Los ataques orientados por teléfono, conocidos como TOAD, están aumentando significativamente. Para proteger al personal, los líderes deben implementar controles de identidad sólidos.
Aunque la frase «ataque TOAD» puede parecer extraña, es una descripción de un nuevo tipo de ataque peligroso que afecta a las empresas. TOAD significa entrega de ataques orientados por teléfono, una forma de ataque de phishing de múltiples capas que combina elementos como texto o mensajes instantáneos (SMiShing), voz (Vishing) o correo electrónico con ingeniería social para engañar a los usuarios y que revelen información personal o financiera.
Un ataque TOAD es una forma relativamente nueva de ataque de phishing que combina técnicas de phishing de voz y correo electrónico. Los atacantes pretenden engañar a los usuarios para que revelen información confidencial por teléfono, como credenciales de inicio de sesión o datos financieros, haciéndose pasar por una figura de autoridad confiable.
Según el informe State of the Phish de 2024 de Proofpoint, cada mes se realizan 10 millones de ataques TOAD, y el 67% de las empresas a nivel mundial se vieron afectadas por un ataque de este tipo en 2023.
El aumento de los ataques TOAD puede atribuirse en parte a ataques de phishing más sofisticados habilitados por la IA, afirma Tope Olufen, analista senior de Forrester. Además, a medida que más organizaciones adoptan la autenticación multifactor (MFA), los actores de amenazas han tenido que volverse más creativos con la ingeniería social.
Los ataques de vishing son una gran amenaza para las empresas y con el aumento de la IA generativa que permite que la tecnología parezca más humana que antes, podría dejar a las empresas más vulnerables a los estafadores de voz. En los negocios, estamos viendo más amenazas a objetivos de alto valor como los ejecutivos, que pueden verse comprometidos por estafadores de voz efectivos.
Anatomía de un ataque TOAD
Antes de atacar, los estafadores recopilan las credenciales de la víctima de diversas fuentes, como filtraciones de datos anteriores, perfiles de redes sociales e información adquirida en la web oscura. Armados con esto, se comunicarán con la persona a través de aplicaciones como WhatsApp o la llamarán.
La ingeniería social va en aumento y se está volviendo más sofisticada. Los ciberdelincuentes intentarán crear un perfil detallado de sus víctimas potenciales, como personas de nivel directivo, detalles de sus hijos, a qué universidad asistieron, si un entusiasta jinete, etc., y un mensaje para tratar de obtener una respuesta.
Las víctimas pueden recibir una llamada o un mensaje de alguien que dice ser un colega, un cliente o de un centro de llamadas acreditado que luego utiliza la información que han recopilado para «probar» que son quienes dicen ser.
Una vez establecida la confianza, es probable que envíen un mensaje de texto o un correo electrónico a la víctima animándola a hacer clic en un enlace malicioso o descargar un archivo adjunto que les permita eludir las ciberdefensas tradicionales de una organización, como MFA.
Un riesgo importante para las empresas
Debido a su enfoque de doble canal y su objetivo de individuos específicos, las empresas deben estar atentas a los ataques TOAD, dice Kevin Curran, miembro senior del IEEE y profesor de ciberseguridad en la Universidad de Ulster.
Mitigar estas amenazas requiere una estrategia integral que incluya capacitación de los empleados, filtrado avanzado de correo electrónico, procedimientos de verificación para transacciones confidenciales y planes sólidos de respuesta a incidentes.
Los empleados siguen siendo una de las mayores debilidades de ciberseguridad de una organización, por lo que la educación del personal debe estar en el centro de su estrategia si desea defender de forma segura su organización de los astutos TOAD.
Manteniendo a los TOADs a raya
Una estrategia sólida para mantener a raya a los TOAD también debería incluir la implementación de soluciones avanzadas de seguridad de correo electrónico equipadas con inteligencia artificial y aprendizaje automático, que pueden ayudar a detectar y bloquear correos electrónicos de phishing.
También es crucial establecer procesos de verificación para llamadas no solicitadas que solicitan información confidencial, al igual que el uso de MFA para asegurar el acceso a los sistemas corporativos. Se necesitan auditorías y actualizaciones de seguridad periódicas para identificar vulnerabilidades y aplicar los parches necesarios, y se debe establecer un plan de respuesta a incidentes para abordar y mitigar cualquier incumplimiento.
Los ataques TOAD son cada vez más sofisticados
Es probable que el futuro de los ataques TOAD se caracterice por su evolución más que por su extinción, afirma Curran. Forrester espera que los ataques TOAD evolucionen y se generalicen.
A medida que los ciberdelincuentes perfeccionan sus tácticas, podemos esperar que los ataques TOAD se vuelvan más sofisticados y potencialmente aprovechen nuevas tecnologías. Las empresas y los profesionales de la seguridad cibernética deben responder desarrollando técnicas de detección y prevención más sofisticadas, programas mejorados de capacitación de empleados y marcos regulatorios más sólidos para mitigar estas amenazas.