Los ataques de ingeniería social son uno de los vectores de entrada más explotados debido a su gran efectividad. Entre ellos destacan el phishing, que se utiliza comúnmente para captar o robar datos privados de usuarios, como nombres de acceso, contraseñas y datos de tarjetas de crédito, normalmente mediante correos electrónicos fraudulentos genéricos.
Tipos de ataques de phishing
El spear phishing es un tipo más dirigido que el phishing genérico. Se dirige a un target específico, como administradores de sistemas o empleados de una organización, buscando persuadir al usuario mediante sus intereses o responsabilidades.
El whaling se centra en personas con altas responsabilidades dentro de una empresa, simulando ser correos enviados por el CEO o CFO. Para generar confianza, los atacantes suelen spoofear el origen del correo y tratar temas sensibles para la organización.
El zombie phishing requiere disponer de una cuenta de correo legítima previamente comprometida. Busca reanimar conversaciones antiguas con la víctima para añadir URLs maliciosas, aprovechando el lazo de confianza que existe entre el usuario y el remitente.
El smishing se realiza a través de mensajes SMS, buscando generar estrés en el usuario para que caiga en la trampa. Un ejemplo es un mensaje que simula ser de una entidad bancaria informando sobre un supuesto compromiso de cuenta.
El vishing utiliza llamadas telefónicas para obtener información sensible del usuario, como DNI o fecha de nacimiento, lo cual puede facilitar ataques posteriores más dirigidos.
El search phishing se basa en posicionar una web fraudulenta entre los primeros resultados de motores de búsqueda legítimos. El objetivo es que el usuario descargue software malicioso o introduzca datos en formularios falsos.
El angler phishing aprovecha la confianza generada por las redes sociales, creando perfiles falsos para engañar a los usuarios y dirigirlos a URLs maliciosas.
Riesgos asociados
Los ataques de phishing pueden capturar o robar datos privados de usuarios, como nombres de acceso, contraseñas y datos de tarjetas de crédito.
El vishing puede obtener información sensible del usuario, como DNI o fecha de nacimiento, lo cual puede facilitar ataques posteriores más dirigidos.
El search phishing puede hacer que el usuario descargue software malicioso o introduzca datos en formularios falsos.
Mitigaciones disponibles
Google bloquea alrededor de 100 millones de correos electrónicos de phishing diarios.
LinkedIn fue la empresa más imitada para los intentos de phishing a nivel mundial durante el primer trimestre de 2022.