Tecnologia
Typography
  • Smaller Small Medium Big Bigger
  • Default Helvetica Segoe Georgia Times

Spear phishing es un ataque de correo electrónico dirigido que pretende ser de un remitente confiable. En los ataques de spear phishing, los atacantes a menudo usan información obtenida de la investigación para tranquilizar al destinatario.

El objetivo final es infectar los dispositivos con malware convenciendo al destinatario de hacer clic en un enlace, descargar un archivo adjunto, o engañar al destinatario para que realice alguna otra acción que beneficie al atacante, generalmente entregando información o dinero.

Los mensajes de phishing selectivo a menudo se elaboran con cuidado utilizando técnicas perniciosas de ingeniería social y es difícil defenderse de ellos con medios técnicos.

“Lo que es importante tener en cuenta sobre el spear phishin es que la persona que lo sufre no suele ser el objetivo real. Es, más bien, su entorno corporativo el que, probablemente, sea el objetivo final del atacante”, J.R. Cunningham, CSO de Nuspire, un MSSP con sede en Michigan.

Phishing vs. spear phishing vs. caza de ballenas

El phishing, el phishing selectivo y la caza de ballenas son todos tipos de ataques por correo electrónico, siendo el phishing una categoría más amplia de ciberataque que abarca casi cualquier uso del correo electrónico u otros mensajes electrónicos para engañar a las personas.

El phishing selectivo y la caza de ballenas son solo dos de un puñado de ataques.

La mayoría de los ataques de phishing toman la forma de mensajes genéricos enviados automáticamente a miles de destinatarios.

Los mismos están escritos para ser un tanto tentadores (el archivo adjunto puede tener un nombre como “informe de salario” o el enlace puede ser un sitio falso de ganadores de lotería), pero no se intenta hacer coincidir el contenido del mensaje con ninguna persona en particular.

El nombre deriva de “fishing” (con la “ph” como parte de la tradición de la ortografía caprichosa de los piratas informáticos), y la analogía es la de un pescador que lanza un anzuelo con cebo (el correo electrónico de phishing) y espera que alguna víctima nade y muerda.

El Spear phishing, como su nombre lo indica, consiste en intentar capturar un pez específico.

Un correo electrónico de spear phishing incluye información específica del destinatario para convencerlo de que tome la acción que el atacante quiere que tome.

Esto comienza con el nombre del destinatario y puede incluir información sobre su trabajo o vida personal que los atacantes pueden obtener de varias fuentes.

Spear Phishing

Otra frase que puede escuchar en este contexto es caza de ballenas, que es un tipo específico de phishing dirigido, específicamente uno que persigue peces realmente grandes.

“La caza de ballenas es un tipo de phishing selectivo centrado en figuras públicas, altos ejecutivos u otros objetivos importantes. De ahí el nombre un tanto poco halagador”, explica Jacob Ansari, defensor de la seguridad y analista de tendencias cibernéticas emergentes de Schellman.

Para este especialista, todo el phishing selectivo está dirigido, pero a veces se enfoca en objetivos menos prominentes con una función importante: alguien en TI o finanzas que tiene una función esencial que otorga acceso a los usuarios o aprueba facturas, por ejemplo.

La forma en que los atacantes obtienen la información personal que necesitan para crear un correo electrónico de phishing selectivo es una técnica crítica de phishing selectivo, ya que todo el proceso del ataque depende de que los mensajes sean creíbles para el destinatario.

Hay varias formas en que un atacante puede lograr esto. Una consiste en comprometer un sistema de correo electrónico o de mensajería por otros medios, por ejemplo, a través del phishing ordinario, o a través de una vulnerabilidad en la infraestructura de correo electrónico.

Pero ese es solo el primer paso en el proceso.

“El correo electrónico de alguien dentro de la organización objetivo se ve comprometido, y el atacante se sienta en la red por un tiempo para monitorear y rastrear conversaciones interesantes”, explica Ori Arbel, CTO de CYREBRO, un proveedor de plataforma de operaciones de seguridad con sede en Tel Aviv.

Arbel destaca que, cuando es el momento adecuado, envían un correo electrónico al objetivo utilizando un contexto creíble con información privilegiada, como conversaciones pasadas o referencias a montos específicos para una transferencia de dinero anterior.

Si no puede abrirse camino en el sistema de comunicaciones, un atacante también podría recurrir a la inteligencia de fuente abierta (OSINT), rastreando las redes sociales o las comunicaciones corporativas para formarse una imagen de su objetivo.

