HPE entre los líderes de almacenamiento de Gartner
Spear phishing es un ataque de correo electrónico dirigido que pretende ser de un remitente confiable. Aprenda a reconocer este tipo de ataque.
Por Josh Fruhlinger | Original de IDGN
Spear phishing es un ataque de correo electrónico dirigido que pretende ser de un remitente confiable.
En los ataques de spear phishing, los atacantes a menudo usan información obtenida de la investigación para tranquilizar al destinatario.
El objetivo final es infectar los dispositivos con malware convenciendo al destinatario de hacer clic en un enlace, descargar un archivo adjunto, o engañar al destinatario para que realice alguna otra acción que beneficie al atacante, generalmente entregando información o dinero.
Los mensajes de phishing selectivo a menudo se elaboran con cuidado utilizando técnicas perniciosas de ingeniería social y es difícil defenderse de ellos con medios técnicos.
“Lo que es importante tener en cuenta sobre el spear phishing es que la persona que lo sufre no suele ser el objetivo real. Es, más bien, su entorno corporativo el que, probablemente, sea el objetivo final del atacante”, J.R. Cunningham, CSO de Nuspire, un MSSP con sede en Michigan.
Phishing vs. spear phishing vs. caza de ballenas
El phishing, el phishing selectivo y la caza de ballenas son todos tipos de ataques por correo electrónico, siendo el phishing una categoría más amplia de ciberataque que abarca casi cualquier uso del correo electrónico u otros mensajes electrónicos para engañar a las personas.
El phishing selectivo y la caza de ballenas son solo dos de un puñado de ataques.
La mayoría de los ataques de phishing toman la forma de mensajes genéricos enviados automáticamente a miles de destinatarios.
Los mismos están escritos para ser un tanto tentadores (el archivo adjunto puede tener un nombre como “informe de salario” o el enlace puede ser un sitio falso de ganadores de lotería), pero no se intenta hacer coincidir el contenido del mensaje con ninguna persona en particular.
El nombre deriva de “fishing” (con la “ph” como parte de la tradición de la ortografía caprichosa de los piratas informáticos), y la analogía es la de un pescador que lanza un anzuelo con cebo (el correo electrónico de phishing) y espera que alguna víctima nade y muerda.
El Spear phishing, como su nombre lo indica, consiste en intentar capturar un pez específico.
Un correo electrónico de spear phishing incluye información específica del destinatario para convencerlo de que tome la acción que el atacante quiere que tome.
Esto comienza con el nombre del destinatario y puede incluir información sobre su trabajo o vida personal que los atacantes pueden obtener de varias fuentes.
Otra frase que puede escuchar en este contexto es caza de ballenas, que es un tipo específico de phishing dirigido, específicamente uno que persigue peces realmente grandes.
“La caza de ballenas es un tipo de phishing selectivo centrado en figuras públicas, altos ejecutivos u otros objetivos importantes. De ahí el nombre un tanto poco halagador”, explica Jacob Ansari, defensor de la seguridad y analista de tendencias cibernéticas emergentes de Schellman.
Para este especialista, todo el phishing selectivo está dirigido, pero a veces se enfoca en objetivos menos prominentes con una función importante: alguien en TI o finanzas que tiene una función esencial que otorga acceso a los usuarios o aprueba facturas, por ejemplo.
La forma en que los atacantes obtienen la información personal que necesitan para crear un correo electrónico de phishing selectivo es una técnica crítica de phishing selectivo, ya que todo el proceso del ataque depende de que los mensajes sean creíbles para el destinatario.
Hay varias formas en que un atacante puede lograr esto. Una consiste en comprometer un sistema de correo electrónico o de mensajería por otros medios, por ejemplo, a través del phishing ordinario, o a través de una vulnerabilidad en la infraestructura de correo electrónico.
Pero ese es solo el primer paso en el proceso.
“El correo electrónico de alguien dentro de la organización objetivo se ve comprometido, y el atacante se sienta en la red por un tiempo para monitorear y rastrear conversaciones interesantes”, explica Ori Arbel, CTO de CYREBRO, un proveedor de plataforma de operaciones de seguridad con sede en Tel Aviv.
Arbel destaca que, cuando es el momento adecuado, envían un correo electrónico al objetivo utilizando un contexto creíble con información privilegiada, como conversaciones pasadas o referencias a montos específicos para una transferencia de dinero anterior.
Si no puede abrirse camino en el sistema de comunicaciones, un atacante también podría recurrir a la inteligencia de fuente abierta (OSINT), rastreando las redes sociales o las comunicaciones corporativas para formarse una imagen de su objetivo.
Jorge Rey, director de seguridad cibernética y cumplimiento de Kaufman Rossin, una firma de asesoría con sede en Nueva York, explica un vector de ataque común que ha visto. “Cuando las personas hacen un cambio en su LinkedIn e identifican que se unieron a Kaufman Rossin, en cuestión de horas o incluso minutos recibirán un correo electrónico de nuestro director ejecutivo, no de su correo electrónico de Kaufman Rossin, sino algo en gmail.com —pidiéndoles que compren tarjetas de regalo y cosas por el estilo”. Por supuesto, este correo electrónico no proviene del CEO en absoluto, sino de un atacante que espera atrapar a un nuevo empleado con la guardia baja. “Todos estos bots están monitoreando LinkedIn, monitoreando todo a través de scripts y enviando información con la esperanza de que alguien caiga en la trampa”, explica.
Si los atacantes pueden obtener información personal de su presencia en línea, también intentarán usar eso para su beneficio. Cunningham de Nuspire da un ejemplo de un cliente experto en seguridad que, sin embargo, casi queda atrapado por el phishing de lanza. “Recibieron un correo electrónico supuestamente de su compañía de seguros informándoles que tenían una actualización de su reclamo de seguro de automóvil e hicieron clic en el enlace, solo para darse cuenta de inmediato que era un ataque de phishing”, dice.
“Resulta que esta persona había tenido un accidente automovilístico recientemente y había publicado fotos del accidente en las redes sociales, junto con un comentario de que su proveedor de seguros (a quien nombraron) respondió muy rápido al reclamo. Esto dio la información del atacante sobre el proveedor de seguros de la víctima, que se utilizó para elaborar el phishing de lanza”.
