Los ataques de phishing más comunes en redes sociales

Analistas de Phishfort detallan los ataques de phishing en redes sociales más comunes que tuvieron lugar en 2020. La proliferación de plataformas de redes sociales ha abierto innumerables vectores de ataque para los intentos de phishing. Describimos las mejores prácticas que las empresas con presencia digital pueden aplicar para protegerse contra el phishing en las redes sociales.

TL;DR

  • El phishing en redes sociales se ha convertido en una amenaza legítima para empresas con presencia en línea
  • Las empresas están luchando por identificar y eliminar rápidamente los intentos de phishing en redes sociales dada la gran cantidad de plataformas disponibles actualmente para los atacantes.
  • Los ataques comunes de phishing en redes sociales incluyen a los atacantes que se hacen pasar por una marca, obtienen acceso a datos confidenciales de los clientes y se hacen cargo de una cuenta.
  • Una combinación de tecnología sofisticada y analistas capacitados es actualmente la forma más efectiva de protegerse contra los intentos de phishing en redes sociales.

Phishing en redes sociales

Desde 1909, BP había estado construyendo su negocio y su marca hasta convertirse en un gigante mundial del petróleo y el gas. El desastre golpeó a la compañía en 2010 cuando explotó una plataforma petrolífera que BP estaba alquilando y provocó el mayor derrame de petróleo en la historia de Estados Unidos.

En medio del caos, una cuenta de Twitter satírica con el nombre de usuario @BPGlobalPR logró ganar el doble de seguidores que la cuenta de Twitter corporativa oficial de BP. La cuenta falsa de Twitter causó revuelo en los medios internacionales, dañando aún más la marca de BP en un momento en el que comunicarse eficazmente con el público era crucial.

La historia de BP destaca la asimetría entre el tiempo y el esfuerzo necesarios para construir una marca y la facilidad con la que un atacante puede poner esa marca en riesgo. Con solo una dirección de correo electrónico, un atacante puede hacerse pasar por una marca comercial e incluso entablar comunicación con los clientes de la marca.

Las consecuencias del phishing en redes sociales pueden ir mucho más allá de la simple sátira. El phishing en redes sociales puede hacer que los atacantes obtengan acceso a datos confidenciales de los clientes y ejecuten ataques prolongados contra la marca de una empresa.

Sin embargo, con los equipos de seguridad sobrecargados con posibles ataques de phishing en una variedad de plataformas de redes sociales, la solución para hacer frente de manera efectiva a dichos ataques no es sencilla. En este artículo, analizamos qué es exactamente un ataque de phishing en redes sociales. También detallamos cuáles son los tipos más comunes de ataques de phishing en las redes sociales y el mejor enfoque para abordar tales amenazas


¿Qué es el phishing en redes sociales?

La característica principal de un ataque de phishing en redes sociales es, justamente, que la víctima es atacada a través de una plataforma de redes sociales. Sin embargo, el phishing en redes sociales puede adoptar una variedad de formas.

Los ataques normalmente se centran en usuarios que ya conocen la marca objetivo, lo que los convierte en algo parecido a spear-phishing, en los que los ataques están diseñados para personas específicas en función de algún conocimiento de sus intereses, comportamientos o creencias.

Los ataques a menudo se realizan falsificando una cuenta existente, como usar @AcmeOfficial para apuntar a los usuarios que siguen a @Acme. Los atacantes también intentarán ocasionalmente comprometer una cuenta legítima de redes sociales para usarla para comunicarse directamente con sus usuarios, destacando la importancia de proteger adecuadamente las cuentas de redes sociales.

Dada la abundancia de información personal y la popularidad de las redes sociales, no se debe subestimar el impacto de los ataques de phishing en redes sociales. En marzo de 2017, piratas informáticos rusos lanzaron un sofisticado ataque contra profesionales del Departamento de Defensa de EE. UU.

Se enviaron más de 10.000 mensajes de Twitter que contenían un enlace con información adaptada a los intereses de las personas. Cada enlace contenía malware que permitía a los piratas informáticos tomar el control del dispositivo de las víctimas.

Ataques de phishing más comunes en redes sociales

La naturaleza del mundo en línea significa que atacantes pueden apuntar a su negocio en una variedad de plataformas y en una variedad de formas. Estos son algunos de los ataques típicos de phishing en las redes sociales que pueden lanzar contra su empresa.


Ataques de suplantación de identidad

La suplantación de identidad puede ser un atacante que se hace pasar por su marca o una persona en su negocio. Tal ataque puede ser extremadamente sencillo de llevar a cabo, como el caso de BP.

Las barreras de entrada son bajas, pero el ataque tiene el potencial de dañar gravemente su marca. Estas cuentas falsas a menudo se pueden establecer en plataformas donde la empresa no está presente.

Supongamos que su empresa tiene una gran presencia en Facebook pero no se centra en Twitter. Esto deja un espacio para que un atacante se haga pasar por su empresa en Twitter. Será creíble para los usuarios dado que no existe una cuenta oficial.

Robo de credenciales

Si bien la suplantación de identidad implica una cuenta falsa, el robo de credenciales es donde un atacante obtiene acceso a la cuenta legítima de redes sociales de la empresa. El robo de credenciales puede ser mucho más grave, ya que el atacante puede actuar con la cuenta oficial de la empresa hasta que se marque y se solucione el problema.

Esto permite a los atacantes comunicarse con los clientes. Cuando y si se resuelve el problema, la empresa objetivo se enfrenta a una batalla larga y cuesta arriba para restaurar la confianza con sus clientes y usuarios.

