Phishing de credenciales: una amenaza creciente
En esencia, el phishing de credenciales tiene como objetivo engañar a los usuarios finales. Por lo general, se realiza a través de plataformas de mensajería directa y puede adoptar varias formas: intentos oportunistas masivos de robar contraseñas o emails muy específicos y de alta presión que se hacen pasar por colegas o jefes de la víctima.
Desde la explosión de la IA generativa, los atacantes son capaces de crear mensajes de phishing mucho más correctos gramaticalmente, y los servicios en línea permiten la creación sencilla de páginas de inicio de sesión casi perfectas.
Si bien los kits de herramientas de los atacantes son mayores que nunca, las compañías que dependen de trabajadores remotos y una gran cantidad de servicios digitales son consistentemente más débiles contra los ataques de phishing de credenciales.
Esto se debe al mayor número de posibles vías de inicio de sesión para los empleados remotos, y empeorado por el hecho de que los trabajadores remotos no tienen la facilidad de asomar la cabeza por el escritorio de un colega para comprobar la veracidad de un mensaje.
Cómo funciona el phishing de credenciales
El diseño aproximado de cada ataque de phishing de credenciales es el siguiente:
- El atacante redacta un mensaje que evade varios filtros.
- La víctima recibe el mensaje, lo lee y hace clic en el enlace o archivo adjunto malicioso.
- El enlace conduce a un sitio de phishing, generalmente una página de inicio de sesión, o descarga un keylogger.
- En el sitio de phishing, se les pide a las víctimas que escriban sus credenciales de inicio de sesión.
- El atacante recibe estas credenciales de inicio de sesión y las emplea en la cuenta genuina de la víctima.
- El atacante obtiene acceso a la cuenta en línea genuina, ganando un punto de apoyo en las defensas de la organización.
La anatomía de un ataque exitoso se puede dividir en tres partes clave: la página de inicio de sesión, el mensaje y el propio contexto del usuario.
La página de inicio de sesión
Un mecanismo clave para el éxito de una campaña de recolección de credenciales es la página de destino.
Aquí es donde el usuario debe invertir plenamente en la legitimidad de la campaña y actuar como lo haría en el sitio genuino. Algunos atacantes aumentan la legitimidad de la página al incluir pantallas captcha falsas, además de robar los elementos sitio web de la página genuina:
- Logos
- Cuadros de entrada de credenciales
- Fondos
El mensaje
Sin embargo, el mensaje malicioso puede ser igualmente importante: si el usuario recibe una solicitud muy urgente para iniciar sesión, es mucho más probable que se apresure a través de la página de inicio de sesión y, por lo tanto, se pierda los indicadores de un ataque de phishing.
El email sigue siendo uno de los vectores de ataque más populares, debido a la facilidad con la que el robo de PII comercializado ahora ofrece bases de datos masivas de direcciones de email comerciales. Los atacantes pueden simplemente robar direcciones de email de las cuentas de LinkedIn o extraerlas del sitio web de su compañía.
Los asuntos de estos emails pueden imitar algunas cosas:
- Una solicitud de RR.HH.
- Un email falso de autenticación de inicio de sesión de un procesador de pagos
El cuerpo del mensaje reforzará esto mientras dirige al usuario a una URL acortada u oculta, o incluso a un archivo para descargar.
El contexto del usuario
Vital para comprender su verdadero perfil de riesgo es el contexto del propio usuario: un email que pretenda verificar un cambio de contraseña de Xero engancharía a muchos más miembros del equipo financiero, mientras que los DevOps tienen más probabilidades de caer en el fraude de inicio de sesión de GitHub.
Esta diferencia contextual es clave para desarrollar estrategias que protejan a toda la organización.
3 estrategias defensivas contra el phishing de credenciales
Las mejores defensas adoptan un enfoque múltiple para reforzar el comportamiento con la arquitectura de seguridad.
#1: Capacitar y evaluar a los empleados con regularidad
Dado que el phishing de credenciales se aprovecha de las apretadas agendas y los plazos ajustados de los usuarios finales, es inmensamente importante reforzar sus propias defensas personales. Si bien no hay mucho que puedas hacer con respecto a los plazos ajustados, puedes mostrar a los empleados a reconocer cuándo están siendo explotados.
