En este artículo, discutiremos qué puede hacer para prevenir ataques de phishing 2024
Descubra cómo detectar el phishing y qué debe hacer su empresa para detenerlo. Lea acerca de cómo evitar ser phishing y cómo dejar de recibir correos electrónicos phishing.
Ataques de phishing, no los virus ni los piratas informáticos, son la mayor amenaza para las empresas en la actualidad. Este artículo le enseñará cómo detectar y detener los correos electrónicos de phishing para que no dañen su negocio y eviten que las personas malintencionadas lo hagan.
Déjame preguntarte esto: ¿qué tan consciente y proactivo eres cuando se trata de encontrar y detener el phishing? ¿Qué tan segura cree que está su empresa de los ciberataques?
Ataques de phishing en números
- Este año, el 65% de las empresas en los Estados Unidos pudieron ser objeto de phishing.
- Este año, los ataques de phishing estuvieron dirigidos al 84 % de todas las pequeñas y medianas empresas (PYMES).
- El 65 por ciento de las PYMES ni siquiera han realizado una prueba de correos electrónicos de phishing.
- Seis meses después de un ciberataque o una filtración de datos, el 60 % de las pequeñas empresas no pueden recuperarse y terminan quebrando.
- El malware ni siquiera se utiliza en el 86 % de los ataques por correo electrónico.
- El phishing es la causa del 32% de todas las filtraciones de datos.
- Para una empresa mediana, se espera que un ataque de phishing cause daños por $ 1.6 millones.
La situación empeorará antes de mejorar, dicen los expertos. Así lo demuestra el reciente aumento de los ataques de phishing durante la pandemia de COVID-19.
En estos días, es fácil iniciar un nuevo negocio, pero la mayoría de los empresarios no tienen el flujo de efectivo o el conocimiento de seguridad para proteger sus nuevas empresas de los atacantes.
¿A quién se dirigen principalmente los ataques de phishing?
Créditos de imagen: pexels
Las siguientes categorías comerciales se encuentran entre las que los estafadores consideran "apetitosas". Se debe dar prioridad a la implementación de medidas de seguridad.
- Empresas que utilizan SaaS (33,5%)
- Empresas financieras (19.4%)
- Redes sociales (8.3%)
- Usuarios de servicios de pago (13.3%)
- Comercio electrónico (6,2%)
La mayoría de los ataques están dirigidos a pequeñas empresas.
La gente piensa que los hackers no persiguen a las pequeñas empresas tanto como a las grandes porque las grandes empresas tienen más dinero y mejores productos.
De hecho, es al revés. Las pequeñas empresas tienen más probabilidades de ser atacadas porque tienen menos dinero y menos empleados que sepan cómo manejar un ataque. Esto los convierte en blancos fáciles. Los piratas informáticos a menudo usan ataques de phishing para aprovechar las debilidades de las empresas más pequeñas que no tienen mucho o nada de dinero para gastar en seguridad.
Los daños causados por el phishing afectan los resultados de su empresa
No hay duda de que el phishing perjudica sus resultados. La pregunta es ¿cuánto daño crees que obtendrás? Debe responder a esta pregunta para que pueda averiguar qué pasos debe seguir para protegerse de este desagradable delito cibernético.
Si su solución de seguridad no es muy buena o no existe, definitivamente será víctima de ciberdelincuencia y estafas que pueden costarle mucho dinero. El delito cibernético generalmente se asocia con virus y troyanos, pero las estafas de phishing son el verdadero peligro.
Debido a que cualquiera puede hacerlo, el phishing es mucho más aterrador que otros tipos de malware. Los ciberdelincuentes pueden iniciar campañas de phishing sin escribir código complicado ni utilizar herramientas especiales. También son fáciles de ejecutar y casi imposibles de rastrear.
La mayoría de las empresas utilizan computadoras que ejecutan Windows. Esto ha convertido a Windows en un objetivo más fácil que otros sistemas operativos como Linux o macOS en el pasado. La gente piensa que Windows es especialmente vulnerable al malware debido a esto.
Le recomendamos que no confíe en qué tan seguro cree que es un sistema operativo. Independientemente del sistema operativo que utilice, asegúrese de tener suficiente protección y de no haber sido infectado.