En muchos casos, el atacante puede obtener acceso a varias otras cuentas a través de "ataques de reutilización de contraseñas" mediante los cuales se accede a otras cuentas utilizando una contraseña idéntica o similar. Un atacante puede incluso cambiar la contraseña de la cuenta de red social si también puede acceder a la dirección de correo electrónico asociada con la cuenta.

Un método común para obtener credenciales es un sitio web típico de phishing que engaña a los usuarios para que ingresen detalles confidenciales en una plataforma de redes sociales falsa que refleja la legítima. Ser cauteloso con las URL enviadas a la fuerza laboral es importante para prevenir tales ataques, particularmente en organizaciones grandes donde solo se necesita un empleado para hacer clic en una URL falsa e ingresar credenciales.


Phishing de atención al cliente

Cuando se enfrenta un problema con un producto o servicio, comunicarse con el servicio de atención al cliente puede ser estresante. A menudo puede ser un rompecabezas tratar de encontrar dónde está la información de contacto de soporte al cliente de contacto.

Los clientes no quieren perder tiempo innecesario en un producto o servicio que está causando problemas. El phishing de soporte al cliente es una forma de phishing particularmente peligrosa y sutil que está bien posicionada para aprovechar esto.

Es posible que los clientes en estado de frustración no se tomen el tiempo para verificar que se hayan comunicado con un agente legítimo de atención al cliente. Los analistas de Phishfort se encuentran habitualmente con este tipo de casos cuando se trata de phishing en redes sociales.

Los perfiles de soporte al cliente falsos pueden estar abiertos a mensajes directos de los clientes y también pueden incluir números de teléfono y direcciones de correo electrónico de soporte al cliente falsos. Si un cliente se comunica con el número de teléfono o la dirección de correo electrónico que figura en la lista, también se vuelve vulnerable a futuros ataques dado que comparte su propia dirección de correo electrónico o número de teléfono con el atacante.


Volcados y violaciones de datos

Los atacantes que pueden acceder a la cuenta de redes sociales de una empresa a menudo obtienen acceso a datos confidenciales de los clientes. Existen mercados en línea en la web oscura para la compra y venta de dichos datos.

Algunas empresas han sufrido que un atacante ofrezca conjuntos de datos en un foro o en otro lugar en línea. Estos incidentes exponen los datos de los clientes a toda la web y dañan la confianza que las empresas han creado con sus usuarios.

No crea que las grandes empresas son inmunes a este tipo de incidentes porque pueden tener equipos de seguridad más grandes y mejores prácticas de seguridad. ¡LinkedIn sufrió un volcado de datos recientemente en 2016!


Software malicioso y suplantación de identidad dirigida

Las redes sociales han cambiado el panorama de la mensajería. Se pueden enviar mensajes prácticamente ilimitados en una variedad de plataformas desde cualquier lugar del mundo.

Estas capacidades han reducido la fricción para que los atacantes envíen enlaces que contienen malware. El resultado de que las víctimas hagan clic en dichos enlaces puede variar y algunos permiten que el atacante tome el control del dispositivo de la víctima.

¿Qué soluciones existen para el phishing en redes sociales?

La respuesta típica de las organizaciones para hacer frente a estos ataques de phishing en las redes sociales es gestionar la amenaza de seguridad internamente. Sin embargo, los equipos de seguridad están inundados de posibles señales de alerta.

La gran cantidad de plataformas disponibles para los atacantes de redes sociales ha hecho que sea casi imposible para los equipos de seguridad internos administrar la gran cantidad de incidentes marcados. Incluso si los equipos internos tienen los recursos para examinar cada caso, abordarlo de manera rápida y eficaz es otro desafío importante.

La historia de BP marcó cómo un ataque de spear-phishing puede salirse de control si no se aborda temprano. La cuenta falsa de BP logró generar el doble de seguidores que la cuenta legítima de redes sociales.

Además, en los casos en que un atacante se haya apoderado de la cuenta de redes sociales de una empresa, es probable que tenga correspondencia continua con los clientes. Los intentos de phishing en las redes sociales deben marcarse y abordarse antes de que puedan llegar a esta etapa. Si logran avanzar a esta etapa avanzada, deben ser atendidos con urgencia.

Una forma eficaz de gestionar el riesgo de phishing en las redes sociales es implementar tecnología diseñada para filtrar los ataques legítimos de phishing en las redes sociales de las banderas de falsos positivos. Phishfort combina dicha tecnología con analistas de seguridad capacitados para lidiar de manera rápida y efectiva con cualquier ataque de phishing que surja en redes sociales.

Nuestro servicio anti-phishing en redes sociales cubre una amplia gama de plataformas de redes sociales. Para obtener más información, consulte nuestra página de servicio de protección contra phishing en redes sociales.

Para los usuarios de criptografía, recomendamos instalar nuestra extensión de navegador Protect que ayuda a protegerse contra ataques comunes.

Con las redes sociales convirtiéndose en una parte cada vez más frecuente de la vida cotidiana, prevemos que la incidencia de ataques de phishing en las redes sociales continúe aumentando. Si su empresa ha pasado años construyendo una marca confiable y respetable, simplemente no vale la pena arriesgar esa reputación ganada con tanto esfuerzo al no protegerse contra el phishing en redes sociales.


Consultas? Comuníquese en Twitter o Telegram. Suscríbase a nuestra fuente RSS para recibir nuestras últimas actualizaciones.









No se pierda Nuestras Historias