El personal de la Universidad MacEwan, una institución educativa de Edmonton, Canadá, recibió un correo electrónico de un proveedor importante en el que se informaba de que habían cambiado sus datos bancarios y que a partir de entonces los pagos debían hacerse a una cuenta nueva.
La universidad asumió que su partner comercial de confianza estaba haciendo algunos cambios y no dudó en transferir tres pagos a la cuenta nueva en un período de 10 días.
Cuatros días después, el proveedor llamó a la universidad para consultar por qué todavía no había recibido el dinero. Desconcertado, el personal de la institución explicó que había hecho las transferencias a la cuenta nueva: el proveedor no tenía idea de qué estaban hablando.
Efectivamente, esta cuenta no era de ellos, sino de unos delincuentes cibernéticos de Canadá y Hong Kong, pero ya era tarde: la universidad les había transferido unos 11,8 millones de dólares.
Finalmente, se descubrió que el correo electrónico en el que solicitaban la transferencia de los pagos a una nueva cuenta era fraudulento: una forma habitual de ataque cibernético que afecta a miles de empresas cada año: el phishing.
Qué es el phishing
El phishing es el tipo de ataque cibernético más común. Los delincuentes se hacen pasar por marcas, bancos, ejecutivos y partners comerciales de confianza para manipular a los usuarios y hacer que descarguen software malicioso o extorsivo o que visiten sitios web falsos. Luego, los engañan para que den sus credenciales confidenciales.
La mayoría de los delincuentes hace ataques de phishing mediante correos electrónicos, como el de la imagen siguiente, pero algunos empezaron a usar también las redes sociales, apps de mensajería y mensajes de texto para robar información personal de los usuarios.
Los casos de phishing aumentaron en los últimos años; de hecho, solo en marzo de 2020, se denunciaron más de 60.000 sitios de phishing. Este crimen cibernético podría causar estragos en tu marca y tus finanzas.Querrás saber cómo defender a tu clientela y personal del phishing sin convertirlos en la primera línea de defensa de tu marca.
Echa un vistazo a estos tres escudos que te permitirán protegerte de estos ataques tan comunes.
Cómo proteger tu empresa de los ataques de phishing
1. Crea un registro de DMARC
La autentificación de mensajes basada en dominios, informes y conformidad (DMARC) es un protocolo innovador de autentificación de correo electrónico que se sirve de otros dos protocolos de autentificación, el SPF (convenio de remitentes) y el DKIM (correo identificado por DomainKeys), para verificar los mensajes legítimos que se envían desde tu dominio y bloquear los correos fraudulentos que aparentan enviarse desde tu dominio.
Estos protocolos de autentificación son bastante técnicos. En resumen, el SPF es un registro de las direcciones IP que tienen autorización para enviar correos en tu nombre. Los proveedores de servicios de correo usan este registro para hacer comprobaciones. El DKIM es un proceso de verificación que aprovecha la autentificación criptográfica.
DMARC es la única tecnología que puede garantizar que tu dirección de remitente (lo que suelen mirar primero los usuarios cuando ven tus correos) es fiable.
Para hacerlo, solo autentificará los mensajes de correo electrónico que pasen la autentificación y alineación de SPF o la autentificación y alineación de DKIM. Si un mensaje no pasa alguna de estas autentificaciones e identificaciones, la tecnología DMARC lo rechazará.
Además, DMARC también te permite indicar a los proveedores de servicios de correo qué deben hacer con cualquier mensaje fraudulento que aparenta enviarse desde tu dominio. Puedes monitorizar todos tus correos electrónicos, mover mensajes no autentificados a las carpetas de spam de los usuarios o decidir no entregar este tipo de correos a las bandejas de entrada de tu servidor.
Además, los proveedores de servicios de correo te enviarán periódicamente informes de DMARC detallados para que sepas qué mensajes están autentificando, cuáles no y por qué.
2. Capacita a la clientela y el personal para que detecten un ataque
De acuerdo con PhishMe, una solución de defensa contra el phishing, las empresas que entrenan a su personal para que identifiquen y denuncien intentos de phishing solo tienen una susceptibilidad al phishing del 5 %.
Para ayudarlos a detectar estos ataques y defender mejor a tu empresa, cuéntales sobre estos indicadores comunes de phishing:
Errores de ortografía, gramática o redacción
Muchos delincuentes inexpertos no dedican tiempo a redactar emails claros y convincentes (algo en lo que las marcas suelen hacer mucho hincapié) y, si son extranjeros, usan Google Translate para sus mensajes. Así que ten mucho cuidado si recibes un correo mal redactado de un remitente que parece legítimo.
URL sospechosas
La mayoría de los emails de phishing intentan engañar a los usuarios para que hagan clic en un enlace a un sitio web falso. Para eso, los delincuentes suelen suplantar la URL del sitio web creando una similar o acortando su URL ilegítima para disimularla.
Cada vez que veas una URL acortada o extraña, asegúrate de pasar el cursor sobre ella para ver si la dirección web de la página de destino es diferente o falsa.
Dirección de remitente diferente
Un ciberdelincuente puede imitar perfectamente la voz, el formato, el logotipo, el domicilio y la dirección de email de tu marca en su email de phishing, pero hay una cualidad tuya que no puede copiar: la dirección de remitente.
Por lo general, los delincuentes crean una dirección de remitente similar o usan solo una cadena de caracteres con la esperanza de que no la revises. Para verificar la dirección de remitente de una marca, observa el dominio del remitente (el campo «De» del encabezado) del mensaje y comprueba si coincide con el dominio de la marca.
3. Invierte en software de seguridad de correos electrónicos
Si tu empresa tiene los fondos, este tipo de software, como Proofpoint y Barracuda, son las líneas de defensa más confiables y eficaces contra el phishing.
Incluso un personal bien informado puede convertirse en víctima de correos de phishing hábilmente diseñados. Además, quienes se dedican a este delito perfeccionan continuamente sus tácticas maliciosas, como enviar correos de phishing desde los dominios verdaderos de sitios ya robados.
Dado que el software de seguridad de email identifica patrones inusuales de tráfico y monitoriza URL sospechosas, puede detectar y bloquear eficazmente estas amenazas sofisticadas, además de responder a ellas, antes de que lleguen a la bandeja de entrada del personal y la clientela.
No te dejes engañar
Usa DMARC, capacítate y adquiere el software de seguridad de correos electrónicos ideal para tu caso y tus sistemas específicos a fin de proteger a tu clientela, tu personal y tu marca de los ataques de phishing, sin importar lo bien diseñado que esté el engaño.
Nota del editor: este artículo se publicó originalmente en diciembre de 2018 y se actualizó para mayores precisión y exhaustividad.
