La voz al otro lado de la línea empezaba a sonar desesperada.
«Por favor, señor, necesitamos descargar un formulario seguro en su ordenador para poder cancelar su suscripción. «Es la única forma».
Intentaba convencerme de que le diera acceso remoto a mi ordenador para poder cancelar una suscripción a Geek Squad que yo nunca había contratado.
Susurrando en urdu, le confió a un compañero que yo no estaba colaborando.
«Por favor», suplicó de nuevo, «solo necesitamos entre cinco y 10 minutos de su valioso tiempo para devolverle el dinero».
Cuando por fin colgué, me volvió a llamar: ocho veces seguidas.
Se trató de un ataque clásico de suplantación de identidad por voz («vishing»). Todo comenzó con un correo electrónico en el que se afirmaba que se me iban a cobrar 302.42 dólares a menos que llamara a un número que figuraba al final del mensaje. De haber sido un usuario desprevenido, esto podría haber acabado con mi ordenador comprometido y el robo de los datos de mi tarjeta de crédito. Y si hubiera trabajado para una gran empresa, las consecuencias podrían haber sido mucho peores.
Los ataques de «vishing» como este aumentaron un 625 %, pasando de 2021 a 2022, según el último informe trimestral sobre amenazas de « » elaborado por PhishLabs. They are now the second most common “response-based” attack, trailing only the classic Nigerian Prince 419 scam. En ambos casos, los estafadores recurren a tácticas de ingeniería social, que consisten en utilizar la manipulación psicológica para convencer a las víctimas de que revelen información confidencial.
«El phishing por voz puede resultar más eficaz porque las personas tienden a bajar la guardia cuando hablan con alguien», afirma Roger Grimes, promotor de la defensa basada en datos de KnowBe4, empresa que ofrece formación contra el phishing a empresas. «La ingeniería social representa entre el 80 % y el 90 % de todas las filtraciones de datos que han tenido éxito».
Adaptarse y triunfar
A medida que las organizaciones han ido aprendiendo a reconocer los indicios reveladores de los ataques de phishing de tipo « », los atacantes se han adaptado. En la primavera de 2021, la banda del ransomware Conti se dividió en varios grupos y comenzó a adoptar nuevas estrategias. Un nuevo vektor de ataque conocido como « “BazarCall”», o «callback phishing», siguió el guion descrito anteriormente: un correo electrónico falso diseñado para provocar una llamada telefónica, seguida de una solicitud de acceso remoto. Mientras un falso empleado del servicio de atención al cliente entabla conversación con la persona que llama, un atacante remoto se infiltra en su red para robar información o introducir malware.
«El phishing por devolución de llamada ha revolucionado por completo el panorama actual de amenazas.»Soluciones avanzadas de inteligencia
Según la empresa de investigación en seguridad Advanced Intelligence Solutions, «el phishing por devolución de llamada ha revolucionado por completo el panorama actual de amenazas», y tiene como objetivo a una amplia gama de organizaciones, entre las que se incluyen un fabricante multinacional de armas, un importante proveedor de soluciones informáticas, una empresa tecnológica valorada en miles de millones de dólares y un equipo de la NBA. Casi el 40 % de las víctimas tiene unos ingresos anuales superiores a los mil millones de dólares.
En agosto, Cisco ofreció una descripción extraordinariamente detallada de un ataque de «vishing» contra una de las cuentas personales de Google de uno de sus empleados. Dado que el empleado había activado la sincronización de contraseñas en el navegador, los atacantes también pudieron acceder a las credenciales de Cisco del usuario.
Según el informe, a continuación, el atacante «llevó a cabo una serie de sofisticados ataques de suplantación de identidad por voz haciéndose pasar por diversas organizaciones de confianza, con el fin de convencer a la víctima de que aceptara la autenticación multifactorial (MFA) y las notificaciones push iniciadas por el atacante».
