Cómo identificar y prevenir los ataques de phishing

Los ataques de phishing son una de las estafas online más comunes. Aunque estos ataques no son nada nuevo, los métodos utilizados para ejecutarlos evolucionan constantemente. Hoy en día, los hackers aprovechan la automatización y otras técnicas avanzadas para aumentar la escala de las campañas de phishing y dirigirse mejor a las víctimas.

Independientemente del método, los objetivos de los ataques de phishing siguen siendo prácticamente los mismos: engañar a las personas para que visiten sitios web falsos en los que se recopilan las credenciales de inicio de sesión y otros datos personales de la víctima, se transfiere dinero y se distribuye malware. La información robada a través del phishing a menudo se vende en la dark web y/o es utilizada por los atacantes para obtener acceso a recursos de red o para el fraude y el robo de identidad. Los atacantes suelen hacerse pasar por personas u organizaciones de confianza.

Los ataques de phishing también se han vuelto más personalizados. Mientras que los emails de phishing estándar implican el envío de correos fraudulentos en ataques masivos haciéndose pasar por una organización o persona legítima, los ataques de spear phishing se dirigen a una persona u organización específica y tienden a ser personalizados y detallados, lo que los hace más difíciles de detectar. Las herramientas y programas automatizados de phishing que rastrean las redes sociales y otros lugares de Internet en los que la gente publica información personal están mejorando y acelerando la recopilación de información que los atacantes llevan a cabo para personalizar y dirigir el spear phishing. Aunque este tipo de ataques requieren más esfuerzo, suelen tener un mayor índice de éxito.

Por desgracia, la realidad es que si estás online, vas a ser objetivo del phishing. Por eso es tan importante que cada usuario ponga de su parte para detener el phishing.

Señales comunes para identificar los ataques de phishing

El phishing es una forma popular de ciberdelincuencia por su eficacia. Los ciberdelincuentes han tenido éxito utilizando correos electrónicos, mensajes de texto y mensajes directos en redes sociales o en videojuegos, para conseguir que la gente responda con su información personal. La mejor defensa es la concienciación y saber qué buscar. La mayoría de los correos electrónicos y mensajes de phishing vienen con un sentido de urgencia. Desconfí de las comunicaciones que te piden que actúes de inmediato. Es mejor prevenir que curar, así que vete más despacio y pide ayuda si no estás seguro de si un mensaje es legítimo.

He aquí otras formas de reconocer un correo electrónico de phishing:

• Solicitudes sospechosas: estate atento a solicitudes de jefes o compañeros de trabajo que parezcan fuera de lo normal.
• Fíjate en los errores ortográficos y gramaticales: esto suele ser un indicador de que un mensaje de correo electrónico o de texto procede de una fuente falsa.
• Comprueba la dirección de correo electrónico completa (o el número de teléfono) del remitente: te ayudará a asegurarte de que el mensaje procede de una fuente legítima. Elimínalo si no te parece correcto, pero ten en cuenta también que los atacantes pueden falsificar direcciones de email si tu dominio no cuenta con las protecciones adecuadas (como el filtrado DNS).
• Enlaces a páginas de destino desconocido: en general, evita hacer clic en los enlaces de la correspondencia. Pero comprueba siempre el dominio antes de hacer clic para asegurarte de que coincide con el sitio que pretendes visitar. (Siempre es más seguro teclear manualmente las direcciones de los sitios web).
• Un archivo adjunto:  nunca descargues archivos de remitentes desconocidos. En serio, nunca.

8 consejos para evitar las estafas de phishing

1. No hagas clic en links ni abras archivos adjuntos:

Como decíamos, esta es una de las principales formas de identificar un ataque de phishing. Si sospechas que un mensaje de email es una estafa, no abras los enlaces o archivos adjuntos que veas. En su lugar, pasa el ratón por encima del enlace (pero no hagas clic) para ver si la dirección coincide con el enlace que se escribió en el mensaje.

2. Utiliza la seguridad de red y del correo electrónico:

Asegúrate de que tu empresa despliega herramientas de seguridad para el correo electrónico que filtren los mensajes de remitentes malintencionados. Los buenos filtros evalúan si el mensaje de email recibido es sospechoso y lo colocan en la carpeta de spam o lo bloquean por completo. Pero los filtros de correo electrónico pueden no ser suficientes. Es necesario utilizar firewalls de escritorio y de red para crear un escudo de defensa contra intrusos externos. Los firewalls supervisan y filtran el tráfico de red entrante y saliente en función de las políticas de seguridad predefinidas de tu empresa y pueden aplicar servicios de seguridad como el filtrado DNS para bloquear conexiones a destinos maliciosos conocidos.