¿Cómo funciona el phishing?
El phishing es un tipo de delito cibernético en el que se engaña al objetivo para que brinde información confidencial, como información bancaria, números de tarjetas de crédito, contraseñas e información sobre quiénes son.
Los delincuentes fingen ser negocios reales y contactan a sus víctimas por teléfono, mensaje de texto, correo electrónico o las tres cosas si tienen suficiente información sobre sus víctimas. Luego, se engañará a las víctimas para que hagan clic en un enlace incorrecto que instala spyware, ransomware o malware en sus computadoras.
Otros tipos de phishing usan sitios web falsos o documentos que parecen provenir de una fuente confiable. Por ejemplo, podría ser una página como la banca en línea donde ingresa su información de perfil, información de pago o información personal.
Aprovechar los datos robados puede provocar el robo de identidad, la apropiación de cuentas y pérdidas financieras, o puede usarse para vender su información a terceros.
Una búsqueda rápida de la dirección de correo electrónico puede indicarle si el remitente es real, pero no muchas personas conocen esta medida de seguridad, y todos los empleados deben conocerla para detener los correos electrónicos de phishing.
¿Cómo se ve típicamente un correo electrónico de phishing?
Un ejemplo perfecto de un ataque de phishing es recibir un correo electrónico urgente de un gran banco o compañía de tarjetas de crédito que le informa que hubo una violación de datos y que necesita reparar su cuenta de inmediato o se congelará.
Los atacantes apuestan a que tienes una cuenta bancaria o tarjeta de crédito con ese banco o empresa.
La mayoría de las personas se asustan cuando reciben un correo electrónico urgente, por lo que hacen lo que dice el correo electrónico y hacen clic en el enlace o descargan el archivo adjunto. Este es el principio del fin.
Las víctimas no saben que están ingresando su información de inicio de sesión en un sitio web falso que controla el atacante o que están descargando malware en su computadora.
En general, hay cuatro tipos de intentos de phishing:
- URL modificadas: estas URL tienen el mismo aspecto que las URL reales de la empresa, pero es posible que les falte una letra. Por lo tanto, debe tener cuidado y asegurarse de que sea real antes de hacer clic en el enlace.
- Una llamada telefónica o correo electrónico falso: Los estafadores pueden solicitar información personal haciéndose pasar por una empresa. No le digas a nadie esta información hasta que estés seguro de que no estás tratando con estafadores;
- Malware incrustado en un correo electrónico o un enlace: Esta es una forma común de hacer trampa. Para evitar los trucos de los intrusos, no haga clic en enlaces incompletos y use solo programas certificados;
- Páginas de pedidos falsos. Puede ser estafado para que divulgue su información personal falsificando la página de pedido en la tienda;
- Suspensión de cuentas de PayPal El resultado de los ladrones que roban su dinero a través de cuentas de PayPal. A veces, te envían cartas usando direcciones de correo electrónico falsas. Quieren saber cuánto dinero tienes en tus cuentas bancarias y otra información. Si te pareció extraña la carta, no la contestes. En su lugar, llame a los representantes reales de la empresa.
Medidas de prevención del phishing para empresas
Lo antes posible, tome las medidas necesarias para proteger su negocio de los ataques de phishing. Si su empresa aún no ha tomado los siguientes pasos, probablemente sea vulnerable a los ataques.
Aún así, los ataques de phishing siempre intentan eludir las mejores formas de protegerse, por lo que sus profesionales de TI o su proveedor de TI deben mantenerse actualizados y reforzar y mejorar su seguridad todo el tiempo.
Veamos lo que puede y debe hacer para detener el phishing en su empresa.
1. Detección de correo electrónico de phishing
Todas las personas que trabajan para su empresa deben saber cómo detectar un correo electrónico de phishing. Se puede identificar a una persona real a partir de un correo electrónico mirándolo.
Con una búsqueda de dirección de correo electrónico, por ejemplo, puede averiguar de dónde proviene el correo electrónico. Si el dominio es diferente al nombre del mensaje, puede estar seguro de que se trata de un intento de phishing.
