Atacs de pesca contra llances: allò que cal saber

Quan l’ajudant del cap de la Comissió Nacional Democràtica (DNC), l’ajudant del cap de John Podesta, va enviar-li un correu electrònic que afirmava que el compte de Gmail de Podesta estava piratat, Podesta va fer el que la majoria de nosaltres hauria fet: va fer clic a l’enllaç dins del correu electrònic i es va dirigir a un lloc web on se li va sol·licitar. per introduir una nova contrasenya. Ho va fer i després va treballar sobre el seu negoci diari. Malauradament per a la campanya presidencial de Podesta, el Partit Demòcrata i Hillary Clinton, el correu electrònic enviat a Podesta no era de Google. Més aviat, es tractava d'un atac de caça phish d'un grup de pirateria rus anomenat "Fancy Bear".

Fins i tot si mai no heu sentit a parlar del terme "spear-phishing", sens dubte heu sentit d'aquest tipus d'atacs. Probablement fins i tot heu estat un objectiu d’ells. Aquests atacs solen tenir la forma de correus electrònics d’assistència al client que us demanen que canvieu les credencials o que es puguin enviar mitjançant adreces de correu electrònic falses a empreses que sol·liciten dades de clients o d’empleats altament personals. Per exemple, el 2015, els empleats d’Ubiquiti Networks van transferir 46, 7 milions de dòlars a comptes a l’estranger a instància de correus electrònics que els empleats assumits van ser enviats per executius d’Ubiquiti. En realitat, els pirates informàtics van crear comptes de correu electrònic que eren semblants als comptes executius actuals d'Ubiquiti i van enganyar als empleats.

A partir de dades d’un estudi recent realitzat per l’empresa IronScales de seguretat de correu electrònic, el 77 per cent dels atacs es centren en làser, orientats a 10 comptes o menys, amb un terç dels atacs dirigits només a un compte. Els atacs són curts, el 47 per cent dura menys de 24 hores i el 65% dura menys de 30 dies. Els filtres tradicionals de correu brossa i les eines de protecció d'endpoints no aconsegueixen atacar. Per cada cinc atacs identificats pels filtres de correu brossa, 20 atacs van entrar a la safata d'entrada de l'usuari.

(Imatge Via: IronScales)

"Veiem que els atacants passen molt més temps estudiant els seus objectius que els anys passats, executant un procés de reconeixement molt complet", va dir Eyal Benishti, director general de IronScales. "Com a resultat, els correus electrònics de phishing s'han convertit en alts objectius i adaptats a l'empresa objectiu, ja que els atacants són capaços de recopilar informació mitjançant el reconeixement que els ajuda a crear correus electrònics a semblar una comunicació interna legítima. Per exemple, hem vist que alguns atacs utilitzen la el llenguatge i signatures de les organitzacions, i el contingut és molt en context del que s’executa actualment a l’empresa i entre les persones de confiança ".

Jeff Pollard, analista principal de Forrester Research, va afegir que aquests atacs també creixen en sofisticació. "Els atacs són cada cop més sofisticats, tant pel que fa als atreviments que fa que la gent faci clic i quant al programari maliciós que s'utilitza per accedir als sistemes", va dir Pollard. "Però això és el que esperem, ja que la ciberseguretat és una batalla constant entre defensors i atacants".

La solució

Per combatre aquests atacs, les empreses recorren a programari anti-phishing per detectar i marcar els atacs entrants. Les eines anti-spam i anti-malware no són idees per a qualsevol empresa que desitgi protegir les dades de l'empresa. Però empreses com IronScales estan fent un pas més enllà mitjançant la captació d’eines d’aprenentatge automàtic (ML) per cercar i marcar proactivament correus electrònics de phishing. A més, com que ML permet que les eines recopilin o recordin dades d’estafa, el programari aprèn i millora amb cada exploració.

"La tecnologia fa més difícil a l'atacant enganyar el defensor amb petits retocs que normalment passen per alt una solució basada en signatures", va dir Benishti. "Amb ML, podem agrupar ràpidament diferents variants del mateix atac i lluitar de manera més eficaç contra el phishing. De fet, des de la nostra anàlisi, ML és la millor manera de formar un sistema per indicar la diferència entre correus electrònics legítims provinents d'un soci de confiança o col·lega versus no legítima ".

La tecnologia no és l’única salvaguarda contra aquestes formes d’atacs. L’educació i la precaució són potser les defenses més importants contra els atacs de caça contra la pesca. "Algunes empreses són conscients de les amenaces, encara que d'altres creuen erròniament que la seva solució actual és protegir-se contra atacs dirigits", va dir Benishti. "És molt important comprendre que utilitzar els mateixos mecanismes de defensa i esperar resultats diferents en futurs atacs simplement no ho farà. L'ús de la tecnologia sola contra atacs avançats, que posen les persones com a objectius, sempre fallarà, ja que es basarà només en la consciència dels empleats i formació… Les persones i les màquines que treballen estretament junts per tancar aquest buit d'atacs desconeguts és l'única manera de reduir el risc ".

(Imatge Via: IronScales)

Com romandre segur

A continuació, es detallen algunes maneres molt senzilles de garantir que vosaltres i la vostra empresa no us estafin:

• Assegureu-vos que els correus electrònics de la companyia estiguin etiquetats com a "INTERNAL" o "EXTERNS" a la línia de l'assumpte.
• Verifiqueu per telèfon sol·licitacions sospitoses o arriscades. Per exemple, si el vostre CEO us envia un correu electrònic i us demana que envieu les dades de salut personals d’algú, feu una trucada o envieu un missatge de xat per verificar la sol·licitud.
• Si una empresa us demana que canvieu la vostra contrasenya, no utilitzeu l’enllaç de la notificació per correu electrònic; aneu directament al lloc web de l'empresa i canvieu la vostra contrasenya des d'allà.
• Mai, en cap cas, heu d’enviar la vostra contrasenya, el número de seguretat social o la informació de la targeta de crèdit a algú del cos d’un correu electrònic.
• No feu clic als enllaços de correus electrònics que no continguin cap altre text ni informació.

"A mesura que les defenses milloren, també fan atacs", va dir Pollard. "Crec que veurem campanyes més específiques de caça de caça i caça de caça de balenes. També veurem un augment de la pesca i estafament de les xarxes socials, que és una zona que no és tan madura des del punt de vista de la seguretat com la seguretat del correu electrònic".

Malauradament, per molt que tingueu cura, els atacs s’intensificaran i seran més intel·ligents. Podeu fer tot el que estigueu en el vostre poder per educar-vos a vosaltres mateixos i als vostres empleats, podeu crear una defensa contra el phishing recolzada per les noves tecnologies i podeu prendre totes les precaucions possibles. Però, segons va assenyalar Pollard, "només es necessita un mal dia, un clic errònia o un usuari pres de la prova per netejar la safata d'entrada per conduir a una catàstrofe".