3. Mantén actualizado tu navegador:

Actualiza siempre tu navegador. Las actualizaciones periódicas son necesarias y pueden mejorar su protección contra el phishing. Mantenerse siempre al día con el software garantiza que también se está al día con los ciberataques modernos y los métodos de ataque de phishing. Las actualizaciones de software suelen parchear agujeros de seguridad y corregir vulnerabilidades de versiones anteriores del software. Puesto que tu navegador es la primera línea de defensa contra los ataques de phishing, procura actualizarlo siempre.

4. Mantén la seguridad de las contraseñas:

Hagas lo que hagas, nunca des contraseñas, PIN o códigos 2FA por correo electrónico, texto o llamadas telefónicas. Las empresas nunca te pedirán este tipo de información sensible. Si tienes cuentas en Internet, revisa periódicamente tus contraseñas y compáralas con las listas de contraseñas conocidas que han sido violadas. Un gestor de contraseñas seguro puede ayudarte almacenando tus credenciales de inicio de sesión en un espacio seguro al que siempre tengas acceso, al tiempo que busca automáticamente las que hayan sido comprometidas. De esta manera, puedes utilizar contraseñas seguras para todas tus cuentas sin olvidarlas.

5. Ten cuidado al dar información personal:

Como regla general, nunca reveles información personal en sitios web públicos donde todo el mundo pueda ver tu información privada. Muchos revelan voluntariamente información sensible sin darse cuenta de que estos datos pueden ser recogidos y utilizados durante un ataque de spear-phishing. Si la URL del sitio web no empieza por "https", o no puede ver un icono de candado cerrado junto a la URL, no introduzca información sensible ni descargue archivos de ese sitio. Los sitios sin certificados de seguridad pueden estar destinados a estafas de phishing.

6. Desconfía de las ventanas emergentes:

Uno de los trucos más utilizados por los hackers para diseñar ventanas emergentes maliciosas es incluir un botón de cancelación. Nunca hagas clic en un botón de cancelación dentro de una ventana emergente, ya que probablemente te redirigirá a un sitio de phishing. Cierra siempre las ventanas emergentes con el signo X situado en una de las esquinas. Afortunadamente, todos los navegadores web modernos permiten bloquear la mayoría de los tipos de ventanas emergentes maliciosas.

7. Despliega la autenticación de doble factor (2FA) o la autenticación multifactor (MFA) para todos tus usuarios:

Cualquier método de autenticación de dos factores puede evitar hasta cierto punto el phishing. Sin embargo, hay una categoría particular de métodos de autenticación multifactor resistentes al phishing que es especialmente eficaz contra el phishing.

8. Reenvía los emails sospechosos a tu departamento de TI o de seguridad para una inspección más detallada:

Para denunciar intentos de phishing, spoofing o informar de que has sido víctima, visita el Internet Crime Complaint Center (IC3) para presentar una denuncia. Para más información sobre cómo proteger tu información, visita Stop Ransomware.

Para acabar con el phishing hay que estar alerta. Por encima de todo, piensa antes de actuar. Un clic irreflexivo podría poner en peligro tu información personal o los datos críticos de tu empresa.

Cómo puede ayudarte WatchGuard a protegerte contra los ataques de phishing

Los MSP y MSSP pueden proteger mejor a sus clientes asociándose con WatchGuard para implementar soluciones de hardware y software que automaticen la protección contra el phishing y proporcionen educación a los usuarios finales en tiempo real.

Los dispositivos Firebox y las soluciones endpoint de WatchGuard proporcionan protección a nivel de DNS y filtrado de contenidos. Y si los empleados hacen clic en un enlace malicioso, pueden ser redirigidos inmediatamente a los recursos que proporcionan educación sobre los ataques de phishing y las mejores prácticas para la prevención.

Además, Unified Security Platform® de WatchGuard proporciona análisis precisos para cada ataque bloqueado y lo entrega a los administradores de TI y MSP para el contexto y la acción interna.