Glosario Ciberprotect de ciberseguridad: el phishing

En el contexto empresarial actual, inmerso en la transformación digital, nos encontramos expuestos de forma cotidiana a una serie de ciberamenazas de las que, paradójicamente, el usuario medio sabe muy poco y le cuesta defenderse. En esta entrada resumimos qué es el phishing, una técnica ya clásica pero que desgraciadamente sique plenamente vigente.

El término en inglés (que deriva de fishing, “pesca”) es muy ilustrativo tanto de los objetivos como de el modus operandi de la técnica en cuestión. Se trata de lanzar un “anzuelo” solicitando algún tipo de acción o información a la víctima, normalmente suplantando la identidad de un tercero de confianza (esa suplantación se conoce como spoofing).

Esta ha sido durante años una de las formas más eficientes de delincuencia informática por ser relativamente fácil de emplear y sumamente efectiva, sea por la habilidad del delincuente en la suplantación, sea por la inocencia o falta de criterio de la víctima a la ahora de reconocer esos “anzuelos”. Hay que decir que no siempre es fácil, ¡ni mucho menos!

Un objetivo, muchas técnicas

Dicho anzuelo puede ser un correo electrónico solicitándonos algunos datos, una página web maliciosa en la que descargamos inadvertidamente un malware con un clic o un perfil falso en redes sociales, entre muchos otros. Los ciberdelincuentes suelen suplantar alguna identidad “respetable”: una entidad bancaria, un organismo público, a un amigo o familiar… Algunas han funcionado muy bien.

Como la imaginación humana no conoce límites, existen decenas de versiones de ataques de phishing, desde esos mails masivos (y con frecuencia muy burdos) en los que “nuestro banco” nos pide que enviemos cierta información o hagamos clic en un enlace hasta campañas personalizadas combinando la ingeniería social “analógica” con técnicas de hacking (man in the middle, evil twin, tabnabbing, URL pharming, etc.).

¿Qué precauciones podemos tomar para evitar estas actividades fraudulentas contra nuestras organizaciones? Esta sería una pequeña lista de contramedidas:

• Formar a nuestro equipo humano en protocolos de reconocimiento de phishing
• Hacer simulaciones de ataques de phishing con herramientas específicas
• Usar medidas técnicas de protección (antivirus actualizados, MFA, filtros anti-phishing)
• Cautela y sentido común (enlaces sospechosos, ofertas improbables, revisitar los clásicos…)

El INCIBE tiene aproximadamente una media docena páginas informando y advirtiendo sobre el phishing, como esta orientada a empresas; es un buen punto de partida para empezar a informarnos y protegernos mejor. Y para conseguir una ciberprotección organizacional eficaz, en especial en pymes, podemos plantearnos externalizar nuestra seguridad de la información como una de las mejores opciones disponibles.