Finalmente, el intento de burlar las medidas de protección de la autenticación multifactorial (MFA) tuvo éxito, lo que permitió al atacante iniciar sesión a través de la VPN corporativa. A continuación, el pirata informático comenzó a instalar herramientas de acceso remoto, a ampliar sus privilegios administrativos, a desplazarse lateralmente por la red y a sustraer información.
Mientras tanto, el equipo de seguridad de Cisco vigilaba al atacante y observaba las técnicas que utilizaba. En definitiva, según Cisco, no se accedió a ninguna información confidencial y no se interrumpió ninguna operación empresarial ni de la cadena de suministro. El atacante intentó, sin éxito, extorsionar a la empresa y, a continuación, publicó algunos archivos sin contenido sensible en la dark web.
¿Entrenar en vano?
Según un informe de IBM, las filtraciones de datos por phishing supusieron un coste medio de 4.7 millones de dólares para las empresas en 2021. Sin embargo, el 86 % de los empleados recibe 30 minutos o menos de formación sobre concienciación en materia de seguridad al mes, según Osterman Research. Un informe reciente de SANS señala que tres cuartas partes de los profesionales de la sensibilización en materia de seguridad dedican menos de la mitad de su tiempo a impartir realmente formación sobre sensibilización en materia de seguridad.
La formación «KnowBe4’s » contra el phishing consiste en enviar a los trabajadores correos electrónicos simulados de phishing, identificar hasta el 33 % de las personas que siempre hacen clic en los enlaces de dichos correos y enseñarles cómo evitar ser engañados la próxima vez.
[Lea también: Por qué los trabajadores violan las políticas de ciberseguridad]
Lamentablemente, señala Grimes, las grandes empresas de telecomunicaciones no permiten que empresas como KnowBe4 realicen llamadas de voz no autorizadas a los empleados sin su consentimiento. Por lo tanto, la formación contra el «vishing» no puede impartirse de la misma manera. (El hecho de saber que va a recibir una llamada de «vishing» echa por tierra, en cierto modo, el objetivo.)
A pesar de los obstáculos ocasionales, la educación sigue siendo la forma más eficaz de combatir el phishing, el vishing o el smishing (ataques por SMS), afirma.
«Hay que enseñar a todo el mundo a mantener un nivel saludable de escepticismo ante cualquier mensaje que reúna dos características: que sea inesperado y que le pida que haga algo nuevo para ese remitente en concreto», afirma Grimes. «Asegúrese de comprobar que el mensaje es legítimo antes de hacer nada de lo que [el remitente] le pida que haga».
Se necesita un ejército
También es recomendable centrar la atención en aquellas áreas en las que su empresa podría ser más vulnerable, afirma Christopher Prewitt, director de tecnología de Inversion6, una empresa especializada en la gestión de riesgos de ciberseguridad.
«Muchas empresas intentan protegerlo todo por igual sin tener en cuenta los procesos que son más importantes para el negocio», afirma. «¿Cómo se mueve el dinero dentro de la organización? ¿Quién tiene acceso a ello? ¿Cómo gestionan las transferencias bancarias? «Si dispone de 300 millones de dólares en la tesorería de la empresa, tal vez le convenga crear una cuenta de tránsito para pagar sus facturas, de modo que, en caso de que alguien sea víctima de una estafa, solo pierda una cantidad limitada de dinero».
[Lea también: El auge del tesorero empresarial experto en el ámbito digital]
A lot of this is Security 101, he adds. Limitar los privilegios de acceso, identificar comportamientos anómalos, segmentar las partes más sensibles de la red e implementar un marco de «confianza cero» contribuirán a limitar los daños derivados de un ataque que haya tenido éxito. Pero nada puede sustituir a la vigilancia constante.
«No puedo ponerme detrás de 8,000 empleados y decirles en qué no deben hacer clic», afirma Prewitt. «Necesito un grupo de personas que comprendan que deben estar siempre alerta y, a continuación, intentar colaborar con ellas».
