¿Qué es Phishing y cuál es su problemática?
El phishing es una técnica de ingeniería social que se utiliza para obtener información confidencial y sensible al enmascararse como una comunicación de una entidad confiable, como una institución, empresa o sitio web bien conocido. Por lo general, el malware no está en la comunicación en sí, sino en los enlaces dentro de la comunicación. Es por ello que hay que estar atentos principalmente a los mails que uno recibe debido a que es el principal vector de ataque. Más en estos días en los cuales muchas empresas están trabajando desde su casa.
Escenario de Phishing:
- La forma más común es que las víctimas reciben un mensaje de correo electrónico o un mensaje de texto “suplanta la identidad” de una persona u organización de confianza, como un compañero de trabajo, un banco o una oficina gubernamental.
- Cuando el usuario abre el correo electrónico o el mensaje de texto, puede encontrarse con distintos mensajes en algunos casos son mensajes que intentan asustarte con la intención de debilitar su buen juicio al infundir miedo.
- Si un usuario cae en la trampa y hace click en el enlace que figura en el correo, lo envía a un sitio que es una imitación del legítimo y le solicita que se se registre con sus credenciales de usuario y contraseña.
- Si lo hace, la información de inicio de sesión llega al atacante, que la utiliza para robar identidades, saquear cuentas bancarias, y vender información personal.
- Dependiendo de la magnitud del tipo de usuario, a veces también se realiza una ingeniería social para conocer a la víctima y el rol que cumple en la institución, con el objetivo de llegar a altos cargos de la empresa. Con esta explicación no se busca generar miedo si no generar conciencia.
Al momento de recibir algún mail o correo revisar la fuente para detectar si es de confianza o no, esto más que nada en los casos en que se les pide información personal sensible como puede ser una clave de acceso. En caso de caer en la trampa lo primero que se deben hacer al momento de darnos cuenta es cambiar todas las contraseñas de acceso a los diferentes sitios.
¿Cómo detectar si es un intento de phishing?:
- Revisar si hemos recibido mails de ese destinatario.
- Comprobar el dominio (@…..)
- Errores de ortografía, gramática o malas traducciones.
- Mails en otro idioma.
- Enlaces o archivos adjuntos sospechosos.
- Desconfiar de mails notificando que se ganó un premio increíble.
- Las empresas y bancos no solicitan nunca datos sensibles por mail.
Consejos para evitar ser víctima de phishing:
- No ingresar a links sospechosos enviados por mail.
- Ser precavido si un mail figura como spam, no habilitar las imágenes si uno no está seguro de su veracidad.
- No ingresar a páginas bancarias enviadas a través de un mail.
- En caso de acceder al link verificar que sea un sitio seguro (https con su certificado de confianza).
- No utilizar la misma clave para todos los sitios.
Recomendaciones anti-phishing para empresas:
- Capacitar a todo el personal.
- Simulación de phishing para detectar cuán efectiva fue la capacitación.
- Utilizar doble factor de autenticación siempre que sea posible.
- Utilizar gestores de contraseñas.
- No ignorar las actualizaciones de seguridad.
- Sigue una política de trabajo a distancia.
- No escriba frases de contraseña para que otros las vean (en una nota adhesiva, por ejemplo), ni las comparta con nadie.
- Haga una copia de seguridad de los datos importantes para que pueda recuperar sus archivos sin tener que pagar por ellos.
Podemos acompañarte en tus proyectos end-to-end. Trabajemos juntos.