Los correos electrónicos de phishing no usan el nombre del objetivo y pueden comenzar con un saludo genérico como "Estimado cliente". Esta es una señal de que el correo electrónico es de un estafador.
Los correos electrónicos de phishing también usan dominios falsos que ocultan el dominio real o usan uno que se parece al original (Google, Microsoft) para que el objetivo piense que es real.
2. Capacitación regular en ciberseguridad para empleados
Incluso si conoce estas amenazas en línea y sabe qué hacer cuando ocurre el phishing, es posible que sus empleados no lo hagan.
Asegúrese de que todos los miembros de su personal reciban capacitación básica en seguridad e higiene en línea para enseñarles cómo manejar TODOS los correos electrónicos (no haga clic en enlaces ni descargue archivos adjuntos), sin importar de dónde provengan.
Debe tener mucho cuidado de seguir las reglas de seguridad al pie de la letra porque incluso un pequeño error podría costarle mucho dinero. También sería útil si pudiera realizar simulacros de seguridad cibernética regulares enfocados en ataques de phishing, para que su personal sepa qué hacer en cualquier situación.
Reforzar constantemente la conciencia de ciberseguridad de las personas:
Una de las tácticas populares es la sextorsión. Es diferente porque se utilizan los sentimientos de una persona para que envíe el rescate. El miedo o el pánico son dos ejemplos. Cofense encontró una botnet en el sector. Tenía 200 millones de direcciones de correo electrónico en junio de este año. Pronto, hubo 330 millones más de ellos. Por eso, es importante concienciar a la gente. Si desea mantener su negocio seguro, debe asegurarse de que sus empleados estén informados y capacitados.
Ninguna tecnología puede reemplazar a los empleados informados:
Un ataque de phishing estaba dirigido a una gran empresa en el campo médico. Pero cuando las personas dijeron que recibieron cartas sospechosas, el centro de seguridad pudo actuar rápidamente. En 19 minutos, el ataque fue detenido.
3. Mantenga su sistema operativo y software actualizados
En algunos ataques de phishing, software desactualizado o sistemas operativos se utilizan para enviar malware.
Asegúrese de que todos los dispositivos de la empresa estén ejecutando las últimas versiones de sus sistemas operativos y que TODO el software esté parcheado y actualizado. Los piratas suelen utilizar reproductores multimedia, visores de PDF y programas de videoconferencia, por lo que deben mantenerse actualizados.
4. Realice una auditoría de contraseñas
Realice una auditoría de contraseñas para toda la oficina para verificar y deshacerse de contraseñas débiles o duplicadas.
Utilice una contraseña segura para cada cuenta y no utilice la misma contraseña en ningún otro lugar. Esto es parte de una política de contraseña adecuada. Un atacante podría entrar y causar daños con una sola contraseña.
Invierta en un administrador de contraseñas y asegúrese de que todos usen la contraseña segura que crea el programa o una cadena de tres o cuatro palabras aleatorias.
5. Hacer cumplir la autenticación de múltiples factores en todas las cuentas
Asegúrese de que la autenticación multifactor esté activada de forma predeterminada para cada cuenta en línea. Esto agregará una capa adicional de seguridad que los atacantes no pueden sortear sin el dispositivo que tiene el código autenticado. Puede usar un dispositivo de autenticación física o una aplicación que se ejecute en un teléfono inteligente.
No confíes en HTTPS:
SSL ya no es un signo de seguridad. Es un conjunto de reglas para hacer una conexión segura. Las personas han aprendido a diferenciar entre HTTP y HTTPS con el tiempo y solo visitan sitios con el certificado correcto. Pero hoy, los estafadores también usan el protocolo de encriptación. A finales de año, se usaba TLS o SSL en el 74 % de los sitios de phishing.
6. Aislar y respaldar componentes críticos
La infraestructura de tu empresa tiene partes importantes a las que no todo el mundo necesita tener acceso.
Algunas partes ni siquiera tienen que estar en Internet. Sería útil mantener las partes importantes de su infraestructura lo más separadas posible. Por ejemplo, podría limitar el acceso a algunos servidores y mantener todos los sistemas fuera de línea.
Si el ransomware ataca, tener múltiples copias de seguridad también lo ayudará a recuperar sus sistemas.
