TÁCTICAS DE PHISHINGWHITE PAPER:                       White Paper                       Alerta contra el fraude: Últimas ...
Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012Alerta contra ...
Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012IntroducciónEl...
Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012Este increment...
Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012La actual situ...
Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012Los ataques qu...
Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012              ...
Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012Los phishers, ...
Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012Más informació...
Próxima SlideShare
Cargando en…5
×

Symantec ultimas tácticas de phishing para las empresas en 2012

596 visualizaciones

Publicado el

0 comentarios
0 recomendaciones
Estadísticas
Notas
  • Sé el primero en comentar

  • Sé el primero en recomendar esto

Sin descargas
Visualizaciones
Visualizaciones totales
596
En SlideShare
0
De insertados
0
Número de insertados
101
Acciones
Compartido
0
Descargas
5
Comentarios
0
Recomendaciones
0
Insertados 0
No insertados

No hay notas en la diapositiva.

Symantec ultimas tácticas de phishing para las empresas en 2012

  1. 1. TÁCTICAS DE PHISHINGWHITE PAPER: White Paper Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012
  2. 2. Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012Alerta contra el fraude: Últimas tácticas de phishing y sus posiblesconsecuencias para las empresas en 2012ÍNDICEIntroducción . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3El phishing no conoce límites . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 Los phishers chinos, cada vez más agresivos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4 El auge de los ataques a los servidores virtuales compartidos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4 Los spammers siguen siendo más activos en vacaciones y durante acontecimientos internacionales . . . 4 La actual situación económica es terreno abonado para el phishing . . . . . . . . . . . . . . . . . . . . . . . . . . . 5 Amenazas que combinan phishing y malware . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5 Ataques «Man in the Middle» (MitM) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5 Estafas de phishing con mensajes de texto a través del móvil . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5 Cómo pueden afectar los ataques de phishing a su empresa . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5 Proteja su empresa . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Enseñe a sus clientes y empleados a protegerse contra el fraude . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7Los phishers, unos adversarios camaleónicos y duros de pelar . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8Glosario . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8 2
  3. 3. Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012IntroducciónEl phishing, o la suplantación de identidad, uno de los delitos con más auge en la Red durante los últimosaños, supone una importante amenaza para particulares y empresas. Se calcula que en 2011 este tipo deataques aumentó en un 37 por ciento con respecto a 2010.1Hoy en día no hace falta ser ningún experto para cometer un fraude por Internet. Está al alcance decualquier hacker que se lo proponga, gracias a las herramientas estándar de phishing que circulan por elfloreciente ecosistema de la ciberdelincuencia. Es más, los delincuentes informáticos están evolucionandohacia un nuevo modelo de negocio conocido como MaaS (‘malware como servicio’), en el que los autores delos kits de intrusión ofrecen servicios adicionales a sus clientes, además del kit propiamente dicho.2Las consecuencias para las empresas pueden ser realmente graves. Según ha calculado RSA en suinforme de fraudes publicado en octubre de 2011, solo en el primer semestre de 2011 las pérdidas a nivelinternacional causadas por los ataques de phishing costaron más de 520 millones de dólares.3 Cualquieraque sea la amenaza —ya sea que los empleados o clientes sean víctimas de un engaño, o que el sitio webde la empresa sufra una intrusión—, la suplantación de identidad es un problema que hay que tener muyen cuenta. Las empresas deben estar al corriente de los modernos métodos empleados por los atacantes yadoptar las medidas preventivas necesarias para protegerse contra el fraude.En este artículo se aborda el auge y las tendencias de las actuales estrategias de phishing, lasconsecuencias que