Jorge Rey, director de seguridad cibernética y cumplimiento de Kaufman Rossin, una firma de asesoría con sede en Nueva York, explica un vector de ataque común que ha visto. “Cuando las personas hacen un cambio en su LinkedIn e identifican que se unieron a Kaufman Rossin, en cuestión de horas o incluso minutos recibirán un correo electrónico de nuestro director ejecutivo, no de su correo electrónico de Kaufman Rossin, sino algo en gmail.com —pidiéndoles que compren tarjetas de regalo y cosas por el estilo”. Por supuesto, este correo electrónico no proviene del CEO en absoluto, sino de un atacante que espera atrapar a un nuevo empleado con la guardia baja. “Todos estos bots están monitoreando LinkedIn, monitoreando todo a través de scripts y enviando información con la esperanza de que alguien caiga en la trampa”, explica.

Si los atacantes pueden obtener información personal de su presencia en línea, también intentarán usar eso para su beneficio. Cunningham de Nuspire da un ejemplo de un cliente experto en seguridad que, sin embargo, casi queda atrapado por el phishing de lanza. “Recibieron un correo electrónico supuestamente de su compañía de seguros informándoles que tenían una actualización de su reclamo de seguro de automóvil e hicieron clic en el enlace, solo para darse cuenta de inmediato que era un ataque de phishing”, dice.

“Resulta que esta persona había tenido un accidente automovilístico recientemente y había publicado fotos del accidente en las redes sociales, junto con un comentario de que su proveedor de seguros (a quien nombraron) respondió muy rápido al reclamo. Esto dio la información del atacante sobre el proveedor de seguros de la víctima, que se utilizó para elaborar el phishing de lanza”.

Fuente: thestandardcio.com  / Por: Josh Fruhlinger | Original de IDGN

Publicado por: TuDecides.com.mx
Edición: Adrián Soltero
Contacto: dir@tudecides.com.mx

Nota: Por lo general todos los artículos cuentan con fuente y autor del mismo. Si por alguna razón no se encuentra, lo hemos omitido por error o fue escrito por la redacción de TuDecides.com.mx.

 

Suscríbase para recibir novedades, regalos y artículos

Habilite javascript para enviar este formulario

Su email jamás será compartido con nadie. Odiamos el spam.

Te puede interesar...

Save
Cookies user prefences
We use cookies to ensure you to get the best experience on our website. If you decline the use of cookies, this website may not function as expected.
Accept all
Decline all
Marketing
Set of techniques which have for object the commercial strategy and in particular the market study.
DoubleClick/Google Marketing
Accept
Decline
$family
Accept
Decline
$constructor
Accept
Decline
each
Accept
Decline
clone
Accept
Decline
clean
Accept
Decline
invoke
Accept
Decline
associate
Accept
Decline
link
Accept
Decline
contains
Accept
Decline
append
Accept
Decline
getLast
Accept
Decline
getRandom
Accept
Decline
include
Accept
Decline
combine
Accept
Decline
erase
Accept
Decline
empty
Accept
Decline
flatten
Accept
Decline
pick
Accept
Decline
hexToRgb
Accept
Decline
rgbToHex
Accept
Decline
min
Accept
Decline
max
Accept
Decline
average
Accept
Decline
sum
Accept
Decline
unique
Accept
Decline
shuffle
Accept
Decline
rgbToHsb
Accept
Decline
hsbToRgb
Accept
Decline
Básicas
Accept
Decline
Analytics
Tools used to analyze the data to measure the effectiveness of a website and to understand how it works.
Google Analytics
Accept
Decline
Analíticas
Accept
Decline
Functional
Tools used to give you more features when navigating on the website, this can include social sharing.
AddThis
Accept
Decline
$family
$hidden
Accept
Decline
overloadSetter
Accept
Decline
overloadGetter
Accept
Decline
extend
Accept
Decline
implement
Accept
Decline
hide
Accept
Decline
protect
Accept
Decline
attempt
Accept
Decline
pass
Accept
Decline
delay
Accept
Decline
periodical
Accept
Decline
$constructor
alias
Accept
Decline
mirror
Accept
Decline
pop
Accept
Decline
push
Accept
Decline
reverse
Accept
Decline
shift
Accept
Decline
sort
Accept
Decline
splice
Accept
Decline
unshift
Accept
Decline
concat
Accept
Decline
join
Accept
Decline
slice
Accept
Decline
indexOf
Accept
Decline
lastIndexOf
Accept
Decline
filter
Accept
Decline
forEach
Accept
Decline
every
Accept
Decline
map
Accept
Decline
some
Accept
Decline
reduce
Accept
Decline
reduceRight
Accept
Decline
forEachMethod
Accept
Decline
each
clone
clean
invoke
associate
link
contains
append
getLast
getRandom
include
combine
erase
empty
flatten
pick
hexToRgb
rgbToHex
min
max
average
sum
unique
shuffle
rgbToHsb
hsbToRgb