TL;DR
El phishing es una práctica maliciosa en la que los atacantes se disfrazan de entidades confiables para engañar a las personas para que revelen información confidencial.
Manténgase alerta contra el phishing reconociendo signos comunes como URL sospechosas y solicitudes urgentes de información personal.
Comprenda diversas técnicas de phishing, desde estafas comunes por correo electrónico hasta phishing sofisticado, para fortalecer las defensas de ciberseguridad.
Introducción
El phishing es una táctica dañina en la que los malos actores pretenden ser fuentes confiables para engañar a las personas para que compartan datos confidenciales. En este artículo, explicaremos qué es el phishing, cómo funciona y qué puede hacer usted para evitar ser víctima de este tipo de estafas.
Cómo funciona el phishing
El phishing se basa principalmente en la ingeniería social, un método mediante el cual los atacantes manipulan a las personas para que divulguen información confidencial. Los atacantes recopilan datos personales de fuentes públicas (como las redes sociales) para crear correos electrónicos aparentemente auténticos. Las víctimas suelen recibir mensajes maliciosos que parecen provenir de contactos familiares u organizaciones acreditadas.
La forma más común de phishing se produce a través de correos electrónicos que contienen enlaces o archivos adjuntos maliciosos. Al hacer clic en estos enlaces se puede instalar malware en el dispositivo del usuario o llevarlo a sitios web falsificados diseñados para robar información personal y financiera.
Si bien es más fácil detectar correos electrónicos de phishing mal escritos, los ciberdelincuentes están empleando herramientas avanzadas como chatbots y generadores de voz de IA para mejorar la autenticidad de sus ataques. Esto dificulta que los usuarios distingan entre comunicaciones genuinas y fraudulentas.
Reconocer intentos de phishing
Identificar los correos electrónicos de phishing puede ser complicado, pero hay algunas señales a las que puede prestar atención.
Signos comunes
Tenga cuidado si el mensaje contiene URL sospechosas, utiliza direcciones de correo electrónico públicas, induce miedo o urgencia, solicita información personal o tiene errores ortográficos y gramaticales. En la mayoría de los casos, debería poder pasar el mouse sobre los enlaces para verificar las URL sin tener que hacer clic en ellas.
Estafas basadas en pagos digitales
Los phishers a menudo se hacen pasar por servicios de pago en línea confiables como PayPal, Venmo o Wise. Los usuarios reciben correos electrónicos fraudulentos instándolos a verificar los datos de inicio de sesión. Es fundamental permanecer alerta e informar actividades sospechosas.
Ataques de phishing basados en finanzas
Los estafadores se hacen pasar por bancos o instituciones financieras y alegan violaciones de seguridad para obtener información personal. Las tácticas comunes incluyen correos electrónicos engañosos sobre transferencias de dinero o estafas de depósito directo dirigidas a nuevos empleados. También pueden afirmar que hay una actualización de seguridad urgente.
Estafas de phishing relacionadas con el trabajo
Estas estafas personalizadas involucran a atacantes que se hacen pasar por ejecutivos, directores ejecutivos o directores financieros y solicitan transferencias bancarias o compras falsas. El phishing por voz que utiliza generadores de voz de IA por teléfono es otro método empleado por los estafadores.
Cómo prevenir ataques de phishing
Para prevenir ataques de phishing, es importante emplear múltiples medidas de seguridad. Evite hacer clic en cualquier enlace directamente. En su lugar, vaya al sitio web oficial de la empresa o a los canales de comunicación para comprobar si la información que recibió es legítima. Considere la posibilidad de utilizar herramientas de seguridad como software antivirus, cortafuegos y filtros de spam.
Además, las organizaciones deben utilizar estándares de autenticación de correo electrónico para verificar los correos electrónicos entrantes. Los ejemplos comunes de métodos de autenticación de correo electrónico incluyen DKIM (correo identificado con claves de dominio) y DMARC (autenticación, informes y conformidad de mensajes basados en dominio).
Para las personas, es fundamental informar a sus familiares y amigos sobre los riesgos del phishing. Para las empresas, es vital educar a los empleados sobre las técnicas de phishing y brindar capacitación periódica sobre concientización para reducir los riesgos.
Si necesita más ayuda e información, busque iniciativas gubernamentales como OnGuardOnline.gov y organizaciones como Anti-Phishing Working Group Inc. Proporcionan recursos y orientación más detallados para detectar, evitar y denunciar ataques de phishing.
Tipos de phishing
Las técnicas de phishing están evolucionando y los ciberdelincuentes utilizan diversos métodos. Los distintos tipos de phishing suelen clasificarse según el objetivo y el vector de ataque. Miremos más de cerca.
Clonar phishing
Un atacante utilizará un correo electrónico legítimo enviado previamente y copiará su contenido en uno similar que contenga un enlace a un sitio malicioso. El atacante también podría afirmar que se trata de un enlace nuevo o actualizado, indicando que el anterior era incorrecto o estaba caducado.
Phishing de lanza
Este tipo de ataque se centra en una persona o institución. Un ataque de lanza es más sofisticado que otros tipos de phishing porque está perfilado. Esto significa que el atacante primero recopila información sobre la víctima (por ejemplo, nombres de amigos o familiares) y utiliza estos datos para atraer a la víctima a un archivo de sitio web malicioso.
Farmacéutica
Un atacante envenenará un registro DNS, lo que, en la práctica, redirigirá a los visitantes de un sitio web legítimo a uno fraudulento que el atacante haya creado previamente. Este es el más peligroso de los ataques porque los registros DNS no están bajo el control del usuario, por lo que éste no puede defenderse.
Ballenero
Una forma de phishing dirigido a personas ricas e importantes, como directores ejecutivos y funcionarios gubernamentales.
