El "spear phishing", una modalidad de estafa cibernética vía e-mail que se impone

Imagen por Jorge S. King ©Todos los derechos reservados

El "spear phishing" es una modalidad de phishing cada vez más común, cuyo objetivos son gobiernos y empresas. Se trata de ataques dirigidos, vía correos electrónicos (e-mails), para que las víctimas abran un archivo adjunto (no solicitado) que posee un código malicioso, o hagan clic en un enlace que los lleve a un website con exploits. Éstos ataques son cada vez más específicos y "personalizados".

Los correos suelen referirse o dirigirse a sus objetivos por su nombre específico, rango o posición, en lugar de utilizar títulos genéricos en el asunto del email como ocurre en las campañas de phishing más amplias. Más del 90% de los correos electrónicos dirigidos, con ésta modalidad delictiva, estarían utilizando archivos maliciosos adjuntos como fuente de infección, en su mayoría de formato .DOC, .PPS .RTF, .XLS y .ZIP

Los intentos más recientes, de ésta modalidad de phishing, han tomado como objetivo a clientes de bancos y servicios de pago en línea, como así también a esquemas gubernamentales. La acción delictiva se complementa con el robo de identidad de la víctima, el delito de más rápido crecimiento en el mundo.

El atacante conoce el nombre de la víctima, su dirección de correo electrónico, y tiene un mínimo de información acerca de la misma. Por lo general, el saludo del mensaje de correo es personalizado: "Hola, Bob", en lugar de "Estimado señor". Es posible que el correo haga referencia a un "amigo en común", y/o también puede referirse a alguna compra online reciente. Dado que el correo electrónico parece provenir de alguien conocido, es posible que la víctima esté menos atento y proporcione la información que le solicitan. Y cuando se trata de una empresa que conoce y le solicita que actúe con urgencia, seguramente lo hará sin pensarlo, en la mayoría de las veces.

¿Cómo se convierte en el blanco de ataques de spear phishing? A partir de la información que publica en Internet desde su PC o su smartphone. Por ejemplo, puede que analicen sitios de redes sociales, encuentren su página, su dirección de correo electrónico, su lista de amigos y una publicación reciente en la que comenta a sus amigos lo estupenda que es la nueva cámara que se compró en un sitio de ventas online. Con esa información, un atacante de spear phishing puede simular ser amigo suyo, enviarle un correo electrónico y solicitarle la contraseña de su página de fotos. Si usted le da la contraseña, el atacante la usará, junto con otras variantes, para intentar acceder a su cuenta de ese sitio de ventas online del que habló. Si la descubren, la usarán y le dejarán una buena deuda. También es posible que el atacante utilice esa misma información para hacerse pasar por alguien del sitio de ventas online y solicitarle que restablezca su contraseña o que vuelva a verificar su número de tarjeta de crédito. Si usted le responde, el atacante le hará un gran daño financiero.

Mantenga en secreto sus secretos

Su nivel que seguridad y el de su información depende, en parte, de ser cuidadoso. Analice su presencia online. ¿Cuánta información acerca de usted hay publicada que podría combinarse para estafarle? ¿Su nombre? ¿Su dirección de correo electrónico? ¿Nombres de amigos? ¿Sus direcciones de correo electrónico? ¿Usted tiene un perfil, por ejemplo, en algún sitio conocido de redes sociales? Examine sus publicaciones. ¿Hay algo allí que no desea que caiga en manos de un estafador? ¿Publicó algún dato en la página de un amigo que podría resultar revelador? / Norton.

La descubierta red de espionaje Octubre Rojo, que pone en jaque datos gubernamentales, envía malware vía ésta modalidad. Se aprovecha de víctimas, cuidadosamente seleccionados dentro de una organización, cuyos equipos contienen al menos tres vulnerabilidades diferentes en Microsoft Excel y Word. Les enván mensajes de correo electrónicos con archivos infectados adjuntos, que una vez descargado en el equipo de la víctima, deja caer un troyano que escanea la red local para detectar si hay otros dispositivos vulnerables a la falla de seguridad similar.

La industria informática también tiene su mercado negro, algo conocido y sufrido por muchos desde hace ya mucho tiempo, a la góndola de discos, vídeos y programas pirateados, se le sumó un nuevo producto: los códigos para robar mediante la suplantación de identidad.

Fuentes:

• El método de infección utilizado en la "Operación octubre rojo". 18/01/2013
• "Octubre Rojo" uno de los ciberataques más significativos jamás descubiertos. 15/01/2013.
• The "Red October" Campaign - An Advanced Cyber Espionage Network Targeting Diplomatic and Government Agencies. Securelist - Kaspersky Lab Expert.
• Spear Phishing: estafa, no deporte. Norton. 08/06/2011.