tales prácticas tienen para las empresas y las posibles soluciones tecnológicas que lasempresas pueden implantar para protegerse a sí mismas y a sus clientes.El phishing no conoce límitesEl phishing —el arte de atraer a internautas ingenuos para apoderarse de datos confidenciales, tales comonombres de usuario, contraseñas y números de tarjetas de crédito, mediante comunicados electrónicos enapariencia legítimos—, supone una grave amenaza tanto para los particulares como para las empresas.Este tipo de fraude ha proliferado con rapidez desde su aparición hace diez años: se calcula quediariamente se cometen unos ocho millones de intentos de phishing en todo el mundo.4 En 2011, uno decada 300 correos electrónicos enviados por la Red estaba relacionado con la práctica del phishing.5APWG (Anti-Phishing Working Group) cuantificó en nada menos que 112 472 los ataques únicos dephishing recibidos en los dominios de primer nivel durante la primera mitad de 2011 en todo el mundo.6Aunque esta cifra supera con creces los 42 624 ataques que APWG observó en la segunda mitad de 2010,no llegó a los 126 697 registrados durante la segunda mitad de 2009, cuando la red zombi Avalanche seencontraba en pleno apogeo. Aun así, en estos ataques se utilizaron 79 753 nombres de dominio únicos, elmayor registro desde 2007 (véase la Figura 1).1 RSA: October Fraud Report, RSA, octubre de 2011.2 Verisign iDefense 2012 Cyber Threats and Trends, Verisign, 2012.3 RSA: October Fraud Report, RSA, octubre de 2011.4 Counterfeiting & Spear Phishing — Growth Scams of 2009, Trade Me, Infonews.co.nz, 2 de marzo de 2009.5 RSA: October Fraud Report, RSA, octubre de 2011.6 Global Phishing Survey 1H2011: Trends and Domain Name Use, Anti-Phishing Working Group. 3
  4. 4. Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012Este incremento se atribuye a dos tendencias nuevas: por un lado, los phishers chinos han estadoregistrando una gran cantidad de nombres de dominio y, por otro, los hackers instigaron una campañamasiva contra los servidores en los que se alojan una gran cantidad de dominios.Estadísticas básicas 140 000 Nombres de dominio de phishing 120 000 100 000 Ataques 80 000 60 000 40 000 20 000 0 1.ª mitad 2009 2.ª mitad 2009 1.ª mitad 2010 2.ª mitad 2010 1.ª mitad 2011Figura 1: Sigue la tendencia al alza de los ataques de phishing y los nombres de dominio utilizados.*Los phishers chinos, cada vez más agresivosLos ataques perpetrados por phishers chinos aumentaron sustancialmente en la segunda mitad de 2010y la primera de 2011.7 Se les atribuye nada menos que el 70 por ciento de los nombres de dominio quese registraron en el mundo con fines ilícitos. En la primera mitad de 2011, los ataques de phishing chinosaumentaron en un 44 por ciento con respecto a la segunda mitad de 2010.8El auge de los ataques a los servidores virtuales compartidosAunque los hackers siempre se las ingenian para usar nuevas técnicas de phishing, esta en concreto esuna estrategia antigua —aunque poco conocida— que ha vuelto a cobrar protagonismo en la actualidad.En este tipo de ataques, el phisher irrumpe en un servidor web donde están alojados una gran cantidadde dominios y coloca el contenido malicioso en cada uno de ellos, de manera que todos los dominiosdel servidor exhiben páginas de phishing. De este modo, son capaces de infectar miles de sitios websimultáneamente. APWG identificó 42 448 ataques únicos que siguieron esta estrategia, lo que representael 37 por ciento de todos los ataques de phishing registrados en el mundo.9Los spammers siguen estando más activos en vacaciones y durante acontecimientos internacionalesEn los días previos al periodo navideño de 2011, los spammers engañaron a un buen número decomerciantes legítimos ofreciéndoles «jugosos descuentos» en toda una serie de productos. Asimismo,se detectaron numerosas campañas de phishing relacionadas con el terremoto de Japón de 2011, elmovimiento de la primavera árabe y otros acontecimientos internacionales importantes. Tras el habitualembate del día de San Valentín, los expertos prevén un alud de correos electrónicos los días antes de lasOlimpiadas de Londres.10 Los ataques dirigidos a organizaciones concretas, aunque ya no aparecen tantoen la prensa como en años anteriores, aumentan considerablemente durante los periodos vacacionales,cuando las empresas tienen menos personal velando por las operaciones de seguridad. De esta forma, losdelincuentes tienen muchas más posibilidades de lograr su objetivo. Cabría hacer la salvedad de que latendencia parece menos acusada durante las vacaciones navideñas. Una posible explicación a este hechoes que, aunque hay menos técnicos en la empresa dedicados a la seguridad, también es cierto que haymuchos menos empleados trabajando, por lo que también son menores las posibilidades de que alguienabra archivos adjuntos fraudulentos.7 Ibid.8 Ibid.9 Ibid.10 Symantec Intelligence Report, Symantec, enero de 2012.* Fuente: APWG 4
