Los atacantes están ampliando sus tácticas de phishing más allá del correo electrónico, utilizando ahora canales como redes sociales, aplicaciones de mensajería instantánea y anuncios maliciosos. Este cambio representa un reto significativo para los equipos de seguridad.
El entorno laboral moderno facilita el phishing
Antes, el correo electrónico era la principal herramienta de comunicación en el trabajo, lo que lo hacía una prioridad clara desde el punto de vista de la seguridad. Sin embargo, con el auge del trabajo remoto y la utilización de aplicaciones basadas en internet, los usuarios interactúan ahora con más canales distintos al correo electrónico.
Esto dificulta la protección contra contenido malicioso, ya que los atacantes pueden enviar enlaces desde diversos medios, incluyendo mensajería instantánea, redes sociales y anuncios. Además, el uso de servicios SaaS permite a los atacantes eludir las comprobaciones tradicionales basadas en correo electrónico.
El phishing no se detecta fácilmente
Los ataques de phishing fuera del correo electrónico suelen pasar desapercibidos, ya que la mayoría de los datos sobre estos incidentes provienen de herramientas y proveedores de seguridad relacionados con el correo. Esto complica su análisis.
La última generación de kits de phishing Attacker-in-the-Middle (AitM) utiliza técnicas como ofuscación de DOM, páginas web y código fuente para dificultar la detección. Estas técnicas hacen que el contenido parezca confuso y difícil de identificar.
Los ataques en redes sociales son difíciles de contener
Un ejemplo es el phishing en redes sociales, donde no se puede identificar cuántas cuentas han sido afectadas. A diferencia del correo electrónico, no hay forma de recuperar o aislar un mensaje que haya impactado a varios usuarios.
La mayoría de las organizaciones bloquean las URLs implicadas, pero esto no es efectivo cuando los atacantes cambian rápidamente sus dominios. Esto permite que otros sitios se usen en su lugar antes de que el bloqueo sea implementado.
Campañas dirigidas y la amenaza de inicios de sesión único
Los ataques pueden ser muy específicos, como anuncios maliciosos orientados a ubicaciones geográficas o dominios específicos. Los sitios de phishing también incluyen parámetros de carga condicional para entregar contenido solo bajo ciertas condiciones.
El uso del inicio de sesión único (SSO) permite que un atacante acceda a múltiples aplicaciones si toma el control de una cuenta principal. Esto puede llevar a la exposición de datos sensibles y al acceso a sistemas críticos.
Casos prácticos: phishing en LinkedIn y publicidad maliciosa
Un ataque reciente utilizó LinkedIn para contactar a ejecutivos mediante mensajes falsos sobre oportunidades de inversión. La víctima fue llevada a páginas personalizadas alojadas en sitios legítimos, antes de ser redirigida a una página de phishing.
Otro caso involucró anuncios maliciosos en Google que parecían legítimos y se posicionaban sobre los anuncios reales. Estos enlaces dirigían a usuarios a páginas AITM que robaban sesiones.
El impacto de un solo compromiso
Tomar el control de una cuenta empresarial puede dar acceso a múltiples aplicaciones y datos críticos. Esto permite al atacante expandirse dentro de la organización, utilizando canales internos como Slack o técnicas como SAMLjacking.
El compromiso de una sola cuenta puede convertirse en una brecha que afecta a toda la empresa, con consecuencias significativas para los datos y operaciones.