los ataques de Phishing son una molestia, pero también son increíblemente peligrosos. Por lo general, se dirigen a nuestra bandeja de entrada, tratando de atraernos a proporcionar datos confidenciales, realizar pagos o entregar credenciales. Pueden ser el primer paso hacia la desaparición de una empresa.,
los intentos más básicos y fácilmente reconocibles siguen un escenario en el que un individuo, generalmente de algún lugar lo suficientemente distante como para no ser contactable en persona, ha entrado en dinero y necesita a alguien (usted) para ayudarlo a manejarlo por un trozo. Si bien este tipo de estafas son fáciles de detectar para la mayoría de las personas, por lo general están mal escritas y son demasiado buenas para ser ciertas, a medida que las cargas útiles de datos continúan enriqueciéndose, los atacantes cibernéticos son cada vez más inteligentes en sus enfoques., Están raspando LinkedIn para disfrazarse como CEOs de la compañía o jefes de Finanzas e identificando objetivos individuales dentro de las organizaciones en base a la información disponible de forma gratuita. Están aprovechando la ansiedad y la distracción de las personas en torno a los acontecimientos actuales, como el coronavirus; Google dijo que estaba bloqueando más de 100 millones de correos electrónicos de phishing al día en el apogeo de la pandemia, con casi una quinta parte de correos electrónicos fraudulentos relacionados con el virus.
en 2019, la brecha promedio costó a las empresas estadounidenses us 7 73,000, y eso sin mencionar el costo del daño a la reputación como resultado., El ransomware que toma incluso el más poderoso de los fabricantes de metal fuera de línea durante días o semanas, generalmente se remonta a un clic descuidado de un enlace en un correo electrónico. El software de seguridad, las actualizaciones automáticas y la autenticación multifactor pueden ayudar a combatir la probabilidad de que las campañas de phishing lleguen a su objetivo, pero con el 90% de las violaciones de datos rastreadas por error humano, el principal mecanismo de defensa debe ser nuestra propia vigilancia.
pero eso es especialmente difícil cuando las banderas rojas que se nos dice que debemos vigilar cambian constantemente., Una nueva estafa dirigida a los clientes de Wells Fargo demuestra los enfoques cada vez más creativos a los que recurren los ciberatacantes. Y con los clientes del Banco representando a uno de cada tres hogares estadounidenses, demuestra que incluso los enfoques de pistola de dispersión son cada vez más difíciles de atrapar.
unos 15,000 clientes del gigante estadounidense de servicios financieros Wells Fargo, que emplea a más de 260,000 empleados en 7,400 ubicaciones en todo el mundo, fueron blanco de una campaña de phishing que se hizo pasar por la seguridad de Wells Fargo, atrayendo a las víctimas a páginas de phishing con invitaciones de calendario.,
según los investigadores de seguridad anormal, los mensajes incluyen .archivos adjuntos de calendario ics que contienen eventos que dirigen a los destinatarios a páginas de phishing. Los mensajes reclamados los clientes deben actualizar sus claves de seguridad utilizando las instrucciones incluidas en el archivo adjunto del calendario o suspender sus cuentas. En una página falsa de Wells Fargo, se solicita a los usuarios que ingresen información confidencial como nombre de usuario, contraseña, pin y número de cuenta.
la estafa es particularmente inteligente, ya que alienta a los usuarios a abrir el mensaje en un teléfono inteligente, donde el .,el archivo ics se puede agregar automáticamente a su calendario. Posteriormente, la víctima recibe una notificación de Evento de calendario de su aplicación de confianza, en la que es más probable que haga clic. Si el usuario cae en la estafa y envía todos sus detalles, los atacantes tendrían toda la información que necesitan para tomar el control de las cuentas de los objetivos, robar su identidad y dinero. No es un mal día de trabajo.
el año pasado, los estafadores apuntaron a los resultados de búsqueda de Google, atrayendo la curiosidad de las víctimas con enlaces oficiales de Google., Los Phishers enviaron correos electrónicos a los objetivos que incluían enlaces de redirección de búsqueda de Google, y si hacían clic en el enlace en los resultados de búsqueda de Google, aterrizarían en el sitio web del atacante. Otro ataque sofisticado incluyó una campaña de phishing que utilizó un componente man-in-the-middle (MitM) para capturar información específica de la empresa, como logotipos, banners, texto e imágenes de fondo para crear páginas de inicio de sesión increíblemente realistas.
otra estafa inteligente del año pasado vio phishers usando páginas de clientes maliciosos 404 para servir sitios de phishing., 404 páginas le dicen a los usuarios cuando han alcanzado un enlace roto o muerto. Dirigiéndose a Microsoft, los atacantes incluían enlaces que apuntaban a páginas inexistentes, y cuando los sistemas de seguridad de Microsoft escaneaban el enlace, recibían el error 404 y consideraban que el enlace era seguro.
pero si un usuario real accediera a la misma URL, el sitio de phishing detectaría al usuario y lo redirigiría a una página de phishing real, en lugar de la página de error 404 del servidor.,
a medida que las estafas de phishing continúan cambiando de forma, se deslizarán más fácilmente a través de la red: «este tipo de ataques de correo electrónico solo resaltan el ingenio de los atacantes y enfatiza para todos nosotros la necesidad de ser conscientes y prestar atención al contenido de todos los correos electrónicos, si no se lee bien o se le pide que haga algo que normalmente no haría o no habría hecho antes, entonces no haga clic en nada o siga sus instrucciones: busque asesoramiento de su departamento de TI o equipo de seguridad», aconsejó Jamie Ahktar, cofundador y CEO de CyberSmart.