momius - stock.adobe.com

Columna

Cómo enfrentar los correos de phishing, cada vez más creíbles

Frente al phishing impulsado por IA, es imprescindible desarrollar un programa de concientización cibernética para que todos los usuarios tengan conocimientos actualizados que les permitan mantenerse seguros.

Derek Manky
por
Publicado:06 nov 2023

El phishing no es algo nuevo. Esta táctica de ingeniería social ha formado parte de la caja de herramientas de los atacantes por décadas; en ella, los actores se hacen pasar por algún contacto de confianza para lanzar el ataque dirigido hacia una víctima distraída, a través de correos o mensajes de texto, para poder así robar datos sensibles. Existen varios reportes que respaldan la efectividad de este método de ataque, como el “Reporte de Ransomware 2023” de FortiGuard Labs, que encontró que el phishing sigue siendo la táctica preferida (53 %) de los actores maliciosos para infiltrar las redes y lanzar un ataque de ransomware exitoso.

Si bien los actores maliciosos intentan siempre crear comunicaciones de phishing que se vean legítimas, algunos lo hacen mejor que otros. Históricamente, las comunicaciones de phishing han sido fáciles de detectar debido a la manera descuidada en la que están escritas, llenas de errores ortográficos y gramaticales. Sin embargo, al tiempo que las herramientas de generación de contenido impulsadas por IA se vuelven más accesibles a un costo bajo o incluso gratis, los cibercriminales recurren a ellas para evolucionar sus operaciones. Un modo en el que lo están haciendo es utilizándolas para que sus correos y mensajes de texto se vean más realistas que antes, incrementando así las oportunidades de que alguna victima distraída haga clic en un enlace corrupto.

Al marcar el comienzo de una nueva era de comunicaciones diseñadas por IA, los empleados desempeñan ahora, más que nunca, un papel crítico en la defensa en contra de intentos de brechas de seguridad. Sin embargo, simplemente aconsejarles que tengan cuidado con los atributos tradicionales de phishing ya no es suficiente para mantener a las organizaciones a salvo. Más allá de investigar las tecnologías adecuadas –como la habilitación de filtros de spam y la implementación de autenticación multifactor– la educación puede impulsar los esfuerzos para salvaguardar a la organización de phishing y ransomware.

El phishing sigue siendo el método número uno de distribución de ransomware

De acuerdo con una investigación reciente, el phishing sigue siendo el vector de ataque número uno asociado con la distribución de ransomware. Y es fácil ver por qué los atacantes continúan teniendo éxito utilizando esta práctica: según las evaluaciones de phishing realizadas por la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos, el 80 % de las organizaciones tenían al menos un empleado que fue víctima de un intento de phishing simulado.

El ransomware continúa impactando a las organizaciones de todos los tamaños a través de las industrias y geografías. Si bien la mayoría de los líderes creen que están listos para defenderse en contra de un ataque –el 78 % asegura estar muy o extremadamente preparado para mitigar la amenaza–, la mitad fue víctima de un ataque de ransomware en los últimos 12 meses.

Tres iniciativas de educación para que los empleados puedan protegerse del phishing

Debido a que la mayoría del ransomware es distribuido a través del phishing, la educación de los empleados es esencial para proteger la organización de estas amenazas. Dicho esto, un mismo programa de educación no necesariamente se adecúa a las necesidades de todos; estos esfuerzos de entrenamiento deben estar diseñados para cubrir las necesidades únicas de una compañía.

A continuación, hay algunos servicios y/o programas que pueden ayudar a los usuarios a entender y detectar el phishing y otras amenazas. Estas opciones pueden servir como base para empezar a construir un programa integral de concientización en seguridad para los empleados:

  • Entrenamiento en concientización de seguridad: Implementar un programa de concientización en ciberseguridad continuo –que sea evaluado frecuentemente para que refleje la naturaleza cambiante del panorama de amenazas– es crítico para mantener a una organización segura. Este servicio debe ayudar a los líderes de TI, seguridad y cumplimiento a construir una cultura ciberconsciente en la que los empelados sean capaces de identificar los ataques y evitar caer víctimas de ellos.
  • Servicios de simulación de phishing: Distribuir correos de simulación de phishing a los empleados de una organización les permite practicar para identificar las comunicaciones maliciosas y que sepan qué hacer en caso de que un actor de amenazas ataque.
  • Entrenamiento gratuito Network Security Expert (NSE): El Instituto de Entrenamiento de Fortinet ofrece módulos de NSE gratis, en español, en línea y autoguiados para enseñar a los usuarios a identificar y protegerse de varios tipos de amenazas, incluyendo los ataques de phishing. Estos módulos pueden ser añadidos a cualquier programa de entrenamiento existente para reforzar conceptos críticos.

Al igual que con la introducción de cualquier tecnología nueva, los ciberdelincuentes encontrarán continuamente formas de utilizar estas herramientas con fines maliciosos. Esto requiere que nuestros equipos de seguridad y todos los empleados de nuestra organización sean aún más diligentes en la protección contra amenazas. Por eso es vital evaluar y desarrollar un programa actual de concientización cibernética, garantizando que los usuarios tengan el conocimiento más actualizado y relevante para mantenerlos a ellos (y a sus datos) seguros.

Sobre el autor: Derek Manky es jefe de Estrategia de Seguridad y VP Global de Inteligencia de Amenazas en FortiGuard Labs. Tiene más de 20 años de experiencia en ciberseguridad. En FortiGuard Labs encabeza el equipo global de inteligencia contra amenazas, que ofrece consultoría a las compañías Fortune 500 a nivel global. Ha orquestado iniciativas como la Asociación del World Economic Forum contra el Cibercrimen, la Cyber Threat Alliance (CTA), NATO NICP, el Grupo de Trabajo Experto de INTERPOL y el Foro para la Respuesta ante Incidentes y Equipos de Seguridad (FIRST).

Investigue más sobre Gestión de la seguridad