  5. 5. Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012La actual situación económica es terreno abonado para el phishingEl clima de incertidumbre económica ofrece a los delincuentes muchas más oportunidades para llevar acabo sus fechorías. Por ejemplo, una de las estafas más habituales consiste en recibir un correo electrónicoque simula provenir de una entidad bancaria que recientemente ha adquirido el banco o caja de ahorros dela víctima, por lo que supuestamente pasa a convertirse en acreedor del préstamo, hipoteca, etc.11 La grancantidad de fusiones y adquisiciones del sector genera confusión entre los consumidores, agravada porel hecho de que los clientes no reciben la información que debieran. En tales circunstancias, los phishersestán en su salsa.Amenazas que combinan phishing y malwarePara aumentar las posibilidades de éxito, algunos ataques combinan técnicas de phishing y malware enlo que podríamos llamar un modelo de ataque mixto. Por ejemplo, supongamos que la posible víctimarecibe el enlace a una postal electrónica en un correo electrónico aparentemente legítimo. Al hacer clicen el enlace para ver la tarjeta, la víctima en realidad accede a un sitio web fraudulento que descarga untroyano en su ordenador (o, por ejemplo, muestra un mensaje instándole a descargar una determinadaactualización de software para poder ver la tarjeta). Y la víctima confiada descarga el software, que no esotra cosa que un keylogger, un programa intruso que registra las pulsaciones del teclado.Los keyloggers utilizados en la suplantación de identidad incorporan unos componentes de rastreoque hacen un seguimiento de acciones concretas (y de organizaciones concretas, como en el caso deinstituciones financieras y comercios en línea) para sustraer datos confidenciales, tales como números decuentas, nombres de usuario y contraseñas.Otro tipo de troyanos con los que se puede obtener información confidencial son los redireccionadores,unos programas que redirigen el tráfico de los usuarios a un sitio fraudulento.Ataques «Man in the Middle» (MitM)En 2008 apareció un nuevo tipo de malware con el que se podía falsificar una sesión cifrada. Se trata deuna variante del clásico ataque «Man in the Middle» («con intermediario», en castellano) que utilizan losdelincuentes para acceder a contraseñas o a información confidencial que circula de forma desprotegidapor la Red.Estafas de phishing con mensajes de texto a través del móvilHaciéndose pasar por una institución financiera real, los atacantes utilizan los mensajes SMS comoalternativa al correo electrónico para tratar de robar datos confidenciales de las cuentas bancarias. En unapráctica que se conoce como smishing, la estafa típica consiste en informar al titular del teléfono móvil deque alguien ha entrado en su cuenta sin su consentimiento o que su tarjeta de crédito ha sido desactivada.Acto seguido, se explica a la víctima que para reactivar la tarjeta debe llamar a un determinado númerode teléfono o visitar un sitio web que es naturalmente falso. Una vez en el sitio, o mediante un sistematelefónico automatizado, se le solicita el número de la tarjeta, su código PIN o el número de la cuenta.Cómo pueden afectar los ataques de phishing a su empresaAunque el sector financiero sigue siendo uno de los objetivos preferidos por los atacantes, en realidad noes el único vulnerable a las amenazas. Los sitios web de subastas, servicios de pago, comercios y redessociales también son objetivos habituales de la delincuencia en la Red. APWG ha constatado un aumentoexponencial de los ataques dirigidos a operadoras y a fabricantes de teléfonos móviles. En resumidascuentas, ningún negocio ni ninguna marca está completamente a salvo.11 FTC Consumer Alert: Bank Failures, Mergers and Takeovers: A Phish-erman’s Special, www.ftc.gov. 5
