Imagine que consulta su correo electrónico una mañana, como hace habitualmente. Pero espere, aparece algo inusual.
No es el típico correo electrónico: es como si le hubieran jugado una mala pasada.
Bienvenido al mundo de los «ataques balleneros», un tipo de artimaña cibernética tan seria como furtiva.
No se preocupe; no estamos hablando de una ballena de verdad atacando su ordenador 😅
Los ataques balleneros son ciberataques muy selectivos y astutamente elaborados que pretenden enganchar a los peces gordos (los ejecutivos de alto nivel y los responsables de la toma de decisiones) de una empresa.
En este artículo, vamos a hablar de estos ataques balleneros de forma sencilla para que pueda entender cómo funcionan y por qué son un gran problema.
También compartiremos consejos sobre cómo mantenerse a salvo de estos trucos.
Empecemos
¿Qué es un ataque ballenero?
Los ataques Whaling son un tipo particular de ciberataque que tiene como objetivo a personas de alto rango en una organización, como el director general y otros altos ejecutivos.
El objetivo principal de un ataque Whaling es engañar a estos ejecutivos para que tomen medidas que puedan comprometer información sensible de la empresa o activos financieros.
Los ataques balleneros son especialmente peligrosos por varias razones.
Objetivos de alto valor
Los ataques whaling se dirigen específicamente a individuos con acceso a información sensible y control sobre sistemas importantes. Estos individuos suelen tener las llaves de los activos más valiosos de una organización, lo que los convierte en objetivos de alto valor para los ciberdelincuentes.
Comunicación de confianza
Los correos electrónicos de los ciberdelincuentes suelen hacerse pasar por fuentes de confianza, como compañeros de trabajo. Pueden parecer proceder de dentro de la organización o de contactos externos conocidos.
Este uso de la confianza y la familiaridad aumenta la probabilidad de que el objetivo se comprometa con el contenido malicioso.
Detección limitada
Algunos filtros de seguridad de correo electrónico y software antivirus pueden tener dificultades para detectar los ataques whaling debido a su alto nivel de personalización.
Estos ataques suelen eludir las medidas de seguridad estándar, lo que hace que sean difíciles de identificar utilizando únicamente herramientas automatizadas.
Consecuencias de los ataques Whaling
Pérdidas financieras
Los ataques whaling pueden provocar importantes pérdidas financieras, como el acceso no autorizado a cuentas financieras y el robo de información financiera confidencial.
Infracciones de datos
Los ataques whaling exitosos pueden dar lugar a violaciones de datos que exponen información sensible de clientes y empresas.
Daños a la reputación
Un ataque de whaling de alto perfil puede empañar la reputación de una organización erosionando la confianza entre clientes e inversores.
Consecuencias legales
Los ataques balleneros pueden desencadenar acciones legales, especialmente si se infringen las leyes y normativas de protección de datos. Las organizaciones podrían enfrentarse a graves responsabilidades legales.
Perturbación operativa
En ocasiones puede interrumpir las operaciones de una empresa, lo que provoca tiempos de inactividad y afecta a la productividad.
¿Cómo funcionan los ataques balleneros?
Los ataques balleneros se caracterizan por su creatividad y cuidadosa planificación. He aquí un breve resumen de los pasos que se siguen.
Investigación
El primer paso es la identificación de un objetivo de alto valor.
Los ciberdelincuentes realizan una investigación para seleccionar a su víctima que tenga acceso a información valiosa, recursos financieros o autoridad para tomar decisiones dentro de la organización.
Recopilan información completa sobre su objetivo, incluidos detalles personales e historial laboral, a menudo de fuentes disponibles públicamente y de las redes sociales.
Elaboración del cebo
Consiste en crear un correo electrónico altamente convincente y personalizado que parezca proceder de una fuente de confianza. El atacante puede hacerse pasar por un superior o un contacto comercial conocido.
Prestan mucha atención a detalles como los patrones de comunicación e incluso los acontecimientos o proyectos recientes dentro de la organización para que el cebo resulte más convincente.
Ingeniería social
Los ataques balleneros se basan en gran medida en técnicas de ingeniería social para manipular las emociones y la toma de decisiones de la víctima.
El atacante puede explotar desencadenantes psicológicos como la urgencia, el miedo o la curiosidad para inducir al objetivo a realizar una acción específica.
Algunas tácticas comunes son
- Peticiones urgentes: Crear una sensación de urgencia en el correo electrónico, como una petición de acción o ayuda inmediata.
- Miedo a las consecuencias: Amenazar al objetivo con posibles consecuencias negativas como la pérdida del empleo o problemas legales si no cumple la petición.
Explotación
Una vez que el objetivo cae en el cebo y realiza la acción deseada, el atacante obtiene acceso a información valiosa.
Por ejemplo, pueden obtener credenciales de inicio de sesión para acceder a sistemas sensibles y extraer datos confidenciales.
