La intranet-phishing: mecanismos de ataque y defensa en el mundo digital

Breve sobre la esencia

El phishing es uno de los delitos cibernéticos más comunes, en el que los delincuentes se hacen pasar por organizaciones legítimas para robar datos confidenciales. Reconocer las señales de ataques y aplicar medidas preventivas reduce significativamente los riesgos. Desde los tipos básicos de phishing electrónico hasta manipulaciones sociales complejas, entender las tácticas de los delincuentes es crucial para la protección.

¿Cómo funciona el phishing en internet?

El phishing en Internet se basa en la ingeniería social: un método de manipulación psicológica, donde los ciberdelincuentes convencen a las personas de que revelen voluntariamente información privada. Los delincuentes se preparan meticulosamente: recopilan datos personales de redes sociales, investigan sobre el objetivo del ataque y luego crean mensajes lo más convincentes posible en nombre de empresas de renombre o contactos conocidos.

El escenario clásico implica recibir un correo electrónico con un enlace o archivo adjunto malicioso. Al hacer clic en dicho enlace, el usuario es dirigido a un sitio web falso para robar datos de acceso, información financiera o instalar software malicioso en el dispositivo.

Aunque es fácil notar los correos de phishing mal elaborados, los ciberdelincuentes modernos utilizan tecnologías avanzadas: chatbots basados en IA, generadores de voz y síntesis de texto. Esto dificulta distinguir los mensajes auténticos de los falsos, incluso para los usuarios expertos.

Reconocimiento de ataques: en qué fijarse

Características típicas de los mensajes de phishing

Esté alerta si ha recibido una carta con las siguientes características:

• Enlaces sospechosos — La URL es diferente del sitio web oficial de la empresa.
• Direcciones de correo electrónico públicas — los mensajes de supuestos representantes de la empresa provienen de gmail.com o servicios similares.
• Inutilidad artificial — “confirme de inmediato”, “su cuenta será bloqueada”, “tiempo limitado”
• Solicitudes de datos personales — las empresas legítimas nunca piden PIN, contraseñas o detalles de tarjetas por email
• Errores en el texto — errores ortográficos y gramaticales, construcciones torpes

Consejo útil: pasa el cursor sobre el enlace para ver la URL real sin hacer clic en él.

Phishing de sistemas de pago

Los delincuentes a menudo se hacen pasar por servicios populares de transferencia de dinero, solicitando “verificar los datos de acceso”. Tales correos requieren que los usuarios completen paso a paso un formulario de acceso en un sitio web falso, donde todos los datos ingresados caen en manos de los criminales.

Esquemas financieros

Los estafadores se comunican en nombre de bancos o instituciones financieras, informando sobre un “problema de seguridad” o la necesidad de una “actualización urgente”. Las tácticas populares incluyen:

• Mensajes engañosos sobre la transferencia de fondos
• Esquemas de depósito directo dirigidos a nuevos empleados
• El mito sobre la necesidad de “verificación de la cuenta”

Ataques corporativos

En tales ataques, los delincuentes se hacen pasar por la dirección de la empresa: directores generales, directores financieros. Piden transferencias urgentes de fondos, apoyo en compras o acceso. El phishing de voz utilizando síntesis de voz de IA es una forma moderna y efectiva de este tipo de engaño.

Tipos de phishing en internet

Clon-phishing

El delincuente copia un correo electrónico oficial de una empresa real, cambia el enlace por uno malicioso y lo envía como “actualización” o “corrección de un error anterior”. Las víctimas a menudo creen que se trata de un reenvío del mismo remitente.

Ataques dirigidos (experto)

A diferencia de los envíos masivos, estos ataques están dirigidos a una persona o institución específica. El atacante estudia detenidamente a la víctima: encuentra los nombres de amigos, colegas, miembros de la familia, sus cargos, y utiliza esta información para crear un mensaje lo más personalizado posible. El efecto de la ingeniería social funciona mucho más fuerte.

Experto

Los ciberdelincuentes hackean los registros DNS y redirigen el tráfico del sitio web oficial a un sitio falso controlado por ellos. A diferencia del phishing, aquí el usuario no comete un error: intenta acceder al sitio correcto, pero recibe un error debido a la infraestructura comprometida. Esto es especialmente peligroso, ya que los registros DNS están fuera del control del usuario medio.

Caza de ballenas (вейлінг)

Una forma de phishing dirigido, enfocada en personas influyentes: directores generales, políticos, personas adineradas. Los ataques se preparan con mayor cuidado y a menudo causan mayores pérdidas.

Suplantación de correo electrónico

Los correos electrónicos de phishing se disfrazan como mensajes de empresas reales o personas privadas. En la página de inicio falsa se roban las credenciales y la información personal. Estas páginas pueden contener troyanos, keyloggers y otros scripts maliciosos.

Ataques de redirección

El usuario es redirigido a una URL que difiere de la prevista. Utilizando vulnerabilidades, los delincuentes instalan software malicioso en la computadora.

