El whaling es un tipo de phishing dirigido -spearphishing- que busca engañar ejecutivos de alto nivel en una organización: los peces gordos, de allí el nombre caza de ballenas en su traducción al español.
Estos ataques whaling combinan técnicas de ingeniería social avanzada y requieren una investigación previa bien detallada. El resultado varía desde que la víctima entregue datos confidenciales de la empresa, o descargue malware en la red de la organización, hasta transferencias de dinero que va directo a la cuenta de los cibercriminales
Una técnica que utilizan los cibercriminales para este engaño es el fraude del CEO, donde se suplanta la identidad de personas que ocupan altos rangos y envían mensajes a otras personas haciéndose pasar por ellas.
“Este tipo de ataques hacen necesario aumentar la conciencia de que toda la información pública puede ayudar a cometer estos ataques en los que se suplanta la identidad de una persona o entidad. A los atacantes le serán útiles los perfiles públicos tanto en Facebook, Instagram, Twitter, como perfiles profesionales en LinkedIn”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.
Pasos clave para los ataques de whaling:
- Investigación sobre la organización y sus ejecutivos, desde sus redes sociales, sitios web corporativos e informes de medios de comunicación, para comprender la estructura organizacional e identificar debilidades.
- Creación de correos electrónicos falsos personalizados con la información obtenida, a menudo imitando direcciones de correo electrónico de colegas, socios comerciales, mediante la técnica de spoofing (permite ocultar la verdadera dirección de correo y cambiarla por una que parece real).
- Envío del correo electrónico con sentido de urgencia para inducir una respuesta rápida. Puede pedir transferir fondos, compartir información confidencial, o hacer clic en un enlace malicioso.
Señales de advertencia a las que hay que prestar especial atención:
- Remitente falsificado: A veces, puede parecer que los correos electrónicos provienen de una fuente confiable, pero un examen detallado puede revelar ligeras discrepancias enéstos.
- Solicitudes inusuales: Siempre se debe comprobar por otros canales de comunicación, si se recibe una solicitud de información confidencial o transferencias financieras urgentes.
- Errores gramaticales y ortográficos: Aunque es una tendencia el uso de inteligencia artificial para confeccionar las estrategias de ingeniería social, hacen a los correos de phishing más convincente, es útil prestar atención a posibles errores que puedan contener.
La defensa contra estos ataques comienza con la educación de quienes trabajen o colaboren con organización, sobre todo si son de altos rangos, para que se mantengan en alerta y al corriente sobre las tácticas que los cibercriminales intentan y cómo estás van mutando. ESET comparte algunos puntos clave para protegerse:
- Tener especial cuidado cuando se comparte información personal y profesional en las redes sociales, ya que estos datos pueden ser utilizados por los delincuentes para crear ataques más persuasivos.
- Implementar procedimientos claros para verificar las solicitudes, especialmente aquellas que impliquen transmisión de datos sensibles, o ejecución de movimientos de dinero.
- Agregar un nivel adicional de confirmación para las transacciones críticas, como las reuniones en persona o las llamadas telefónicas, puede proporcionar una capa adicional de seguridad.
- Activar la autenticación multifactor y utilizar herramientas de seguridad avanzadas, son parte fundamental de las políticas de seguridad.
- Utilizar reglas de marcado de correos electrónicos externos ayuda a detectar y bloquear intentos de fraude.
- Es esencial que las empresas se mantengan al día con nuevas técnicas y tendencias en cibercrimen, inviertan en tecnologías emergentes de ciberseguridad para anticipar y neutralizar las amenazas antes que causen daños significativos.
Amenaza latente
“Los ataques de whaling representan una amenaza grave y creciente para las organizaciones, que pueden resultar en pérdidas financieras y comprometer información confidencial. La concientización, formación y la implementación de medidas de seguridad sólidas son esenciales para protegerse de esta forma de ciberdelincuencia» concluye Gutiérrez Amaya de ESET Latinoamérica.
Leave a Reply