Claves para evitar que tus empleados sean víctimas de phishing

Phishing: Un viejo conocido

A pesar de parecer un término con un alto contenido tecnológico, el phishing, haciendo referencia a la pesca en inglés, no termina siendo otra cosa que la estrategia para robar información y que se adaptó para llegar al mundo digital. La clave está en el engaño con el que un ciber delincuente logra acceder a información, en teoría, personal.

Lo que antes de esta era digital se lograba con falsificación de documentos y llamadas telefónicas, hoy se ha transformado en un sistema que usa como anzuelo de pesca los correos electrónicos, mensajes de texto y otros medios manipulados con acciones sospechosas para poder acceder a información relevante como números de tarjetas de crédito, usuarios y contraseñas de diferentes plataformas y, en general, datos confidenciales.

Pero uno de los asuntos interesantes de este tipo de ciberataque es que, contrario a otras modalidades en donde las herramientas tecnológicas juegan un papel crucial para llevar a cabo una vulneración en la seguridad, en el caso del phishing la principal herramienta es la suplantación de personas o entidades que creemos confiables.

• Emails firmados por supuestos conocidos o de quienes dicen ser integrantes de entidades privadas u oficiales, son algunas de las tácticas que se usan para engañar y “pescar”, hasta que alguien cae en la trampa. El diseño y contenido, que luce confiable o muy parecido a comunicaciones reales de marcas reconocidas, se usan como anzuelo para que el usuario ingrese a enlaces o descargue archivos y facilite, sin quererlo, esa información al ciber atacante.

• Correos que parecen legítimos, con firma, datos de contacto, hasta documentos con diseños y logos, con frases que atraen lo suficiente como para darle clic queriendo buscar más información sobre el enunciado. Por ejemplo: recibir una llamada telefónica de un supuesto asesor bancario, o mensajes de texto, con enlaces que notifican que tu cuenta de ahorros ha sido bloqueada por lo que debes suministrarles una información para poder “ayudarte” en el proceso de desbloqueo de la cuenta. Ninguna entidad puede pedir información confidencial, claves ni nombres de usuario.

• Casos que hemos escuchado alguna vez o nos han pasado, como los correos electrónicos notificando que fuiste el ganador de un millonario premio pero para recibirlo debes llenar unos formularios con información personal y hacer un pago por un supuesto impuesto internacional para que te consignen. “Consignas 300 dólares pero recibirás un millón” y aunque suena tentador simplemente no es real.

Cualquier persona que sea víctima de esta modalidad, sin duda podría llegar a comprometer su integridad y su información de una manera seria en su carácter personal; pero si a este escenario sumamos que esa persona sea además un empleado de una compañía donde está conectado a una red interna cuando cae en un ataque de phishing, la situación puede escalar a un nivel mucho más complejo en el que, eventualmente, esas redes y hasta la misma organización también pueden ser vulneradas por cuenta de ese mismo ataque, produciendo un ataque en cadena.

El conocimiento como la mejor herramienta para todos

En ese sentido, una organización que capacite a sus empleados y les entregue herramientas para protegerse de este tipo de ataques, no solo estará ayudando a su equipo de trabajo a proteger su información personal; también estará protegiendo a la larga los activos digitales de su compañía y los accesos que sus empleados puedan tener a ciertas redes.

En el caso del phishing, la manera más efectiva para contrarrestar estos ataques es tan simple como saber diferenciar esos detalles en la información que pueden llegar a revelar el engaño detrás de los mensajes.

La clave está en los detalles

A continuación revisaremos algunos tips fundamentales para tener en cuenta cuando recibamos mensajes sospechosos, especialmente cuando se trata de correos electrónicos, que suelen ser el tipo de mensaje más usado por el phishing, hasta: publicaciones en redes sociales, mensajes de texto, cualquier otro tipo de formato de comunicación sospechosa podrían ser revisados desde estas claves:

• El remitente: Usualmente los mensajes de phishing llegan desde direcciones electrónicas desconocidas con las que no se suele tener una frecuencia en el intercambio de información.
• El dominio del correo electrónico puede buscar parecerse al de un banco o una compañía reconocida, pero con elementos extraños adicionales como palabras extras, logos desactualizados o caracteres adicionales.
• El asunto o subject del correo: Lo primero que busca un mensaje con el que se pretende engañar a un usuario es que este lo abra, ese es su anzuelo. Por eso, el subject del correo suele tener un sentido de urgencia u oportunidad que resultan interesantes para los destinatarios.
• De esa manera, es habitual que desde el mismo subject se busque activar una alerta en la que el usuario pueda encontrar que sus productos financieros están en riesgo o, por el contrario, que ha sido ganador de un premio o cualquier otro tipo de gancho similar.
• El mensaje: Desde el principio del contenido, los mensajes destinados a este tipo de ataques suelen tener algunas pistas que generan sospecha. Por ejemplo, usar saludos genéricos (señor, señora, estimado usuario o cliente, entre muchos otros), pero no referirse al destinatario por su nombre.