Tendencias y técnicas de suplantación de identidad (phishing)

Los ataques de phishing son estafas que a menudo usan cebo de ingeniería social o contenido de señuelo. La comunicación de apariencia legítima, normalmente el correo electrónico, que vincula a un sitio de suplantación de identidad es uno de los métodos más comunes que se usan en los ataques de suplantación de identidad (phishing). El sitio de suplantación de identidad suele imitar las páginas de inicio de sesión que requieren que los usuarios escriban credenciales e información de la cuenta. A continuación, el sitio de suplantación de identidad captura la información confidencial en cuanto el usuario la proporciona, lo que proporciona a los atacantes acceso a la información.

A continuación se muestran algunas de las técnicas de suplantación de identidad más comunes que los atacantes emplearán para intentar robar información o obtener acceso a los dispositivos.

Suplantación de identidad de factura

En esta estafa, el atacante intenta atraerle con un correo electrónico que indica que tiene una factura pendiente de un proveedor o empresa conocidos. A continuación, proporcionan un vínculo para que pueda acceder a la factura y pagarla. Cuando accede al sitio, el atacante está listo para robar su información personal y fondos.

Estafa de pago/entrega

Se le pide que proporcione una tarjeta de crédito u otra información personal para que su información de pago se pueda actualizar con un proveedor o proveedor conocido comúnmente. Se solicita la actualización para que pueda realizar la entrega de sus mercancías ordenadas. Por lo general, es posible que esté familiarizado con la empresa y que haya hecho negocios con ellos en el pasado. Sin embargo, no es consciente de los artículos que ha comprado recientemente.

Estafas de phishing con temática fiscal

Una estafa de suplantación de identidad común del IRS está recibiendo una carta de correo electrónico urgente que indica que debe dinero al IRS. A menudo, el correo electrónico amenaza con acciones legales si no accede al sitio de forma oportuna y paga sus impuestos. Al acceder al sitio, los atacantes pueden robar su tarjeta de crédito personal o información bancaria y purgar sus cuentas.

Descargas

Un atacante envía un correo electrónico fraudulento que te pide abrir o descargar un archivo adjunto, como un PDF, un documento de Microsoft Word, una invitación de calendario (.ics) o un correo electrónico adjunto (.eml). El archivo adjunto puede contener un enlace o mensaje que te pide iniciar sesión en un correo electrónico o en un sitio de intercambio de archivos.

Los atacantes también pueden anidar archivos adjuntos, como un correo electrónico que contiene una invitación en el calendario, para crear un flujo de phishing en varias etapas. Si introduces tus credenciales en el sitio de phishing, el atacante obtiene acceso a la información de tu cuenta.

Phishing por código QR

El phishing por código QR, también llamado quishing, incrusta un código QR en una imagen, PDF o documento de Word. El mensaje te pide que escanees el código con un dispositivo móvil, lo que abre un sitio de recopilación de credenciales. Esta técnica traslada la interacción lejos del escaneo de enlaces de correo electrónico hacia un dispositivo donde la URL de destino es más difícil de inspeccionar antes de abrirla.

Phishing bloqueado por CAPTCHA

Los sitios de phishing con bloqueo CAPTCHA requieren que completes un CAPTCHA u otra interacción antes de mostrar el señuelo o redirigirte a una página de inicio de sesión falsificada. Los atacantes utilizan este paso extra para que el sitio parezca legítimo y dificultar el análisis automatizado de seguridad. La última página suele intentar robar credenciales.

Correos electrónicos de suplantación de identidad (phishing) que proporcionan otras amenazas

Los correos electrónicos de suplantación de identidad suelen ser eficaces, por lo que los atacantes a veces los usan para distribuir ransomware a través de vínculos o datos adjuntos en correos electrónicos. Cuando se ejecuta, el ransomware cifra los archivos y muestra una nota de rescate, que le pide que pague una suma de dinero para acceder a sus archivos.

También hemos visto correos electrónicos de phishing que tienen vínculos a sitios web de estafa de soporte técnico . Estos sitios web usan varias tácticas de miedo para engañarle para llamar a las líneas de acceso directo y pagar "servicios de soporte técnico" innecesarios que supuestamente corrigen problemas derivados de dispositivos, plataformas o software.

Phishing de objetivo definido

El phishing de lanza es un ataque de phishing dirigido que implica contenido de señuelo altamente personalizado. Normalmente, los atacantes realizarán un trabajo de reconocimiento mediante la encuesta de redes sociales y otros orígenes de información sobre su objetivo previsto.

El spear phishing podría engañarte para que inicies sesión en sitios falsos e introduzcas tus credenciales. Los atacantes también pueden atraerte para que abras documentos o selecciones enlaces que instalen malware. El malware puede dar a los atacantes control remoto del ordenador infectado.

El malware implantado sirve como punto de entrada para un ataque más sofisticado, conocido como una amenaza persistente avanzada (APT). Las API están diseñadas para establecer el control y robar datos durante períodos prolongados. Los atacantes pueden intentar implementar herramientas de piratería más encubiertas, moverse lateralmente a otros equipos, poner en peligro o crear cuentas con privilegios y filtrar periódicamente información de redes en peligro.

Ballenera

La caza de ballenas es una forma de suplantación de identidad dirigida a ejecutivos de alto nivel o altos ejecutivos dentro de empresas específicas para obtener acceso a sus credenciales o información bancaria. El contenido del correo electrónico puede escribirse como una citación legal, una queja del cliente u otro problema ejecutivo. Este tipo de ataque también puede dar lugar a un ataque APT dentro de una organización.

Compromiso de correo electrónico empresarial

El compromiso por correo electrónico empresarial (BEC) es una estafa sofisticada que se dirige a empresas que con frecuencia trabajan con proveedores extranjeros o realizan transferencias bancarias. Uno de los esquemas más comunes utilizados por los atacantes de BEC implica obtener acceso a la red de una empresa a través de un ataque de phishing de lanza. El atacante crea un dominio similar a la empresa a la que se dirige, o suplanta su correo electrónico a los usuarios estafados para que liberen información de la cuenta personal para transferencias de dinero.

Más información sobre los ataques de suplantación de identidad (phishing)

Para obtener información sobre los últimos ataques de phishing, técnicas y tendencias, puede leer estas entradas en el blog de Seguridad de Microsoft:

  • Last updated on