La voz en el otro extremo de la línea estaba comenzando a sonar desesperada.
“Señor, necesitamos descargar un formulario seguro en su computadora para que podamos cancelar su suscripción. Es la única manera”.
Estaba tratando de convencerme de que le diera acceso remoto a mi computadora, para que pudiera cancelar una suscripción a Geek Squad en la que nunca me había registrado.
Susurrando en Urdu, le confió a un colega que yo no estaba cooperando.
“Por favor”, alegó nuevamente, “solo necesitamos de cinco a 10 minutos de su valioso tiempo para reembolsar su dinero”.
Después de que finalmente colgué, me volvió a llamar, ocho veces seguidas.
Era un ataque híbrido clásico de phishing de voz (“vishing”). Comenzó con un correo electrónico que afirmaba que estaba a punto de que me cobraran $302.42 , a menos que llamara a un número que figura en la parte inferior del mensaje. Si hubiera sido un usuario ingenuo, podría haber terminado con mi computadora comprometida y la información de mi tarjeta de crédito robada. Y si hubiera trabajado para una gran empresa, las ramificaciones podrían haber sido mucho peores.
Los ataques de vishing como este aumentaron un 625 % de 2021 a 2022, según el informe trimestral de amenazas más reciente de PhishLabs. Ahora son el segundo ataque “basado en respuestas” más común, solo detrás de la estafa clásica del príncipe nigeriano 419 . En ambos casos, los estafadores utilizan tácticas de ingeniería social, que emplean manipulación psicológica para persuadir a las víctimas de divulgar información confidencial.
“La suplantación de identidad por voz puede ser más efectiva porque las personas tienden a bajar la guardia cuando hablan con alguien”, dice Roger Grimes, evangelista de defensa basada en datos para KnowBe4, que ofrece capacitación contra la suplantación de identidad para empresas. “La ingeniería social representa del 80 % al 90 % de todas las filtraciones de datos exitosas”.
Adaptarse y conquistar
A medida que las organizaciones se han vuelto inteligentes con los signos reveladores de los ataques de phishing, los atacantes se han adaptado. En la primavera de 2021, la pandilla de ransomware Conti se dividió en múltiples grupos y comenzó a adoptar nuevas estrategias. Un nuevo vector de ataque conocido como “BazarCall” o “phishing de devolución de llamada”, siguió el manual de estrategias descrito anteriormente: un correo electrónico falso diseñado para estimular una llamada telefónica seguida de una solicitud de acceso remoto. A medida que un empleado de servicio al cliente falso conversa con la persona que llama, un atacante remoto penetra en su red para robar información o depositar malware.
“El phishing de devolución de llamada ha revolucionado completamente el panorama actual de amenazas”.Soluciones avanzadas de inteligencia
Según la firma de investigación de seguridad Advanced Intelligence Solutions, “el phishing de devolución de llamadas ha revolucionado completamente el panorama actual de amenazas”, dirigido a una amplia gama de organizaciones, incluido un fabricante multinacional de armas, un importante proveedor de soluciones de TI, una empresa tecnológica multimillonaria y un equipo de la NBA. Casi el 40 % de las víctimas tienen ingresos anuales superiores a 1000 millones de USD.
En agosto, Cisco ofreció una descripción notablemente detallada de un ataque de vishing en una de las cuentas personales de Google de sus empleados. Debido a que el colaborador había habilitado la sincronización de contraseña dentro de un navegador, los atacantes también pudieron acceder a las credenciales de Cisco del usuario.
Según el informe, el atacante “realizó una serie de sofisticados ataques de phishing de voz bajo el disfraz de varias organizaciones de confianza que intentaban convencer a la víctima de que aceptara notificaciones push de autenticación multifactor (multi-factor authentication, MFA) iniciadas por el atacante”.
Finalmente, el intento de superar las protecciones de la MFA funcionó, lo que permitió al atacante iniciar sesión a través de la VPN corporativa. Luego, el hacker comenzó a depositar herramientas de acceso remoto, escalar privilegios administrativos, moverse lateralmente a través de la red y robar información.
Mientras tanto, el equipo de seguridad de Cisco estaba observando al atacante y observando las técnicas utilizadas. Al final, dice Cisco, no se accedió a información confidencial y no se interrumpieron las operaciones comerciales ni de la cadena de suministro. El atacante intentó extorsionar dinero de la empresa y falló, luego publicó algunos archivos no confidenciales en la web oscura.
¿Capacitar en vano?
IBM informa que la filtración de datos de phishing promedio costó a las empresas 4.7 millones de dólares en 2021. Sin embargo, el 86 % de los empleados reciben 30 minutos o menos de capacitación de concientización sobre seguridad al mes, según Osterman Research. Un informe reciente de SANS señala que tres cuartos de los profesionales de concientización sobre la seguridad pasan menos de la mitad de su tiempo enseñando realmente la concientización sobre la seguridad.
KnowBe4’s La capacitación contra el phishing consiste en enviar correos electrónicos de phishing simulados a los trabajadores, identificar hasta el 33 % de las personas que siempre hacen clic en los enlaces enviados por correo electrónico y enseñarles cómo no ser engañados la próxima vez.
[Lea también: Por qué los trabajadores violan las políticas de ciberseguridad]
Desafortunadamente, señala Grimes, las grandes telecomunicaciones no permitirán a empresas como KnowBe4 realizar llamadas de voz no autorizadas a los colaboradores sin su permiso. Por lo tanto, la capacitación antivishing no se puede realizar de la misma manera. (Saber que una llamada de vishing está por venir anulando el propósito).
A pesar de la barrera ocasional, la educación sigue siendo la forma más efectiva de combatir el phishing, el vishing o el smishing (ataques de SMS), dice.
“Debe enseñar a todos a tener un nivel saludable de escepticismo para cualquier mensaje que contenga dos características: Es inesperado y le pide que haga algo nuevo para ese remitente en particular”, dice Grimes. “Asegúrese de confirmar que el mensaje es legítimo antes de hacer cualquier cosa que [un remitente] le pida que haga”.
Se necesita un ejército
Centrar la atención en las áreas donde su empresa podría ser más vulnerable también es una buena idea, dice Christopher Prewitt, director de tecnología de Inversion6, un proveedor de gestión de riesgos de ciberseguridad.
“Muchas empresas intentan proteger todo por igual sin observar los procesos que son más importantes para el negocio”, dice. “¿Cómo se mueve el dinero dentro de la organización? ¿Quién tiene acceso a ella? ¿Cómo gestiona las transferencias bancarias? Si tiene 300 millones de dólares en tesorería de la empresa, es posible que deba configurar una cuenta de validación para pagar sus facturas, de modo que solo pierda una cantidad limitada de dinero si alguien es estafado”.
[Leer también: El surgimiento del tesorero corporativo ciberinteligente]
Gran parte de esto es Security 101, agrega. Limitar los privilegios de acceso, identificar el comportamiento anómalo, segmentar las partes más sensibles de la red e implementar un marco de confianza cero ayudará a limitar el daño de un ataque exitoso. Pero nada puede reemplazar la vigilancia eterna.
“No puedo respaldar a 8,000 empleados y decirles en qué no hacer clic”, dice Prewitt. “Necesito un ejército de personas que comprendan que siempre deben estar alerta y luego intentar asociarse con ellos”.
