¿Qué es el phishing?

Phishing: definición y variantes

El término se inspira en «password» y «fishing»: los atacantes lanzan el cebo y esperan a ver quién pica. Un caso típico es un correo que supuestamente procede de un banco, una empresa de paquetería, Microsoft o la dirección y que apremia a actuar con rapidez: confirmar una contraseña, abrir una factura, autorizar un pago.

Además de los mensajes masivos, existen formas dirigidas. En el spear phishing, el mensaje se adapta a una persona o empresa concretas. En el fraude del CEO, una variante del compromiso de correo empresarial (Business Email Compromise), el delincuente se hace pasar por el jefe o por un proveedor y exige una transferencia. A ello se suman el smishing por SMS, el vishing por teléfono y el quishing con códigos QR falsos.

Cómo se desarrolla un ataque de phishing

Los delincuentes investigan nombres, cargos y socios comerciales, a menudo a partir del sitio web, del aviso legal o de las redes sociales. Después envían un mensaje creíble con un enlace a una página de inicio de sesión clonada o con un adjunto manipulado. Quien introduce datos o abre el adjunto entrega credenciales o instala malware. Con las cuentas robadas, los delincuentes avanzan, por ejemplo con reglas de reenvío en el buzón, mediante las cuales pueden leer la correspondencia comercial e intervenir en el momento oportuno.

• Urgencia, amenazas o una petición inusual («pague hoy mismo»)
• La dirección del remitente difiere ligeramente de la original o usa un dominio ajeno
• El destino del enlace no coincide con el texto mostrado (pase el puntero del ratón por encima)
• Adjuntos inesperados, sobre todo documentos de Office con macros, archivos comprimidos o archivos HTML
• Datos bancarios modificados sin confirmación por un segundo canal

Ejemplo práctico: la cuenta bancaria modificada

Una constructora recibe un correo de su proveedor habitual: los datos bancarios han cambiado y las próximas facturas deben pagarse a la nueva cuenta. El remitente, el logotipo y el tono son correctos, porque el buzón del proveedor había sido secuestrado previamente. Sin una comprobación, el siguiente pago de cinco cifras iría a parar a los delincuentes.

En la empresa rige una regla sencilla: los datos bancarios solo se modifican tras una llamada al número de teléfono conocido, nunca al número que figura en el correo. Además, para los nuevos beneficiarios de pagos se aplica el principio de los cuatro ojos. Contabilidad llama, el fraude sale a la luz y el proveedor puede proteger su buzón.

Protección en la empresa y puesta en práctica

Tecnología y comportamiento van de la mano. En el plano técnico ayudan los filtros de correo, la autenticación del remitente con SPF, DKIM y DMARC, el inicio de sesión de dos factores y los dispositivos gestionados. Las personas necesitan formación breve y periódica y una vía sencilla para notificar mensajes sospechosos, sin miedo a reproches. Quien haya caído cambia de inmediato la contraseña, cierra las sesiones e informa a TI; si hay datos personales, deben examinarse las obligaciones de notificación.

Nano Concepts configura la autenticación del remitente y los filtros para su dominio, activa el inicio de sesión de dos factores, forma a los equipos de manera práctica con ejemplos realistas y apoya la respuesta a incidentes de seguridad, desde la contención hasta el seguimiento. El objetivo es que los mensajes sospechosos se notifiquen rápido en lugar de borrarse en silencio.