Técnicas y Controles de Seguridad contra Phishing

Otros tipos de ataques de Phishing que existen

• Phishing vía correo electrónico: Se trata de un ciberataque lanzado a través del correo electrónico y que suplanta la identidad de grandes empresas, organizaciones o altos cargos, como por ejemplo CEOs, para que el emisor del mensaje crea que es real y haga la acción que se le pide. De esta manera, el malware que contiene el correo es activado.
• Vishing: A pesar de que su finalidad es la misma, conseguir información confidencial o sensible de una empresa para después pedir un rescate económico, el vishing actúa mediante llamadas telefónicas.
• Spear Phishing: no es muy diferente que el Phishing por correo electrónico con la diferencia que esta vez, el mensaje es personalizado, es decir, va dirigido al emisor exclusivamente, puesto que lleva su nombre.
• Smishing: Los ataques de Smishing son lanzados a través de mensajes SMS
  . Aunque ya casi nadie utiliza este método de mensajería, muchas empresas como entidades bancarias, lo utilizan para mandar notificaciones a sus usuarios.
  • Ejemplo: Se manda un mensaje suplantando la identidad del remitente que puede ser una empresa reconocida, para que abras algún enlace y conseguir así, tus datos bancarios.
• QRishing: Se trata de códigos QR modificados de forma maliciosa. De esta manera, cuando lees este código mediante tu teléfono móvil, automáticamente es infectado por el malware al que lleva el QR.

Aquí un pequeño aporte:

Si desconfia del correo puede revisarlo escogiendo la opcion de ver original, de esta forma se podra ver si el correo que aparece en el remitente es el original o esta suplantando un correo de confianza

5 datos curiosos del phishing:

1. La palabra se originó como un juego de palabras entre “fishing” (pescando) y “personal information” (información personal)

2. El 93% de las violaciones de seguridad cibernética comienzan con una técnica de phishing.

3. El phishing es la técnica de ingeniería social más comúnmente utilizada en ataques cibernéticos.

4. El phishing se ha vuelto más sofisticado y personalizado en los últimos años, con los atacantes utilizando información recolectada de las redes sociales de las víctimas para hacer que los correos electrónicos y mensajes de texto sean más creíbles.

5. Los correos electrónicos de phishing pueden parecer legítimos, pero suelen contener errores gramaticales, faltas de ortografía y errores de formato, lo que los delata.

Si tienes un link y no sabes si es seguro o no, puedes entrar a la siguiente web y comprobarlo:

• Virus Total
  
  
  Si el enlace esta acortado, lo puedes expandir de forma segura en este sitio:
  
• Expand URL

Ciber-Controles para Phishing

• Security-Education: Campañas internas de concienciación en Ciberseguridad (Gophish) con métricas definidas.

• 2FA o MFA: Fortalecer buzones de correo con doble o múltiple factor de autenticación.

• Denunciar enlaces: Utillizar los servicios web diseñados para reportar casos de Phishing (Microsoft & Google), para poder establecer un bloqueo y ayudar al BlueTeam.

Buen día, comunidad de Platzi.

Existe un concepto en la ciberseguridad, “Whaling”, que básicamente se refiere a hacerse pasar por los peces grandes y gordos (directivos) de la compañía y éstos les hacen llegar por correo a los demás colaboradores cierta solicitud (generalmente financiera), los trabajadores acceden fácil a ello al ver que el correo proviene de un directivo de la empresa.

Es de considerarse dentro de lo que menciona el docentecomo “Spear Phishing”.

Saludos.

Phishing

Técnica de ingeniería social utilizada para el robo de datos personales y financieros. Normalmente, suplanta la identidad digital de empresas o bancos.

Técnicas de Phishing

• Emails Scams: Se envía miles de falsos correos a usuarios/empresas que han comprometido sus datos.
• Spear phishing: Dirigido a empresas o sectores con previo conocimiento organizacional adquirido.

Ciber Controles

• Security-Education: Campañas internas de concienciación en ciberseguridad (Gophish) con métricas definidas.
• 2FA o MFA: Fortalecer buzones de correo con doble o múltiple factor de autenticación.
• Denunciar enlaces: Utilizar los servicios web diseñados para reportar casos de phishing.

Páginas para reportar malware o phishing

https://www.microsoft.com/en-us/wdsi/support/report-unsafe-site

https://safebrowsing.google.com/safebrowsing/report_phish/?hl=en

Reportar Casos de Phishing (Microsoft y Google)

https://www.microsoft.com/en-us/wdsi/support/report-unsafe-site
https://www.microsoft.com/en-us/wdsi/support/report-unsafe-site

https://safebrowsing.google.com/safebrowsing/report_phish/?hl=en

Las campañas de concienciación son claves para reducir los ataques de phishing en las organizaciones. Sin embargo, los colaboradores necesitan desarrollar habilidades para evitar los ataques no solo cursos o talleres teóricos, es por esto, que los principales fabricantes han desarrollado campañas de phishing. Estas herramientas permiten enviarles correos a todos los empleados para realizar una métrica de cuales le dan clic en los correos engañosos y es necesario preparar.

Muy importante esos enlaces para reportar el phishing. Siempre que me intentan aplicar ingeniería social para estafas, spam y cosas así en redes sociales como Linkedin, FB, Instagram, Telegram, Whatsapp, los reporto.
Antes solo los ingnoraba, pero considero que reportar esto es fundamental para combatir la ciberdelincuencia.
Muchas veces un usuario sea corporativo o privado no sabe que hacer y aunque sospeche que sea phishing u otro tipo de ataque, solo lo ignora o elimina.

Phishing: La víctima recibe un correo electrónico procedente de una fuente aparentemente confiable. Es usado para suplir la identidad de organizaciones como bancos y transmitir mensajes de urgencia para que la víctima actúe rápido, sin sentarse a analizar la veracidad del mensaje.

Spear phishing: Aquí los ciberdelincuentes se dirigen a empresas y personas específicas como gerentes, grandes empresarios o personas públicas.

El phishing es una técnica de ingeniería social que suplanta la identidad digital de empresas o bancos para robar datos personales y financieros. Las técnicas incluyen el envío masivo de correos falsos y ataques dirigidos a empresas. Para prevenir el phishing, es importante realizar campañas de concienciación en ciberseguridad, fortalecer los buzones de correo con autenticación de doble o múltiple factor y utilizar los servicios web para reportar casos de phishing.

¿Qué es el Phishing?
Técnica de ingeniería social utilizada para el robo de datos personales y financieros. Normalmente, suplanta la identidad digital de un empleado o bancos.
Técnicas de Phishing
• Emails Scams: El ciberdelincuente envía miles de falsos correos a usuarios/empresas que han comprometido sus datos. Para ser más creíble el contenido enviado, por los datos ser comprometidos anteriormente.
• Spear Phishing: Ciberataque dirigido a empresas o sectores con previo conocimiento organizacional adquirido. Son personas que llegan a conocer mucho sobre la organización.
• Security-Education: Compañas internas de concienciación en Ciberseguridad (Gphish) con métricas definidas. Gophish mide muy bien si las personas dan click en los correos sospechosos o de origen con otra procedencia, correos que se envían en ambientes controlados.
• Denunciar enlaces: Utilizar los servicios web diseñados para reportar casos de Phishing (Microsoft & Google).