Suplantación de correo electrónico
Los correos electrónicos de phishing suelen falsificar comunicaciones de empresas o personas legítimas. Los correos electrónicos de phishing pueden presentar a víctimas desconocidas enlaces a sitios maliciosos, donde los atacantes recopilan credenciales de inicio de sesión e PII utilizando páginas de inicio de sesión inteligentemente disfrazadas. Las páginas pueden contener troyanos, registradores de pulsaciones de teclas y otros scripts maliciosos que roban información personal.
Redirecciones de sitios web
Los redireccionamientos de sitios web envían a los usuarios a URL diferentes a la que el usuario pretendía visitar. Los actores que explotan las vulnerabilidades pueden insertar redireccionamientos e instalar malware en las computadoras de los usuarios.
Error tipográfico
Typosquatting dirige el tráfico a sitios web falsificados que utilizan ortografía en idiomas extranjeros, errores ortográficos comunes o variaciones sutiles en el dominio de nivel superior. Los phishers utilizan dominios para imitar interfaces de sitios web legítimos, aprovechándose de los usuarios que escriben o leen mal la URL.
Anuncios pagados falsos
Los anuncios pagados son otra táctica utilizada para el phishing. Estos anuncios (falsos) utilizan dominios que los atacantes han escrito erróneamente y pagado para que aparezcan en los resultados de búsqueda. El sitio puede incluso aparecer entre los primeros resultados de búsqueda en Google.
Ataque al abrevadero
En un ataque de abrevadero, los phishers analizan a los usuarios y determinan los sitios web que visitan con frecuencia. Analizan estos sitios en busca de vulnerabilidades e intentan inyectar scripts maliciosos diseñados para atacar a los usuarios la próxima vez que visiten ese sitio web.
Suplantación de identidad y obsequios falsos
Suplantación de personajes influyentes en las redes sociales. Los phishers pueden hacerse pasar por líderes clave de empresas y anunciar obsequios o participar en otras prácticas engañosas. Las víctimas de este engaño pueden incluso ser atacadas individualmente mediante procesos de ingeniería social destinados a encontrar usuarios crédulos. Los actores pueden piratear cuentas verificadas y modificar nombres de usuario para hacerse pasar por una figura real mientras mantienen el estado verificado.
Recientemente, los phishers se han dirigido intensamente a plataformas como Discord, X y Telegram con los mismos fines: suplantar chats, hacerse pasar por personas e imitar servicios legítimos.
Aplicaciones maliciosas
Los phishers también pueden utilizar aplicaciones maliciosas que monitorean su comportamiento o roban información confidencial. Las aplicaciones pueden hacerse pasar por rastreadores de precios, billeteras y otras herramientas relacionadas con las criptomonedas (que tienen una base de usuarios predispuestos a comerciar y poseer criptomonedas).
SMS y phishing de voz
Una forma de phishing basada en mensajes de texto, generalmente realizada a través de SMS o mensajes de voz, que anima a los usuarios a compartir información personal.
Phishing vs. Farmacéutica
Aunque algunos consideran que el pharming es un tipo de ataque de phishing, se basa en un mecanismo diferente. La principal diferencia entre phishing y pharming es que el phishing requiere que la víctima cometa un error. Por el contrario, el pharming sólo requiere que la víctima intente acceder a un sitio web legítimo cuyo registro DNS fue comprometido por el atacante.
Phishing en Blockchain y Crypto Space
Si bien la tecnología blockchain proporciona una sólida seguridad de los datos debido a su naturaleza descentralizada, los usuarios del espacio blockchain deben permanecer atentos a la ingeniería social y los intentos de phishing. Los ciberdelincuentes a menudo intentan aprovechar las vulnerabilidades humanas para obtener acceso a claves privadas o credenciales de inicio de sesión. En la mayoría de los casos, las estafas se basan en errores humanos.
Los estafadores también pueden intentar engañar a los usuarios para que revelen sus frases iniciales o transfieran fondos a direcciones falsas. Es importante tener precaución y seguir las mejores prácticas de seguridad.
Pensamientos finales
En conclusión, comprender el phishing y mantenerse informado sobre las técnicas en evolución es crucial para salvaguardar la información personal y financiera. Al combinar medidas de seguridad sólidas, educación y concientización, las personas y las organizaciones pueden fortalecerse contra la amenaza siempre presente del phishing en nuestro mundo digital interconectado. ¡Quédate SAFU!
Otras lecturas
5 consejos para proteger sus tenencias de criptomonedas
5 formas de mejorar la seguridad de tu cuenta de Binance
Cómo mantenerse seguro en el comercio entre pares (P2P)
Descargo de responsabilidad: Este contenido se le presenta "tal cual" para información general y fines educativos únicamente, sin representación ni garantía de ningún tipo. No debe interpretarse como asesoramiento financiero, legal o profesional, ni pretende recomendar la compra de ningún producto o servicio específico. Debe buscar su propio consejo de asesores profesionales adecuados. Cuando el artículo sea aportado por un colaborador externo, tenga en cuenta que las opiniones expresadas pertenecen al colaborador externo y no reflejan necesariamente las de Binance Academy. Lea nuestro descargo de responsabilidad completo aquí para obtener más detalles. Los precios de los activos digitales pueden ser volátiles. El valor de su inversión puede subir o bajar y es posible que no recupere el monto invertido. Usted es el único responsable de sus decisiones de inversión y Binance Academy no es responsable de las pérdidas en las que pueda incurrir. Este material no debe interpretarse como asesoramiento financiero, legal o de otro tipo. Para obtener más información, consulte nuestros Términos de uso y Advertencia de riesgos.
