Comprensión de la diferencia entre suplantación de identidad y phishing

Mantenerse alerta ante amenazas a la ciberseguridad, como los ataques de phishing y la suplantación de identidad, es crucial: nadie es inmune. Los ataques de phishing y la suplantación de identidad son similares, pero son dos amenazas de ciberseguridad distintas. Comprender la diferencia entre el phishing y la suplantación de identidad, y los peligros que representan puede aumentar tu consciencia en materia de ciberseguridad y ayudarte a proteger tu negocio.

Suplantación de identidad vs. phishing

Los ataques de suplantación de identidad se asemejan al robo de identidad, mientras que los ataques de phishing intentan robar información confidencial. En particular, un intento de phishing puede comenzar con un ataque de suplantación de identidad. Sin embargo, el phishing nunca es parte de la suplantación de identidad.

Definición de suplantación de identidad

En los ataques de suplantación de identidad (spoofing), los atacantes se disfrazan de fuentes legítimas para ganarse la confianza de la víctima. La intención detrás de un ataque de suplantación de identidad es instalar malware y orquestar más delitos con la información o el acceso obtenidos. Los ataques de suplantación de identidad pueden adoptar muchas formas, incluidas las siguientes:

• Suplantación de correos: el ciberdelincuente crea una dirección de correo electrónico similar a la de un remitente fiable alterando el campo "De" para que coincida con un contacto fiable, o bien imitando el nombre y la dirección de correo electrónico de un contacto conocido.
• Suplantación de dominios o sitios web: el ciberdelincuente crea un sitio web o un dominio de correo electrónico falso, diseñado para hacerse pasar por una empresa o persona conocida.
• Suplantación de IP: el ciberdelincuente altera su dirección IP para ocultar su identidad real o suplantar la de otro usuario mediante la suplantación de IP.
• Suplantación de GPS: el ciberdelincuente altera el GPS de un dispositivo para registrarlo en una ubicación distinta a la ubicación física real del usuario.
• Suplantación de identidad en llamadas: el ciberdelincuente enmascara su número de teléfono empleando otro que le resulta familiar a la víctima; se asemeja al método utilizado en la suplantación de correos.

Definición de phishing

Un ataque de phishing es una estafa en la que un atacante envía mensajes genéricos en cantidades masivas, generalmente por correo electrónico, con la esperanza de que alguien haga clic en enlaces maliciosos. La intención generalmente es robar credenciales o información personal, como tu número de la Seguridad Social. A continuación se describen cuatro de los tipos más comunes de ataques de phishing.

• Phishing selectivo (spear phishing): este intento de phishing ataca a individuos u organizaciones en concreto con comunicación personal, generalmente a través de correos electrónicos maliciosos, con la intención de robar información confidencial.
• Whale phishing: un ataque whaling es un ataque de ingeniería social dirigido específicamente a altos ejecutivos o gerentes sénior en un intento de robar dinero o información, u obtener acceso al dispositivo de la víctima para ejecutar más ciberataques.
• Phishing de voz (vishing): el vishing es un ataque de phishing realizado por teléfono.
• Phishing por SMS (smishing): el smishing se refiere a estafas de phishing realizadas a través de mensajes SMS, generalmente con el objetivo de animar al usuario a visitar un sitio web que lo incite a descargar aplicaciones o contenidos maliciosos.

Diferencias entre la suplantación de identidad y el phishing

Es fácil ver que los ataques de suplantación de identidad y los ataques de phishing son amenazas de ciberseguridad relacionadas pero distintas. Un examen más detallado de las características de cada amenaza aclara sus diferencias.

• Propósito: el objetivo de la suplantación de identidad es suplantar la identidad de alguien, mientras que el de los ataques de phishing es robar información.
• Naturaleza: la suplantación de identidad no se considera fraude porque la dirección de correo electrónico o el número de teléfono de la víctima no se roban, sino que se imitan. Las estafas de phishing son fraudes porque implican el robo de información.
• Método: en un ataque de suplantación de identidad, se instala software malicioso en el equipo de la víctima. Por su parte, los ataques de phishing se llevan a cabo empleando técnicas de ingeniería social.

Peligros de la suplantación de identidad y el phishing

Los peligros de la suplantación de identidad y el phishing son enormes. Como mínimo, son inconvenientes, y en el peor de los casos, provocan pérdidas financieras y otros daños. Familiarizarse con los riesgos de la suplantación de identidad y el phishing es un paso fundamental para tomar en serio estas amenazas a la ciberseguridad.

Riesgos de la suplantación de identidad y el phishing

Los ciberataques, como la suplantación de identidad y el phishing, suelen tener intenciones similares y sus víctimas pueden ser muy diversas, desde usuarios individuales hasta empresas de todos los tamaños o incluso Gobiernos. Ambos ataques tienen como objetivo robar información personal o credenciales de cuentas, extorsionar y pedir dinero, instalar malware o simplemente causar interrupciones. En el caso de las empresas y organizaciones similares, el objetivo del atacante suele ser acceder a recursos confidenciales y valiosos de la entidad, como propiedad intelectual, datos de clientes o información de pago.

