Al principio, los ataques de phishing solían ser muy simples y utilizaban fuentes legítimas de comunicación escrita, como el correo electrónico, para obtener acceso a datos confidenciales.
En la era de la IA, resulta tentador considerar cómo los atacantes están modernizando sus métodos de phishing. Con la creciente popularidad de las herramientas GenAI, los ataques de phishing basados en voz (también conocidos como “vishing”) se han convertido en la nueva norma y la evolución de los métodos de ataque continúa.
El phishing como trampolín
Para comprender la importancia del phishing en la industria del malware, es útil observar la anatomía de un ataque. Generalmente son los ataques exitosos de ransomware los que reciben toda la atención de los medios. Sin embargo, la colocación exitosa de troyanos de chantaje ya es el final de un ciclo de infección que conduce a las temidas demandas de rescate o pérdida de datos. La fase de preparación de un ataque de este tipo está mucho menos en el centro de atención, aunque la estrategia defensiva ya debería comenzar aquí. En la fase de exploración de víctimas, los métodos modernos de phishing desempeñan un papel importante al que las organizaciones de TI deben responder.
Los mecanismos de phishing desempeñan un papel cuando los actores de malware determinan la superficie de ataque de una organización. El foco de interés suele ser los datos de acceso personal o la colocación de malware de día cero para obtener acceso a un sistema. Dado que los atacantes también confían en la tendencia de la IA para sus maniobras engañosas, las organizaciones deben fortalecer sus mecanismos de defensa, por ejemplo utilizando técnicas modernas de análisis de malware basadas en el comportamiento.
Ataques de phishing personalizados
La gama de cebos para víctimas ha evolucionado desde simples estafas por correo electrónico dirigidas a un público masivo hasta ataques personalizados. A medida que ha aumentado el conocimiento de las campañas de phishing tradicionales a través de la capacitación, los adversarios han descubierto nuevos canales y técnicas. En consecuencia, las llamadas telefónicas falsas y el vishing han aumentado recientemente. La voz real de un gerente se imita mediante una herramienta de clonación de voz con IA. Estas herramientas primero definen las características de una voz humana y luego utilizan inteligencia artificial para entrenar al sistema para que imite perfectamente esa voz al recitar varios mensajes. En combinación con las técnicas de phishing convencionales, cada vez resulta más difícil reconocer voces imitadas, es decir, las llamadas voces falsas.
Además de la clonación de voz, se introducirá otro método de phishing. “Quishing” implica enviar un código QR por correo electrónico con un enlace malicioso oculto detrás de la imagen. Este método dificulta la detección del código malicioso porque las herramientas de seguridad a menudo no son efectivas. Esto aumenta el riesgo, especialmente para los empleados con teléfonos móviles privados que no están suficientemente protegidos. Para mantenerse al día con estos avances en las técnicas de phishing, se recomienda una mentalidad de confianza cero. No sólo como solución de seguridad técnica, sino también a nivel humano. La fuerza laboral debe demostrar una sana sospecha ante comunicaciones inusuales, contenido o remitentes desconocidos para evitar que se ejecuten amenazas ocultas.
La confianza es buena, el control es mejor
Por supuesto, además de las defensas humanas, las estrategias de ciberseguridad también deben adaptarse para hacer frente a la creciente amenaza del phishing moderno y proteger la información confidencial. Sin embargo, hoy en día los empleados confían demasiado en las soluciones de seguridad disponibles y no son lo suficientemente cuidadosos cuando tratan con comunicaciones sospechosas. Siempre se debe cuestionar una llamada telefónica de alguien que cree conocer pero que hace solicitudes inusuales o inesperadas. Antes de que los empleados actúen en tal situación, se recomienda precaución. En caso de duda, una devolución de llamada garantiza que se aclare la situación extraña y se autentique a la persona que llama, asegurando así información valiosa.
Dado que la interacción cara a cara para la verificación no siempre es posible en el entorno de trabajo híbrido actual, se recomienda elegir un canal diferente para verificar las comunicaciones recibidas. Por ejemplo, si sospecha de una llamada de vishing a través de WhatsApp, es recomendable asegurarse de que la persona que llama es quien dice ser mediante una llamada de teléfono móvil, un mensaje de Slack o un correo electrónico. Para evitar compromisos, los empleados también deben asegurarse de no compartir nunca información personal o contraseñas por teléfono o por correo electrónico si así se les solicita. Hay que transmitir una cosa a los trabajadores: no es necesario utilizar internamente la contraseña de otro empleado para acceder a datos o recursos del sistema. Incluso con tal solicitud, deberían sonar las alarmas antes de que se transmitan datos confidenciales.
Mas atencion
Dado que el phishing suele ser sólo el comienzo de una cadena de compromisos, esta táctica de ingeniería social debería recibir más atención, y no sólo en el Día de la Protección de Datos. Las empresas deben armarse contra las nuevas opciones de ataque basadas en IA, ya que esto eleva los ataques a un nuevo nivel de peligro. Al abordar este desafío, las empresas pueden fomentar una cultura de ciberseguridad más resiliente y proteger eficazmente los datos confidenciales.
El credo debería ser llevar una mentalidad de confianza cero al nivel humano. Esto significa que la fuerza laboral debe estar capacitada para no confiar implícitamente en una fuente de información, sino para verificarla siempre a través de otro medio. Esto será aún más importante ya que la IA desempeñará un papel importante en las campañas de desinformación y desinformación en el futuro.
Más en Zscaler.com
Acerca de Zscaler Zscaler acelera la transformación digital para que los clientes puedan volverse más ágiles, eficientes, resilientes y seguros. Zscaler Zero Trust Exchange protege a miles de clientes de ataques cibernéticos y pérdida de datos al conectar personas, dispositivos y aplicaciones de forma segura en cualquier lugar. Zero Trust Exchange basado en SSE es la plataforma de seguridad en la nube en línea más grande del mundo, distribuida en más de 150 centros de datos en todo el mundo.
Artículos relacionados con el tema