3 estrategias para reducir el riesgo

En 2023, el phishing y estafas similares fueron el tipo de delito cibernético más común informado al Centro de Quejas de Delitos en Internet de EE. UU. y afectaron a 324,000 personas.

El phishing se presenta de muchas formas: phishing por correo electrónico, phishing selectivo y Compromiso de correo electrónico comercial (BEC). Una vez dirigido, un intento de phishing exitoso puede engañar a los usuarios para que revelen datos importantes y descarguen malware, lo que genera ransomware y otras actividades cibernéticas maliciosas.

Al planificar estos ataques, los atacantes buscan el máximo rendimiento por la mínima inversión. Los ataques de ingeniería social intentan utilizar el empoderamiento, la intimidación, el consenso, la escasez y un sentido de urgencia para atraer a las víctimas a lograr los objetivos de un adversario.

Desde los albores de Internet, los ciberdelincuentes han podido comunicarse con quien quieran y llegar a sus objetivos con facilidad. La mejor manera para que los líderes de seguridad cibernética y de TI protejan sus negocios de las víctimas de ataques de ingeniería social dirigidos, que pueden ser dañinos para los negocios, es:

1. Educar y capacitar al personal para reconocer los intentos de phishing y cómo responder.
2. Instale un software antiphishing que pueda detectar y marcar automáticamente estas amenazas.
3. Analice la estructura y el comportamiento de la página web para identificar amenazas potenciales con soluciones de seguridad del navegador.

Analicemos cada uno de estos con más profundidad:

1. Educación y formación del talento

El primer paso para proteger a su empresa de las amenazas de ingeniería social es poder identificarlas y gestionarlas de forma eficaz. Por lo tanto, aumentar la conciencia de los empleados sobre los intentos de phishing y lo que los usuarios deben hacer frente a los intentos de phishing es fundamental para proteger el negocio si el software anti-phishing y otras medidas de seguridad no son efectivas para detener la amenaza. (Lea también: El elemento humano de la ciberseguridad: lo que lo pone en riesgo.)

Las organizaciones pueden hacer esto educando continuamente a los empleados, validando su conocimiento y fomentando la vigilancia. El envío ocasional de correos electrónicos de phishing falsos para probar el conocimiento de los empleados también puede ser muy útil durante la capacitación.

Además de saber qué hacer ante un intento de phishing, los usuarios también deben tener una idea clara de lo que no deben hacer. Los signos reveladores de intentos de phishing en los que los usuarios siempre deben tener cuidado y saber no caer incluyen:

• URL acortadas y mal completadas.
• Sitio web HTTP inseguro.
• Páginas con imágenes y enlaces rotos.
• Correos electrónicos sospechosos que solicitan información confidencial o que no siguen el protocolo general.

2. Software antiphishing

El software antiphishing también debe implementarse en todo el ecosistema de TI de la organización para evitar ataques de ingeniería social.

Los sitios que comparten listas de sitios de phishing conocidos pueden ser muy útiles, pero el software antiphishing no debe basarse en listas de sitios de phishing conocidos. Eso es porque, desafortunadamente, estos sitios cambian con frecuencia y siempre habrá un paciente cero. A menos que el software sepa qué sitios son phishing y cuáles no, restringirá innecesariamente el acceso a más sitios y, en última instancia, reducirá la productividad de los empleados.

Algunos sistemas operativos antiphishing pueden pasar por alto ataques reales, pero alertan sobre actividades completamente inofensivas. El software antiphishing adecuado intercepta los correos electrónicos y los analiza en busca de cualquier material potencialmente dañino antes de enviarlos a su bandeja de entrada. También evita la suplantación de identidad no autorizada al agregar una capa adicional de protección a las firmas de los usuarios para que los ciberdelincuentes no puedan hacerse pasar por nombres de dominio. Además, el software antiphishing bloquea las URL maliciosas en tiempo real al analizar y bloquear las URL maliciosas antes de que lleguen a los usuarios. (Lea también: Cómo evitar ser phishing.)

3. Soluciones de seguridad del navegador

La máxima protección contra el phishing y otros ataques de ingeniería social proviene de la protección integral de su navegador. La solución correcta puede prevenir ataques antes de que sea demasiado tarde y defenderse de todos los ataques, no solo del phishing. Una solución sólida de seguridad del navegador debe analizar la telemetría en tiempo de ejecución mientras es completamente independiente y no depende de otras fuentes de terceros para imponer el cumplimiento.

Una solución de seguridad del navegador debe ser capaz de prevenir todos los ataques del navegador, incluidos los exploits, los ataques de ingeniería social y las vulnerabilidades de las aplicaciones web. También deben poder evitar que los usuarios violen las políticas. Dado que el nivel de seguridad de una empresa se define por el punto más débil de sus defensas multicapa, el navegador debe ser el punto más fuerte en la cadena de suministro de la organización. (Lea también: Concienciación sobre amenazas internas: cómo evitar las infracciones de seguridad internas.)

en conclusión

Lamentablemente, el phishing y otros ataques de ingeniería social están creciendo a un ritmo alarmante: el número de sitios de phishing aumentó un 4,4 % en los primeros meses de 2023. Hubo un total de 1 025 968 ataques de phishing, lo que convierte al primer trimestre de 2023 en el peor trimestre para el phishing observado hasta la fecha. El phishing puede convertirse fácilmente en un «medio» para que los ciberdelincuentes implementen malware, ransomware u otras formas de código malicioso y destruyan rápidamente una organización.

Para prevenir estos ataques y garantizar operaciones comerciales consistentes mientras se protegen los datos valiosos, se debe priorizar la ingeniería social y la prevención. Educar a los empleados sobre las señales de phishing, las técnicas de prevención y respuesta, y enfatizar la importancia del conocimiento de phishing es un primer paso fundamental para mantener segura a su organización. Además, la implementación de un software antiphishing y una solución integral de seguridad del navegador para detectar amenazas en tiempo real y evitar la fuga de datos confidenciales y el robo de credenciales de usuario deben ser las principales prioridades para las empresas. Al identificar acciones que solo se pueden identificar desde el navegador, estas poderosas soluciones protegerán a las organizaciones de ataques de ingeniería social dirigidos.

Ninguna herramienta o educación profunda puede evitar por completo que los usuarios hagan clic en enlaces maliciosos debido a un error humano. Dicho esto, con una comprensión adecuada de los ataques de ingeniería social y al darse cuenta de que la protección real contra los ataques web proviene de proteger el navegador, los usuarios pueden estar más seguros contra el phishing. (Lea también: Cómo proteger la infraestructura crítica de los ataques cibernéticos.)