Desde una perspectiva empresarial, proteger los recursos digitales de la organización tiene la ventaja obvia de reducir el riesgo de pérdida, robo o destrucción. Además, minimiza la probabilidad de perder el control de los sistemas o la información de la empresa y tener que pagar un rescate para recuperarlo. Al prevenir o corregir rápidamente los ciberataques, la organización también minimiza los posibles efectos negativos sobre las operaciones comerciales.

Peligros relativos de la suplantación de identidad y el phishing

Algunos ataques de suplantación de identidad y phishing son más peligrosos que otros. Algunos ataques son muy llamativos y resulta sencillo detectarlos, pero existen otros más sofisticados cuya detección resulta más complicada. Por ejemplo, los ataques de phishing selectivo son especialmente peligrosos y tienen más probabilidades de engañar a las víctimas potenciales debido a su naturaleza personal. Reconocer cómo las estafas de phishing y suplantación de identidad funcionan en conjunto puede ayudarte a detectar ataques de ciberseguridad reforzados con técnicas complejas. Los ataques de phishing que incluyen suplantación de identidad representan una de las amenazas más peligrosas.

Cómo prevenir y abordar la suplantación de identidad

Protegerse de los intentos de suplantación de identidad es fundamental para un comportamiento responsable en línea. En muchos casos, los ataques de suplantación de identidad son fáciles de detectar y prevenir mediante la concienciación en materia de ciberseguridad. Sigue estos consejos sobre qué hacer y qué no hacer para protegerte de la suplantación de identidad:

• Inicia sesión en las cuentas a través de nuevas pestañas del navegador o aplicaciones oficiales.
• Utiliza un gestor de contraseñas.
• Emplea un filtro de spam para garantizar la seguridad del correo electrónico.
• Invierte en software de ciberseguridad.
• Confirma si ciertos números de teléfono o direcciones de correo inesperados se han asociado con estafas.
• Activa la autenticación bidireccional siempre que sea posible.
• No hagas clic en enlaces no solicitados.
• No descargues archivos adjuntos inesperados.
• No compartas información personal.
• No accedas a URL que no empiecen por HTTPS.
• No inicies sesión en cuentas a través de enlaces en correos o mensajes de texto.

Si sospechas que has recibido un correo electrónico falsificado, verifica la validez del mensaje contactando al remitente mediante otro modo de comunicación; no respondas al correo electrónico sospechoso. Mantente alerta ante cualquier daño adicional y toma medidas para proteger tu información personal.

Cómo prevenir y abordar el phishing

Minimizar el riesgo de ataques de phishing es crucial para la estrategia de ciberseguridad de tu organización. Lleva a cabo una formación de concienciación en materia de seguridad con los empleados para asegurarte de que sepan cómo identificar y denunciar presuntos ataques de phishing. A continuación se presentan algunas estrategias sencillas para contribuir a la defensa contra los distintos tipos de phishing:

• Utilizar software antivirus: las herramientas antimalware escanean los dispositivos para prevenir, detectar y eliminar el malware que accede al sistema mediante una estafa de phishing.
• Emplear un filtro antispam: los filtros antispam mueven automáticamente los correos electrónicos de phishing a tu carpeta de correo basura.
• Actualizar los navegadores y el software: ejecutar la última versión de un navegador web, una aplicación u otro software garantiza que tengas la mejor defensa contra los últimos ataques de phishing.
• Activar la autenticación multifactor (autenticación MFA): incluso si tus credenciales se han visto comprometidas en un ataque de phishing, esta autenticación adicional proporciona una capa extra de defensa y los atacantes no tendrán garantizado el acceso a tu información personal.
• No abrir ni responder a los mensajes fraudulentos: ¡ignora los correos basura! Bórralos sin abrirlos. Responder a correos electrónicos de phishing anima a los atacantes a volver a intentarlo.
• Realizar formación de concienciación sobre seguridad: capacita a los empleados para que sepan reconocer y denunciar los intentos de phishing. Las simulaciones de phishing también permiten a los empleados poner en práctica lo aprendido.
• Comprobar las URL y los archivos: repasa los enlaces, archivos y remitentes para verificar su validez antes de hacer clic en enlaces o descargar archivos.

Si sufres un ataque de phishing, no entres en pánico. Por lo general, simplemente leer un correo de phishing no supone ningún problema. Los ataques de phishing requieren que la víctima haga clic en un enlace malicioso o descargue archivos para poner en marcha la actividad ilícita. Supervisa tus cuentas y tu información personal, y mantente alerta.

Es imposible prevenir los ataques de phishing, pero puedes tener cuidado al utilizar comunicaciones electrónicas y alentar a tus empleados a hacer lo mismo. Si detectas un correo de phishing, también puedes notificarlo al Gobierno estadounidense en: phishing-report@us-cert.gov.

Defensa proactiva contra el phishing y la suplantación de identidad

Implementar una estrategia de defensa proactiva para protegerte y defender a tu organización contra ataques de ciberseguridad es esencial. El equipo de expertos de CrowdStrike supervisa e investiga proactivamente la actividad en tu entorno para asesorarte y garantizar que no se pasan por alto las ciberamenazas.

Adelántate a los adversarios online aprovechando las últimas tecnologías digitales. La plataforma CrowdStrike Falcon® proporciona protección nativa de la nube de nueva generación para los endpoints mediante un único agente ligero y ofrece un conjunto de métodos de detección y prevención complementarios. Consulta más información aquí.