Spear phishing: La modalidad de estafa que “evolucionó”

El Spear Phishing es una forma más avanzada y específica de phishing, que se caracteriza por su enfoque dirigido y personalizado. Mientras que el phishing tradicional generalmente se realiza a través de correos electrónicos masivos enviados a un gran número de personas (con la esperanza de que algunas caigan en la trampa), el spear phishing es mucho más dirigido y personalizado.

En otras palabras, lamentablemente la táctica se volvió más sofisticado y evolucionó más robar más. ¡Atenti!

Características clave del Spear Phishing:

Objetivo Específico: A diferencia del phishing común, que envía mensajes a un público amplio, en el spear phishing, el atacante selecciona a sus víctimas de manera individual. Esto puede incluir a una persona específica, un grupo dentro de una organización o incluso una empresa.
Personalización: Los mensajes de spear phishing están diseñados para parecer legítimos y autorizados, ya que el atacante ha investigado a fondo a la víctima. El correo electrónico o mensaje que recibe la persona suele contener detalles específicos sobre su vida, trabajo o intereses. Por ejemplo, podría hacer referencia a una relación profesional, una actividad reciente de la víctima o incluso detalles de su red social.
Uso de Información Recopilada: Los atacantes pueden usar redes sociales, informes públicos o información de contacto filtrada para personalizar el mensaje. Esto hace que el correo electrónico o el mensaje de spear phishing sea mucho más convincente que uno genérico.
Objetivos: El objetivo del spear phishing es robar información sensible como credenciales de inicio de sesión (nombre de usuario y contraseña), acceso a cuentas bancarias, datos financieros o incluso información confidencial de una empresa o institución. En algunos casos, el atacante también podría estar buscando instalar malware en el dispositivo de la víctima.
Tácticas Comunes: Los atacantes a menudo usan tácticas como:
- Suplantación de identidad: El atacante puede hacerse pasar por una persona conocida, como un compañero de trabajo, superior o proveedor.
- Urgencia o amenaza: El mensaje puede incluir un tono de urgencia o una amenaza para que la víctima actúe rápidamente (por ejemplo, “tu cuenta ha sido hackeada, haz clic aquí para evitar la suspensión”).
- Solicitudes de acción: Pueden pedir a la víctima que haga clic en un enlace, descargue un archivo adjunto o proporcione información personal o financiera.

Ejemplo de Spear Phishing:

Imaginate que un atacante quiere dirigirse a un empleado de una empresa. Busca información sobre la persona en Facebook, Linkedin, X, o IG y le escribe un correo electrónico a medida, haciendo mención a una experiencia o anécdota real.

Asunto: Reembolso por tu reciente viaje a Chile

Cuerpo:

Hola, [nombre de la víctima]

Esperamos que estés bien. Recientemente detectamos que compraste vuelos desde el Aeropuerto Internacional Ezeiza hacia el Aeropuerto Internacional Arturo Merino Benítez, en Santiago de Chile.
Lamentablemente hubo un error en el cálculo de impuestos en concepto de Percepción de Ganancias. Te recomendamos revisar el archivo adjunto con las correcciones, y confirmar si está todo correcto para realizar el reembolso.

Importante: Solo acreditaremos el dinero de la devolución si respondés este correo electrónico presentando conformidad.

Saludos,
[Nombre del atacante (fingiendo ocupar un puesto en la aerolínea)]

En este caso, el atacante se toma su tiempo para hacer una investigación que le permita rescatar algún dato verídico sobre la conducta, rutina, o consumos de su potencial víctima. Utiliza información personal que ha recopilado para que el mensaje parezca más creíble. Además, el archivo adjunto podría ser un virus o software malicioso que se activa si la víctima lo descarga.

No es la típica estafa virtual con errores de ortografía y que cae en lugares comunes, ¡atentI! Estos ataques están a otro nivel.

¿Cómo prevenir el Spear Phishing?

👀 Verificar el remitente: Siempre confirmar la dirección de correo electrónico del remitente, especialmente si el mensaje solicita información sensible o urgente. Los atacantes pueden falsificar direcciones de correo similares.

✋ No hacer clic en enlaces sospechosos: Aunque el mensaje pueda parecer legítimo, no hacer clic en enlaces ni abrir archivos adjuntos de correos electrónicos no solicitados.

📞 Comunicarse al número de teléfono oficial de la empresa remitente, y corroborar si hay alguien efectivamente tratando de comunicarse con vos.

🔐 Implementar autenticación de dos factores (2FA): Esto añade una capa extra de seguridad, de modo que incluso si un atacante obtiene tu contraseña, no podrá acceder a tu cuenta sin el segundo factor de autenticación.

📲 Pensar dos veces qué publicamos en nuestras redes sociales, y en lo posible mantenerlas privadas.

🔎 Monitorear las cuentas y actividades: Vigilar regularmente las cuentas bancarias y profesionales para detectar cualquier actividad sospechosa. También es recomendable cambiar las contraseñas con regularidad.

En resumen, el Spear Phishing es una técnica más sofisticada y peligrosa que el phishing tradicional, ya que está personalizada y dirigida a una víctima específica, lo que aumenta significativamente las probabilidades de éxito del atacante. Es fundamental estar informado y ser cauteloso con las comunicaciones en línea para evitar caer en este tipo de fraudes.