  6. 6. Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012Los ataques que suplantan el sitio web oficinal de una empresa perjudican su imagen de marca en Internety disuaden a los clientes de utilizar sus servicios por temor a ser víctimas de un fraude. Además de loscostes directos de las pérdidas por fraude, las empresas cuyos clientes son víctimas de una estafa dephishing también se exponen a otros riesgos:• Caída de los ingresos por Internet o menor uso de los servicios debido a la pérdida de confianza de los clientes• Posibles sanciones administrativas si se ponen en peligro los datos confidenciales de los clientesIncluso los ataques dirigidos a marcas ajenas pueden afectar al propio negocio. El temor de los clientespuede hacer que dejen de realizar transacciones con empresas en las que no confíen plenamente.Proteja su empresaAunque no existe ninguna solución milagrosa, hay tecnologías que pueden proteger su empresa y asus clientes. Muchas de las técnicas de phishing actuales se basan en atraer a los clientes a sitios webfraudulentos para robar información confidencial. Las tecnologías como Secure Sockets Layer (SSL) ySSL con Extended Validation (EV) son fundamentales para combatir la suplantación de identidad y otrasestafas en la Red, ya que cifran la información confidencial y ayudan a los clientes a autenticar el sitio web.Las prácticas de seguridad recomendadas exigen implantar los máximos niveles de cifrado y autenticaciónposibles para protegerse contra el fraude online y fomentar la confianza del cliente en la marca. Latecnología SSL, el estándar mundial de seguridad en Internet, cifra y protege la información que setransmite a través de la Red mediante el protocolo HTTPS, cuyo uso está enormemente extendido.Esta tecnología protege los datos en tránsito, ya que cuando se envían sin cifrar corren el riesgo de quealguien los intercepte y manipule. Es compatible con los principales sistemas operativos, navegadores,aplicaciones de Internet y hardware de servidores.Para evitar que los ataques de phishing logren sus objetivos y mermen la confianza de los clientes, lasempresas también necesitan un modo de demostrar a los clientes que son un negocio legítimo. Loscertificados SSL con Extended Validation (EV) son la mejor solución, ya que ofrecen el máximo grado deautenticación posible y proporcionan una prueba tangible a los usuarios de que efectivamente se trata deun sitio web legítimo.SSL con Extended Validation proporciona a los visitantes del sitio una manera fácil y fiable de fomentar laconfianza online: el navegador muestra la barra de direcciones en color verde, en la que consta el nombrede la empresa titular del certificado SSL y el nombre de la autoridad emisora. La Figura 2 muestra elaspecto que tiene la barra de direcciones de color verde en Internet Explorer. 6
  7. 7. Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012 Figura 2. Barra de direcciones de color verde, característica del certificado SSL con EVGracias a esta característica barra, los visitantes pueden asegurarse de que la transacción está cifrada yde que la empresa ha sido autenticada con las normas más rigurosas del sector. Así, los atacantes ya nopueden beneficiarse del hecho de que los visitantes no se den cuenta de que la sesión no es segura.Los estafadores son expertos a la hora de crear réplicas exactas de sitios web legítimos pero, sin elcertificado SSL con EV emitido para la empresa, no podrán hacer que el nombre de esta aparezca en labarra de direcciones, ya que no es algo que puedan controlar. Y tampoco pueden obtener los certificadosSSL con EV de la empresa legítima debido al riguroso proceso de autenticación.Enseñe a sus clientes y empleados a protegerse contra el fraudeAdemás de implantar la tecnología SSL con EV, las empresas deben seguir enseñando a sus clientes yempleados a protegerse contra el fraude en Internet. Explíqueles los típicos indicios de un ataque dephishing, por ejemplo:• Errores ortográficos (menos habituales a medida que los ataques se van sofisticando)• Saludos genéricos en lugar de personalizados, enlaces que urgen a realizar alguna acción• Amenazas relativas al estado de una cuenta• Solicitud de datos personales• Nombres de dominio o enlaces falsosAsimismo, antes de solicitar a sus clientes información personal o confidencial, explíqueles que hay modosde asegurarse de que un sitio web es legítimo y seguro, por ejemplo:• La barra de direcciones es de color verde• La URL va precedida de HTTPS• Al hacer clic en el icono del candado, se puede comprobar que la información del certificado se corresponde con el sitio web que quieren visitarFacilitar este tipo de información a los clientes es un aspecto esencial que refuerza la confianza paravencer el temor a caer en la trampa del phishing. Si pueden determinar por sí mismos que al visitar el sitioweb están en buenas manos, los beneficios para su empresa son incuestionables, ya que podrá aumentarlos ingresos, diferenciarse de la competencia y ahorrarse costes operativos al generar más transaccionesonline. 7