Experto

Los delincuentes registran dominios con errores ortográficos comunes (, por ejemplo, “binence” en lugar de “binance”). Los usuarios que escriben incorrectamente la dirección terminan en un sitio web falso que copia el diseño del original.

Anuncios de pago falsos

Los delincuentes crean anuncios con dominios falsificados y pagan por su colocación en los resultados de búsqueda. La publicidad puede incluso mostrarse en el TOP de Google, lo que le añade legitimidad.

Vierte agujero (watering hole)

Los delincuentes identifican sitios web que los usuarios objetivo visitan con frecuencia, escanean estos sitios en busca de vulnerabilidades e implementan scripts maliciosos. Cuando la víctima visita dicho sitio, se infecta automáticamente.

Publicarse como otros en las redes sociales

Los delincuentes crean cuentas falsas de personas influyentes, realizan sorteos y concursos con la condición de transferir fondos. Además, pueden hackear cuentas verificadas y cambiar los nombres de usuario, manteniendo el estado de verificación. Recientemente, estos ataques se llevan a cabo activamente en Discord, X, Telegram.

Aplicaciones móviles dañinas

Los delincuentes distribuyen aplicaciones bajo la apariencia de rastreadores de precios, billeteras, calculadoras. Estos programas pueden rastrear actividades, robar datos clave o distribuir malware.

SMS y phishing de voz (smishing y vishing)

Los ataques a través de mensajes de texto y llamadas de voz incitan a los usuarios a revelar información personal. Estos métodos a menudo resultan ser más efectivos, ya que las personas son menos cautelosas con los SMS y las llamadas que con los correos electrónicos.

Phishing contra farming: ¿cuál es la diferencia?

Aunque el farming a menudo se considera una subcategoría del phishing, tienen diferencias fundamentales. El phishing requiere un error activo de la víctima — hacer clic en un enlace malicioso, introducir datos en un sitio web falso. El farming, en cambio, funciona sin la participación del usuario — solo es suficiente intentar acceder a un sitio web legítimo cuyos registros han sido comprometidos. Esto hace que el farming sea un ataque más peligroso.

Protección contra ataques de phishing

Medidas básicas de seguridad

• No haga clic en los enlaces directos de los correos electrónicos; en su lugar, abra el sitio web oficial de la empresa en el navegador o llame al número que aparece en su sitio web.
• Instale un software antivirus confiable — las soluciones modernas detectan sitios de phishing y malware
• Utilice filtros de spam — configure el cliente de correo de la manera más conservadora posible.
• Activa la autenticación de dos factores — incluso si se roba la contraseña, el hacker no podrá acceder a la cuenta sin el segundo factor.

Soluciones técnicas

Las organizaciones deben implementar estándares de autenticación del correo electrónico:

• DKIM (DomainKeys Identified Mail) — firma los correos con la clave privada del dominio
• DMARC (Autenticación, Informe y Conformidad de Mensajes Basados en Dominio) — define la política de manejo de correos que no han pasado la verificación

Educación y concienciación

• Informa regularmente a tus seres queridos sobre los riesgos de phishing
• Las empresas deben llevar a cabo capacitaciones para los empleados
• Realice pruebas fijas de phishing para evaluar el nivel de preparación del equipo
• Cultive una cultura de actitud crítica hacia cualquier solicitud de datos personales

Dónde obtener ayuda adicional

Las organizaciones que desean profundizar su conocimiento sobre el phishing pueden dirigirse a:

• Grupos de trabajo antifraude y iniciativas regionales de seguridad
• Recursos de los organismos estatales de ciberseguridad
• Consultores especializados en seguridad de la información

Phishing en el mundo de las criptomonedas y blockchain

La tecnología blockchain proporciona una sólida protección criptográfica de los datos gracias a la descentralización, sin embargo, los usuarios del espacio cripto siguen siendo vulnerables a la ingeniería social.

Los ciberdelincuentes atacan a los cripto-usuarios de diversas maneras:

• Robo de claves privadas — a través de sitios de phishing que imitan billeteras populares
• Comprometimiento de la frase semilla — phishing dirigido específicamente a extraer la frase de respaldo
• Direcciones falsas — redirigir a los usuarios a direcciones falsas para transferir fondos
• Tokens falsos — creación de versiones falsas de tokens populares

En la mayoría de los casos, el phishing exitoso en criptomonedas se basa en errores humanos, no en vulnerabilidades técnicas. El pensamiento racional, la verificación de URL y la vigilancia activa son la mejor defensa.

Conclusiones

La comprensión de los mecanismos de phishing y sus variantes es una parte integral de la higiene digital. El phishing en Internet evoluciona constantemente, adaptándose a nuevas plataformas y tecnologías. Al combinar herramientas técnicas (PO, la autenticación de dos factores), educación y pensamiento crítico, reduce significativamente el riesgo de convertirse en víctima de un atacante.

¡Permanezcan SAFU!