7. Haga que el recurso sea compatible con PCI
Tener certeza absoluta sobre esto es fundamental. A pesar de sus limitaciones, esta medida puede prevenir una gran cantidad de fraude.
8. Crea una conexión segura
Use una VPN para trabajar desde casa o en lugares públicos. Esto ayudará a evitar que la información salga a la luz y lo protegerá de las personas que quieren hacerle daño. VPN es una pieza de software que le permite cambiar su dirección IP. Entonces, ahora es seguro usar Internet.
9. Instale un firewall de aplicaciones web
Entre la conexión de datos y el servidor del sitio, es un servicio en la nube. Todo el tráfico que entra pasa por este punto. Esto le permite a WAF realizar un seguimiento del tráfico no deseado y detener los intentos de piratería.
Otras amenazas a tener en cuenta
Además de los ataques de phishing más comunes, los sitios web comerciales necesitan protegerse de otras amenazas que van en aumento. Hay muchas amenazas en el mundo del malware, pero es especialmente importante conocer las siguientes dos. Dado que estas amenazas aún son bastante nuevas y la mayoría de las empresas no las conocen, no están bien protegidas.
1. Bots maliciosos
El uso de bots maliciosos es una forma bastante nueva de atacar. Estos bots se propagan y están hechos para realizar ciertas acciones o tareas. Primero, rastrean el sitio. En el proceso, se encuentran agujeros en la seguridad. Luego, la información se envía al maestro del bot o se usa para hacer algo específico.
Por lo tanto, la seguridad de su sitio puede estar en riesgo. La mayoría de las veces, los ciberdelincuentes utilizan este tipo de ataques para ganar dinero. Pueden robarle a sus clientes y venderlos a la competencia, o pueden chantajearlo para que no le diga a nadie a cambio de una suma global.
Hay muchos de este tipo de ataques, y no hay una sola forma de detenerlos o detenerlos. Por lo tanto, es mejor tener un experto técnico independiente en el personal cuyo trabajo sea mantener su sitio seguro. Si hay un ataque, podrá responder rápidamente al mal comportamiento y limitar el daño.
2. Ataques a sitios web y programas mediante inyección MySQL
Entrar en la base de datos es el objetivo principal de este ataque. Los estafadores buscan agujeros en el back-end de un sitio web o aplicación web y ejecutan código malicioso a través de ellos. La segunda parte es parte de la solicitud. Después de hacer esto, el estafador no solo ingresa a la base de datos del objetivo, sino que también tiene control total sobre ella.
La mayoría de las veces, hay tres formas de penetrar:
- Errores en el sitio web para comercio electrónico;
- Agujeros de seguridad en el código de usuario;
- Errores en módulos de terceros.
Para protegerse contra este tipo de ataque de manera confiable, debe vigilar de cerca el servidor SQL. Esto le ayudará a detectar errores lo antes posible.
Quick Links:
- No te dejes enganchar por el phishing
- Riesgos de seguridad del trabajo remoto más comunes: riesgos y consejos de seguridad del trabajo remoto
- Revisión de LastPass: características y precios (¿Es confiable LastPass?)
- Privacidad en línea: 5 formas de proteger su identidad digital
Conclusión: lo que puede hacer para prevenir ataques de phishing 2024
Si ejecuta una pequeñas empresas, no significa que su superficie de ataque sea más pequeña o menos interesante que la de una gran empresa. Recuerde que los ataques de phishing pueden ocurrirle a cualquiera, y nunca debe asumir que no le ocurrirán a usted ni a nadie más en su organización.
Muchos estafadores se están aprovechando de la pandemia actual que está arrasando el mundo. Los intentos de phishing han aumentado un 350 % y están afectando tanto a las empresas como a las personas con la misma fuerza.
Sería útil establecer un plan de protección proactivo que incluya invertir en ciberseguridad y herramientas de protección contra robos y capacitar a los empleados sobre cómo lidiar con el phishing y otros tipos de ataques cibernéticos.
La implementación de medidas de seguridad activas puede ayudar a detener los ataques y reducir las posibilidades de una infracción. Poner un poco más de dinero en seguridad ahora puede ahorrarle dinero y su reputación a largo plazo.