  8. 8. Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012Los phishers, unos adversarios camaleónicos y duros de pelarLos ataques de phishing no dejarán de adoptar nuevas formas que se aprovechen de sentimientos tanhumanos como la compasión, la confianza o la curiosidad. Proteger su empresa y su marca frente a estosataques requiere una gran dosis de rigor y perseverancia, pero las ventajas que conlleva no se limitan aque las pérdidas por fraude sean mucho menores.Si enseña a los clientes a defenderse y les proporciona el máximo nivel de protección que garantizan loscertificados SSL con EV, fomentará su confianza en los servicios de su empresa. Afianzar el liderazgo de suempresa en la seguridad online le servirá para atraer a más clientes y generar nuevas fuentes de ingresos.Para obtener la información más reciente sobre las tendencias de phishing en el mundo, visite nuestroSymantec Monthly Intelligence Report.GlosarioAutoridad de certificación (CA): Empresa externa de confianza que emite certificados digitales, comopor ejemplo los certificados Secure Sockets Layer (SSL), después de verificar la información incluida en loscertificados.Cifrado: Proceso de alterar un mensaje para hacerlo ininteligible, de modo que solo puedan acceder aél las personas a las que va destinado. La tecnología Secure Sockets Layer (SSL) establece un canal decomunicación privado en el que los datos se transmiten cifrados por Internet para proteger la informaciónconfidencial frente a las interceptaciones electrónicas.Certificado SSL con Extended Validation (EV): Requiere unas exigentes normas de verificación paralos certificados SSL establecidas por una entidad externa, el CA/Browser Forum. En Microsoft® InternetExplorer 7 y otros navegadores seguros utilizados habitualmente, en los sitios web protegidos mediantecertificados SSL con Extended Validation la barra de direcciones URL aparece en color verde.HTTPS: Las páginas web cuya URL empieza por HTTPS en lugar de HTTP garantizan la transmisiónsegura de la información a través del protocolo HTTP seguro. HTTPS es una medida de seguridad en laque los usuarios se deben fijar a la hora de enviar o compartir información confidencial, como por ejemplonúmeros de tarjetas de crédito, registros de datos privados o información de empresas asociadas.Tecnología Secure Sockets Layer (SSL): Tanto la tecnología SSL como su sucesora, la tecnología TLS(Transport Layer Security), utilizan la criptografía para garantizar la protección de las transaccionesrealizadas por Internet. La tecnología SSL utiliza dos claves para cifrar y descifrar datos: una clave públicaconocida y otra privada o secreta que solo conoce el destinatario del mensaje.Certificado SSL: Los certificados SSL incorporan una firma digital que vincula una clave pública con unaidentidad. Sirven para cifrar la información confidencial durante las transacciones online y, en el caso delos certificados con validación de la empresa, también sirven como prueba fehaciente de la identidad delpropietario del certificado. 8
  9. 9. Alerta contra el fraude: Últimas tácticas de phishing y sus posibles consecuencias para las empresas en 2012Más informaciónVisite nuestro sitio webhttp://go.symantec.com/ssl-certificatesPara contactar con un especialista en nuestros productosLlame al 900 93 1298 o al +41 26 429 7727.Acerca de SymantecSymantec es líder mundial en soluciones de gestión de sistemas, almacenamiento y seguridad. Su objetivoes ayudar a empresas y particulares a gestionar y proteger sus datos en un mundo cada vez más dominadopor la información. Nuestros servicios y programas garantizan una protección más completa y eficaz frentea una mayor cantidad de riesgos, lo que es sinónimo de tranquilidad sea cual sea el medio donde se utiliceo almacene la información.Symantec Spain S.L.Parque Empresarial La Finca – Somosaguas,Paseo del Club Deportivo, Edificio 13, oficina D1, 28223, Pozuelo de Alarcón, Madrid, Españawww.symantec.esCopyright © 2012 Symantec Corporation. Todos los derechos reservados. Symantec, el logotipo de Symantec y el emblema del círculo con la marca de verificación son marcas comerciales o marcasregistradas de Symantec Corporation o sus filiales en los Estados Unidos y otros países. VeriSign, VeriSign Trust y otras marcas relacionadas son marcas comerciales o marcas registradas de VeriSign, Inc.,sus filiales o subsidiarias en los Estados Unidos y otros países, otorgadas bajo licencia a Symantec Corporation. Los demás nombres pueden ser marcas comerciales de sus respectivos propietarios.

×