tipo de fichero. En este punto podríamos pensar que se va a proceder a la descarga de algún tipo de fichero malicioso, pero es aquí donde los delincuentes demuestran que han hecho los deberes, según ESET, redirigiéndonos a una web donde se muestra una serie de supuestos documentos compartidos.
Correos como el que acaba de revisar ESET y otros incluso más elaborados son cada vez más comunes, por lo que los antiguos consejos a la hora de detectar casos de phishing ya no sirven actualmente. Es importante realizar una formación continua entre los empleados, con ejemplos lo más cercanos posibles a los reales y de una forma didáctica que no persiga encontrar culpables, sino aumentar la concienciación y la capacidad de detección de este tipo de correos.
Además, a pesar de esta mejora en las técnicas usadas por los delincuentes, las soluciones antiphishing pueden seguir filtrando un elevado número de mensajes que no llegarían a las bandejas de entrada de los usuarios, o bloqueando las webs usadas para robar credenciales o descargar archivos maliciosos.
Fuente y para más información: cybersecuritynews.es