Cubrir las huellas
Los atacantes suelen cubrir sus huellas borrando la correspondencia electrónica u ocultando su presencia en la red para evitar ser detectados.
Esto dificulta que los equipos de seguridad puedan rastrear el ataque hasta su origen.
Cómo prevenir los ataques de ballenas
Ahora, exploremos cómo las organizaciones y sus ejecutivos pueden protegerse contra los ataques balleneros.
#1. Formación y concienciación de los empleados
Eduque regularmente a los empleados (especialmente a los ejecutivos de alto rango) sobre los riesgos de los ataques «whaling» e imparta formación sobre cómo identificar los intentos de phishing.
Asimismo, realice campañas de phishing simuladas dentro de la organización para poner a prueba la capacidad de los empleados para identificar correos electrónicos sospechosos y educarles sobre cómo responder adecuadamente.
#2. Filtrado de correo electrónico
Implemente soluciones avanzadas de filtrado de correo electrónico que puedan detectar y bloquear los correos sospechosos. Estos filtros pueden marcar los correos electrónicos que tienen características comunes a los intentos de phishing, como enlaces sospechosos o patrones de lenguaje indicativos de ingeniería social.
Estos filtros se basan en bases de datos de inteligencia sobre amenazas en tiempo real para adelantarse a la evolución de las técnicas de ataque. Pueden adaptarse rápidamente a las nuevas amenazas y ajustar sus opciones de filtrado en consecuencia.
#3. Autenticación multifactor (MFA)
Utilice la MFA para el acceso a sistemas críticos y datos sensibles. Esta capa adicional de seguridad puede prevenir a los atacantes, incluso si tienen credenciales de acceso.
Por lo general, la MFA se basa en tres categorías de factores de autenticación.
Algo que usted sabe: Se trata normalmente de una contraseña o un PIN que el usuario conoce. Aunque las contraseñas pueden ser vulnerables, siguen siendo uno de los factores de autenticación en la AMF.
Algo que tiene: Esto incluye elementos físicos como un token de seguridad o una tarjeta inteligente. Estos dispositivos generan códigos de un solo uso con fines de autenticación.
Algo que usted es: Los datos biométricos como las huellas dactilares, el reconocimiento facial o los escáneres de retina entran en esta categoría. Los datos biométricos son atributos físicos únicos difíciles de falsificar.
#4. Políticas de contraseñas fuertes
Fomente el uso de contraseñas complejas y únicas, así como su actualización periódica.
Las contraseñas fuertes con combinaciones complejas son mucho más resistentes a los ataques de fuerza bruta, lo que las hace menos susceptibles de ser comprometidas.
También reduce el riesgo de relleno de credenciales.
El relleno decredenciales se produce cuando los atacantes utilizan pares de nombre de usuario-contraseña previamente robados de un servicio para obtener acceso no autorizado a otras cuentas en las que el usuario ha reutilizado las mismas credenciales.
#5. Protocolos de verificación
Establezca procedimientos de verificación estrictos para las acciones sensibles, especialmente las que implican transacciones financieras.
Asegúrese de que los empleados verifican las solicitudes a través de canales de comunicación secundarios, como llamadas telefónicas o reuniones en persona.
Los métodos biométricos también pueden utilizarse para la verificación en determinadas situaciones, principalmente cuando se trata de acceder a zonas de alta seguridad.
#6. Supervise y analice el tráfico de correo electrónico
Supervise continuamente el tráfico de correo electrónico en busca de patrones inusuales. Utilice herramientas de detección de amenazas para identificar posibles amenazas e investigarlas rápidamente.
Los sistemas avanzados de supervisión del correo electrónico utilizan el aprendizaje automático y el análisis del comportamiento para detectar anomalías en el tráfico de correo electrónico.
Las herramientas de supervisión del tráfico de correo electrónico pueden escanear los mensajes entrantes en busca de firmas de malware conocidas e indicadores de phishing. Esto ayuda a evitar que el contenido malicioso llegue a las bandejas de entrada de los usuarios.
#7. Cifrado
Implemente el cifrado para los correos electrónicos y los datos confidenciales, tanto en tránsito como en reposo.
El cifrado garantiza que, aunque un atacante intercepte la comunicación, no pueda descifrar fácilmente el contenido.
Establezca el cifrado de disco completo (FDE) en los dispositivos utilizados por los ejecutivos. Esto garantiza que todos los datos almacenados en estos dispositivos se encripten automáticamente, lo que los protege de robos o pérdidas físicas.
#8. Plan de respuesta a incidentes
Desarrolle un buen plan de respuesta a incidentes que describa los pasos a seguir en caso de un ataque sospechoso o confirmado. Asegúrese de que todos los empleados conocen este plan y saben cómo informar de los incidentes.
Clasifique los incidentes en función de su gravedad e impacto para priorizar las respuestas. Los ataques balleneros pueden clasificarse como un incidente de alta prioridad.
