¿Por qué el phishing sigue siendo la mayor amenaza de ataques cibernéticos?
El phishing genera un sentido de urgencia y de emergencia en los colaboradores. Por eso, se vuelve
un tipo de incidente muy común en las empresas. Incluso alcanza cargos de mayor
jerarquía
Además, el phishing sigue siendo la principal puerta de entrada de las intrusiones. Ya en 2022 respondía por el 41% de los incidentes, según el X-Force Threat Intelligence Index de IBM. Desde entonces, el patrón no cambió. Sí cambió la calidad de los señuelos. Al fin y al cabo, la IA generativa escribe mensajes sin errores.
Pero ¿por qué el phishing es tan peligroso para las empresas? La razón es simple: se trata de un ataque dirigido a las personas. A veces, eso burla las inversiones en ciberseguridad desarrolladas por las compañías, incluso aquellas orientadas a la identificación de vulnerabilidades.
En la práctica, su propósito es engañar a la víctima y obtener datos o accesos. Entre ellos puede estar información bancaria y de crédito. Además, el premio más valioso hoy es el token de sesión. Con él, el criminal entra a la nube sin escribir ninguna contraseña.
Del mismo modo, los canales se multiplicaron. Siguen apareciendo enlaces y archivos adjuntos, claro. Sin embargo, crecieron el phishing por SMS y WhatsApp, el código QR malicioso y la llamada con voz clonada. Por lo tanto, entrenar solo para “correo sospechoso” ya no alcanza.
Guardia baja, alto riesgo
Por eso, el propósito detrás del phishing es crear una sensación de urgencia o de confianza. El mensaje puede llegar por correo, SMS, aplicación o llamada telefónica.
Del mismo modo, con el paso del tiempo, estos ataques se volvieron mucho más dirigidos. Eso llevó al mercado a adoptar el concepto de “spear phishing”. En ese caso, hay una investigación previa sobre el blanco. Así, la posibilidad de éxito aumenta bastante.
Como ejemplo, piensa en el ejecutivo que recibe un mensaje aparentemente confiable. Parece venir de un proveedor conocido. Además, ya existen pedidos de aprobación con deepfake de voz y video. En general, el spear phishing apunta al alto escalón, pues amplía el acceso obtenido.
Mientras tanto, sin importar la jerarquía, un ataque exitoso siempre es un peligro. Puede ser la luz verde para el acceso a sistemas y datos confidenciales.
De esa forma, toda la estructura planificada de seguridad queda atrás por un error humano. En el informe “State of the Phish” de 2023, desarrollado por Proofpoint, las 5 principales consecuencias eran:
Phishing: los números del daño
– El 44% de los ataques exitosos llevó a una brecha de datos de clientes. Hoy, además, ese escenario activa deberes de notificación ante la autoridad de protección de datos;
– El 43% resultó en secuestro de datos, es decir, ransomware. Actualmente, con la doble extorsión, el respaldo actualizado ayuda pero no cierra el caso;
– El 36% tuvo accesos de colaboradores comprometidos;
– El 33% se convirtió en pérdida de datos o de propiedad intelectual;
– El 30% resultó en pérdidas financieras.
En resumen, no por casualidad, dentro del soporte de TI se destacan dos frentes. Son la ciberseguridad y el respaldo y restauración. Además, ambos reducen el daño cuando el phishing tiene éxito.
Al fin y al cabo, ese cuidado es aún más fundamental en negocios que sufren inestabilidades periódicas. Es el caso, por ejemplo, del e-commerce en fechas pico, como Black Friday y Navidad.
La importancia de la concientización
Además, uno de los principales caminos para evitar estafas de phishing está en la capacitación. Vale para todo el equipo, incluso para el área de Tecnología de la Información. Eso pesa aún más ahora que este tipo de comportamiento se volvió más común.
En la práctica, el informe de Proofpoint mostraba un dato preocupante. Se refiere al entendimiento de los colaboradores sobre los riesgos involucrados.
De acuerdo con el documento, un tercio de las personas no sabía definir “malware”, “phishing” o “ransomware”. En otras palabras, no entendían qué son esos ataques. Como resultado, tampoco sabían prevenirlos.
Por eso, entre la información desconocida en aquel relevamiento se encontraba:
– El 21% no sabía que un correo puede parecer venir de otra persona;
– El 44% creía que conocer la marca vuelve seguro el correo. No por casualidad, los criminales imitan marcas notorias. Entre las más usadas están Microsoft, Google, Apple y Adobe;
– El 63% desconocía que el enlace de un correo no siempre lleva al sitio indicado.
Del mismo modo, parte de esos números tiene explicación. Al fin y al cabo, pocas empresas hacen simulaciones periódicas de phishing. Como resultado, el equipo descubre la falla recién durante un incidente real.
Los riesgos del trabajo híbrido
Como resultado, otro punto merece atención. Se trata del límite entre dispositivos personales y corporativos. Hoy el trabajo híbrido es rutina, y esa frontera suele ser mínima. Por lo tanto, el riesgo crece en frentes conocidos:
– La mayoría de los colaboradores usa dispositivos corporativos para actividades personales;
– Buena parte también usa dispositivos personales para tareas de la organización;
– Además, muchos dejan que familia y amigos usen los equipos de la empresa.
Mientras tanto, esa mezcla aparece en varias actividades. Algunos ejemplos: leer correo, entrar a redes sociales y comprar en línea. Por lo tanto, conviene separar perfiles y aplicar acceso condicional por dispositivo.
La necesidad de reportar
Uno de los caminos fundamentales para evitar ataques de phishing es la orientación. Al fin y al cabo, el colaborador necesita saber qué hacer ante un mensaje sospechoso.
En resumen, algunas medidas reducen bastante el riesgo. Entre ellas, están acciones simples de precaución, tales como:
– Mantener una postura escéptica ante mensajes que piden urgencia o datos confidenciales. Además, desconfía de pedidos de aprobación por audio o video;
– Revisar el remitente con atención. A veces, el criminal cambia una sola letra del dominio;
– Evitar informar datos confidenciales en sitios desconocidos. Del mismo modo, no escanees códigos QR recibidos por mensaje;
– Adopta MFA resistente al phishing, con llaves FIDO2 o passkeys. Así, la contraseña robada y el código dejan de funcionar.
Al fin y al cabo, el deber del colaborador es reportar esos mensajes al área de TI. El objetivo es calibrar las herramientas de filtro y bloquear la campaña. Así, se reducen los riesgos a los que la organización está expuesta.