Ataques de spear phishing contra el sector educativo

Barracuda Networks evaluó 3,5 millones de ataques de spear phishing dirigidos al sector educativo. El resultado: las instituciones educativas son dos veces más vulnerables a los ataques BEC que otras organizaciones.

Debido al desarrollo dinámico de la pandemia, muchas escuelas y universidades todavía dependen en gran medida de la comunicación por correo electrónico para mantener actualizados a los profesores, alumnos y estudiantes sobre la situación actual. Los piratas informáticos están explotando esta situación dirigiéndose cada vez más a las instituciones educativas con ataques de phishing selectivo. Aquí hay una mirada más cercana a los métodos de los ciberdelincuentes y las mejores prácticas que las organizaciones educativas pueden usar para protegerse contra los ataques.

Ataques cuidadosamente elaborados

De junio a septiembre de 2020, Barracuda evaluó más de 3,5 millones de ataques de spear phishing en EMEA, EE. UU. y APAC, incluidos ataques a más de 1.000 instituciones educativas, como escuelas, institutos y universidades. El estudio encontró que las organizaciones en el sector de la educación tienen más del doble de probabilidades de ser blanco de ataques BEC (Business Email Compromise) que otras organizaciones. Más de uno de cada cuatro ataques de spear phishing dirigidos a la educación fue un ataque BEC cuidadosamente diseñado.

dirigido al sector de la educación

Los proveedores de correo electrónico conocidos como Gmail son fáciles de registrar, gratuitos y confiables para los destinatarios, lo que los convierte en una herramienta popular para los atacantes. Según el análisis, los ciberdelincuentes utilizaron cuentas de Gmail en el 86 por ciento de todos los ataques BEC dirigidos a la educación. También personalizaron las direcciones de correo electrónico con términos como "director" o "escuela" para hacerlos más persuasivos. También diseñaron líneas de asunto específicas para transmitir una sensación de urgencia: en particular, hubo una cantidad significativa de ataques que abusaron de COVID-19 como tema. Los delincuentes también programaron sus ataques: en julio y agosto, cuando las escuelas estaban cerradas durante las vacaciones de verano, hubo una caída significativa del 10 al 14 por ciento en los ataques de phishing dirigidos al sector de la educación. En septiembre, el número de ataques volvió a aumentar significativamente.

La naturaleza de los ataques contra las escuelas durante las vacaciones de verano también cambió. En julio y agosto, los ciberdelincuentes se centraron en las estafas por correo electrónico que son menos específicas y, a menudo, se envían de forma masiva. Por el contrario, los ataques dirigidos como el phishing, incluida la suplantación de identidad de marca, en los que se suplanta a una empresa o marca de confianza para engañar a las víctimas para que revelen información personal o confidencial, aumentaron durante el año escolar. En junio y septiembre, este tipo de ataques representaron casi la mitad de todas las amenazas de spear phishing contra las escuelas (47 y 48 por ciento, respectivamente).

Uso indebido de cuentas de correo electrónico secuestradas para ataques

El estudio también analizó correos electrónicos maliciosos enviados desde cuentas internas potencialmente comprometidas. En todas las industrias, la proporción de correos electrónicos maliciosos enviados fue del 25 por ciento. En el sector de la educación, el porcentaje de correos electrónicos maliciosos enviados fue significativamente mayor, con un 57 %: los ciberdelincuentes hicieron un uso indebido masivo de las cuentas secuestradas en el sector de la educación para realizar nuevos ataques. Estas cuentas son especialmente valiosas para los atacantes porque los mensajes de estos remitentes suelen ser de gran confianza. Surgieron algunas campañas a gran escala, utilizando cuentas de correo electrónico educativas para enviar tantos ataques como fuera posible hasta que se descubrió y detuvo la actividad.

Cómo pueden protegerse las instituciones educativas

1. Protección contra ataques de phishing dirigidos: El sector de la educación se ve afectado de manera desproporcionada por los ataques de ingeniería social, como la suplantación de identidad de marca y BEC. Los ciberdelincuentes saben que las organizaciones educativas no siempre cuentan con el mismo nivel de seguridad que otras organizaciones y se aprovechan de ello. Por lo tanto, las instituciones educativas deben prestar especial atención a la seguridad del correo electrónico. Una solución de seguridad sólida debe usar inteligencia artificial para identificar remitentes y solicitudes sospechosas. Esta capa adicional de defensa sobre las puertas de enlace de correo electrónico tradicionales brinda una protección significativa contra los ataques de phishing selectivo.

2. Protección contra la usurpación de cuenta: Las instituciones educativas son más vulnerables a los ataques de apropiación de cuentas que las organizaciones regulares porque muchas escuelas y universidades no cuentan con las herramientas y los recursos necesarios para protegerse de esta amenaza. Por lo tanto, tiene sentido invertir en una tecnología que permita detectar actividades sospechosas y posibles signos de una cuenta secuestrada.

3. Mayor reconocimiento: Los usuarios son la última línea de defensa. Es por eso que necesitan ser educados sobre las amenazas de correo electrónico que enfrentan las instituciones educativas en la actualidad. Se debe garantizar que tanto el personal como los estudiantes estén al tanto de los ataques y sepan cómo denunciarlos.

4. Políticas de Seguridad Interna: Todas las organizaciones, incluidas las instituciones educativas, deben establecer y revisar periódicamente políticas para el manejo adecuado de la información personal y financiera. Deben existir procedimientos para confirmar todas las solicitudes por correo electrónico de transferencias y cambios de pago para evitar errores costosos por parte del personal. Se debe buscar la confirmación y/o aprobación de varias personas en persona o por teléfono para todas las transacciones financieras.

A medida que las instituciones educativas continúan dependiendo más de las comunicaciones digitales en el futuro previsible, los ataques de phishing dirigido por ciberdelincuentes siguen siendo una amenaza constante. Sin embargo, con las medidas anteriores, las organizaciones del sector educativo pueden reducir significativamente los riesgos de un ataque.

[ID de starbox = 5]

 

Artículos relacionados con el tema