Implemente alertas automatizadas y herramientas de supervisión que puedan detectar e informar rápidamente sobre accesos inusuales o no autorizados, especialmente relacionados con cuentas de ejecutivos.
#9. Actualizaciones de ciberseguridad
Mantenga todos los sistemas actualizados con los últimos parches de seguridad. El software obsoleto puede ser vulnerable a la explotación.
Las actualizaciones de seguridad no sólo corrigen vulnerabilidades, sino que también introducen nuevas funciones y mejoras de seguridad.
Los sistemas automatizados de gestión de parches pueden agilizar el proceso de despliegue de actualizaciones en un gran número de sistemas. Esto garantiza que los parches se apliquen rápidamente.
#10. Evaluación de riesgos de los proveedores
Empiece por identificar qué proveedores tienen acceso a los sistemas críticos o a los datos sensibles de su organización. Clasifíquelos en función del nivel de riesgo que supongan.
Los proveedores de alto riesgo pueden tener un amplio acceso a la información sensible, mientras que los de bajo riesgo pueden tener un acceso limitado.
Asegúrese siempre de que los contratos con los proveedores incluyen requisitos específicos de ciberseguridad, como el cifrado de datos y los procedimientos de notificación de incidentes.
#11. Alertas en tiempo real
Configure alertas en tiempo real para actividades sospechosas, como múltiples intentos fallidos de inicio de sesión, para detectar a tiempo posibles ataques.
Implemente un sistema de gestión de eventos e información de seguridad (SIEM) o una solución de supervisión de seguridad dedicada.
Las plataformas SIEM correlacionan los datos de los dispositivos de red y las aplicaciones para activar las alertas.
Considere también la posibilidad de implementar respuestas automatizadas a tipos específicos de amenazas. Por ejemplo, múltiples intentos fallidos de inicio de sesión podrían activar bloqueos temporales de cuentas.
#12. Privacidad de los empleados
Asegúrese de que la información personal de los empleados no esté fácilmente disponible en plataformas públicas o redes sociales, especialmente la de los ejecutivos.
Anímeles a utilizar direcciones de correo electrónico dedicadas para la comunicación relacionada con el trabajo en lugar de cuentas de correo electrónico personales. Esto puede ayudar a separar la información laboral de la personal.
Proporcione formación a los empleados sobre cómo reconocer los intentos de phishing y las tácticas de ingeniería social. Hágales conscientes de cómo los atacantes pueden utilizar la información personal para elaborar mensajes convincentes.
#13. Auditorías de seguridad regulares
Realice auditorías de seguridad y evaluaciones de vulnerabilidad periódicas para abordar las posibles debilidades de la infraestructura de ciberseguridad de su organización.
Seleccione las herramientas adecuadas para llevar a cabo la evaluación de vulnerabilidades. Esto también incluye la revisión de las configuraciones.
Ejemplos de la vida real
Filtración de datos de la nómina de Snapchat (2016)
Los atacantes tuvieron como objetivo el departamento de RRHH de Snapchat en un ataque relámpago. Se hicieron pasar por el director general de la empresa y solicitaron información sobre las nóminas de los empleados. Por desgracia, el departamento de RRHH accedió y los atacantes obtuvieron datos sensibles sobre los empleados de Snapchat.
El ataque ballenero de Mattel (2015)
Un alto ejecutivo de Mattel (el mayor fabricante de juguetes del mundo) recibió un correo electrónico que parecía proceder del nuevo consejero delegado. El correo electrónico solicitaba una transferencia de 3 millones de dólares a un proveedor en China. El ejecutivo siguió las instrucciones y más tarde descubrió que se trataba de una solicitud fraudulenta.
El cofundador de un fondo de cobertura, en el punto de mira a través de Zoom (2020)
El cofundador del fondo de cobertura Levitas Capital, con sede en Australia, fue atacado a través de un enlace falso de Zoom.
El malware se instaló en la red al hacer clic en este enlace engañoso. Los atacantes intentaron robar un total de 8,7 millones de dólares a través de facturas falsas.
Aunque su intento sólo les reportó 800.000 dólares, el daño fue importante. Levitas Capital perdió a su mayor cliente, lo que en última instancia provocó el cierre del fondo de cobertura.
El autor de Note✍️
Para salvaguardar la seguridad de una organización es necesario comprender la mecánica de un ataque «whaling» y aplicar contramedidas contundentes.
La batalla contra los ataques balleneros no puede ganarse únicamente a través de la tecnología y las políticas; también exige una cultura de precaución.
Los líderes y ejecutivos de las empresas deben adoptar una mentalidad de «confiar pero verificar», que se asegure de que las solicitudes de información sensible o transacciones financieras se verifican rigurosamente, incluso cuando parecen urgentes.
Espero que este artículo le haya resultado muy útil para informarse sobre el ataque ballenero y cómo prevenirlo.
Puede que también le interese conocer las mejores herramientas de respuesta a incidentes de seguridad para pequeñas y medianas empresas.