Educación sobre phishing
La educación sobre phishing tiene como objetivo construir una comprensión fundamental de phishing y aumentar la conciencia de los empleados. Necesita explicar:
- Cómo funciona el phishing de credenciales
- Las tácticas empleadas por los atacantes
- La amenaza que representa un ataque exitoso
El resultado final es proporcionar a los empleados los conocimientos generales de ciberseguridad para reconocer las posibles amenazas.
Capacitación en phishing
La capacitación en phishing, por otro lado, va más allá de la educación básica y trabaja para desarrollar habilidades prácticas.
Debe emplear módulos interactivos y campañas de phishing simuladas que ayuden a capacitar a los empleados en la identificación de señales de alerta, la verificación de información y phishing estafa. Esencialmente, implica aplicar los conocimientos adquiridos de la educación a situaciones del mundo real.
#2: autenticación de múltiples factores (MFA)
La autenticación de múltiples factores agrega otra capa al proceso de autenticación: no solo necesita proporcionar algo que sepa (es decir, la contraseña), sino que también debe demostrar que tiene algo (como un teléfono) y / o que es algo (como un humano, con una huella dactilar).
Esta capa adicional de prueba hace que sea sustancialmente más difícil simplemente tomar el control de una cuenta, incluso si el atacante lleva a cabo con éxito un ataque de phishing.
Pero tenga en cuenta que los empleados que confían en MFA pueden ser vulnerables a los ataques que juegan explícitamente con su aspecto multidispositivo. Es posible que estén más convencidos de hacer clic en un enlace fraudulento a través de un mensaje de texto, y esto debe reflejar adecuadamente en la formación que reciben.
#3: Análisis del comportamiento
Cuando un atacante roba las credenciales de usuario y obtiene acceso a una cuenta, cada segundo cuenta.
Desafortunadamente, puede resultar casi imposible detener un ataque después de que llegue a esta etapa. Vamos a iluminar la diferencia que puede marcar el Análisis del Comportamiento del Usuario y del terminal (UEBA):
Análisis del comportamiento del usuario y del terminal
Imaginar a Jordan, un empleado de TechCo: su trabajo diario típico abarca las 9 a.m. a las 5 p.m., y trabaja principalmente desde su casa en la costa oeste. Durante los días descarga un promedio de 50 MB, e interactúa con algunas aplicaciones clave de la nube. Con UEBA en su lugar, el equipo de seguridad de TechCo puede ver cuando, de repente, la cuenta de Jordan inicia sesión a las 2 a.m. y comienza a descargar varios gigabytes de datos.
Si bien los analistas tradicionalmente no pudieron detectar este tipo de información en el mar de datos de registro y red que suele ocurrir, la solución UEBA puede bloquear automáticamente la cuenta de Jordan y alertar al analista.
De esta manera, UEBA puede identificar y prevenir un ataque por sí solo, incluso en caso de robo y uso indebido de credenciales corporativas.
Obtenga una defensa contra phishing de total fidelidad con Check Point Harmony
Harmony Endpoint by Check Point es una solución de seguridad de terminales unificada y completa diseñada para proteger a su fuerza laboral de las amenazas phishing súper complejas de hoy en día. Su protección de última generación iguala el campo de juego entre los atacantes y los equipos de seguridad, gracias a su capacidad para identificar y aislar los dispositivos terminales que no cumplen con sus líneas de base de comportamiento individuales.
Nuestro enfoque de prevención de phishing de credenciales es la razón por la que fuimos nombrados líderes en seguridad de email empresarial, ya que la protección se extiende a los sitios web que visita cada usuario.
El análisis continuo basado en heurísticas de las solicitudes del sitio web permite la prevención completa no solo de la phishingde credenciales, sino de cualquier otro malwarecentrado en el terminal. Descubra cómo puede mantener a su organización protegida de los ataques y, al mismo tiempo, simplificar las operaciones de seguridad con una demostración hoy mismo.
Comentarios