Los expertos en seguridad coinciden en que la mayoría de los ataques de ransomware se producen como resultado del uso de diversas técnicas de phishing por parte de los ciberdelincuentes. Habitualmente, los phishers roban las credenciales de las cuentas -nombre de usuario y contraseñas- para vulnerar las cuentas de los usuarios con el objetivo final de obtener beneficios económicos. De todas formas, pueden utilizar sus técnicas para infectar su ordenador.
Hemos elaborado una lista que incluye cuatro formas principales en las que los ciberdelincuentes utilizan el phishing en los ataques de ransomware.
¿Qué es el phishing y cómo funciona?
El phishing es un ciberataque en el que los ciberdelincuentes se presentan como una entidad o persona de confianza, utilizando diversas vías de comunicación online para distribuir enlaces o archivos adjuntos maliciosos que pueden realizar diversas funciones, pero con un único fin: robar los datos de la víctima para obtener un beneficio económico.
Este tipo de fraude en línea utiliza sutiles y sorprendentes estrategias de ingeniería social que permiten a los ciberdelincuentes, que aprovechan la confianza de las personas, robar los datos sensibles de la víctima, lo que resulta mucho más fácil que traspasar las defensas de un ordenador o de una red.
4 técnicas de phishing que utilizan los ciberdelincuentes para acceder a las cuentas de los usuarios
1. Enlaces de phishing en línea
Todos sabemos que la característica distintiva de un correo electrónico de phishing es un enlace. Sin embargo, los phishers utilizan los enlaces de varias maneras, junto con diferentes técnicas de ofuscación. En un típico ataque de phishing, el enlace lleva a la víctima a una página web que imita a una marca, como un vendedor, un proveedor de servicios en la nube como Microsoft y PayPal, o una institución financiera. Además, los correos electrónicos de phishing suelen atraer a los usuarios alegando que su cuenta está bloqueada, que sus datos de pago deben ser actualizados o que deben iniciar sesión para recuperar un mensaje o documento.
Una variante frecuente de esta estafa es el ataque de phishing a Microsoft OneDrive, en el que el objetivo recibe un correo electrónico falso de Microsoft o de un compañero. El correo electrónico le indica a la víctima que pulse el enlace para recuperar un archivo de OneDrive. Para ello, necesita iniciar sesión en Office 365. Cuando lo hace, el sitio de phishing obtiene sus credenciales.
2. Enlaces en los archivos adjuntos
Los hackers ocultan los enlaces de phishing en los archivos adjuntos en lugar de insertarlos en el cuerpo del correo electrónico para evitar su detección por parte de los filtros de seguridad. Un ataque típico que utiliza archivos adjuntos maliciosos es la estafa «Factura adjunta». El correo electrónico le solicita al destinatario que abra un archivo adjunto para acceder a una factura. La factura falsa contiene una URL que conduce a una página de phishing, en la que la víctima rellena las credenciales de su cuenta, entregándolas a los delincuentes sin saberlo.
3. Adjuntos falsos
En este tipo de ataque, el archivo adjunto del correo electrónico (normalmente un documento de Word o un archivo PDF) no es un archivo adjunto, sino un enlace de phishing. Cuando el usuario intenta abrir el falso archivo adjunto, es conducido a una página de phishing. Otras veces, la descarga del ransomware se inicia automáticamente a través de una función de macro, o la víctima habilita las macros en el documento, desencadenando la descarga del ransomware.
4. Ataques en pasos múltiples
Un ataque de phishing lateral o multifase comienza con el phishing y se transforma en spear-phishing. Un hacker envía un correo electrónico falsificado de Microsoft exigiendo al destinatario que inicie sesión en Office 365. Las credenciales del usuario son robadas en la página de phishing, y el hacker obtiene acceso al entorno de Office 365 de la empresa. Ahora, el delincuente puede enviar correos electrónicos internos de spear-phishing a empleados seleccionados de toda la organización.
Proteja su empresa con la formación en materia de seguridad para sus empleados, de ATTACK Simulator
¿Espera esquivar la bala (o el anzuelo)? ¿Sigue confiando en la suerte? Piénselo otra vez. Los números dibujan un panorama de ciberdelincuencia bastante sombrío, y el phishing es cada vez más sofisticado.
Los ataques de phishing pueden ser catastróficos, provocando inmensos daños financieros o incluso el fin de su negocio. Por desgracia, los estafadores buscan el eslabón más débil de la cadena: los empleados. Pero nosotros le tenemos cubierto.
La formación en materia de seguridad para sus empleados es necesaria por muchas razones:
- Para prevenir los ciberataques y las brechas de seguridad
- Para reforzar sus defensas tecnológicas
- Para atraer más clientes
- Para que usted sea más responsable socialmente
- Para empoderar a sus empleados
- Para cumplir las normas de conformidad
- Para evitar los tiempos de inactividad y mantener una buena reputación
Nuestras simulaciones realistas de phishing expondrán a sus empleados a ataques de phishing falsos, pero inspirados en la vida real. Aprenderán a esquivar el anzuelo como Neo esquiva las balas en Matrix.
Estas son algunas de las increíbles ventajas al elegirnos:
- Simulación automatizada de ataques: simulamos todo tipo de ciberataques: phishing, malware, ransomware, spear-phishing, robo de identidad, ataques a la privacidad en línea, estafas en línea, etc.
- Escenarios de la vida real: evaluamos la vulnerabilidad de los usuarios a la hora de revelar datos personales o relacionados con la empresa mediante páginas web realistas.
- Análisis del comportamiento de los usuarios: reunimos los datos de los usuarios y los recopilamos en extensos informes para ofrecerle una imagen detallada sobre el nivel de conciencia de la seguridad de sus empleados.
- Réplicas de archivos maliciosos: nuestros correos electrónicos contienen réplicas de archivos maliciosos, para que la simulación sea lo más realista posible.
- Lecciones interactivas: si los empleados no reconocen nuestras trampas y caen en alguna, serán redirigidos a páginas de aterrizaje con lecturas rápidas sobre las mejores prácticas de seguridad.
- Simulamos marcas populares en nuestras páginas de phishing para que el usuario se sienta más atraído a hacer clic en la URL o a abrir el archivo adjunto en el correo electrónico.
El programa de formación de concienciación sobre la seguridad de ATTACK Simulator le ayudará a equipar a sus empleados con los conocimientos necesarios y las prácticas actuales de seguridad para mantener su empresa a salvo de los estafadores y evitar daños potencialmente irreparables.
¿Morderían sus empleados el anzuelo? Compruebe su eficacia con nuestra prueba gratuita de formación en materia de seguridad y lo sabrá con certeza.
Atribución:
