Phishing: ataques basados en impulso

El phishing ataca la naturaleza humana en lugar de las debilidades técnicas de seguridad. Los atacantes usan correos electrónicos, SMS (smishing), mensajes de redes sociales y otros medios de comunicación masiva, a menudo enviando miles de correos idénticos o ligeramente personalizados, con la esperanza de obtener aunque sea la tasa de clics más pequeña. Las interacciones de un solo toque son la norma: haz clic aquí, ingresa tus credenciales ahí, descarga esto. Listo.

Ejemplos clásicos de phishing incluyen:

• Correos falsos de restablecimiento de contraseña de "TI" 

• Notificaciones de envío falsas con enlaces de seguimiento maliciosos

• Mensajes urgentes de cuenta suspendida

• Correos de facturas con archivos adjuntos cargados de malware

Los atacantes no necesitan saber mucho sobre ti. Las tácticas genéricas de presión social funcionan bien cuando se dirigen a miles de personas. Una sola página falsa de inicio de sesión de Microsoft puede recolectar más de 100 credenciales en un par de horas, si está bien redactada, sin necesidad de juego de roles, pretexto ni otra manipulación emocional.

Pretexting: cómo te arrastran a una interacción de ida y vuelta

Para un análisis detallado de los fundamentos del pretexting, consulta nuestra guía: Qué es el pretexting en ciberseguridad.

El pretexting requiere una narrativa sólida (el "pretexto") y roles específicos para engañar a las víctimas. Los atacantes investigan a sus objetivos, empresas y estructuras organizacionales para crear escenarios creíbles que convencen a las víctimas de entregar credenciales, información de transferencias bancarias y datos sensibles. 

Estos ataques son abrumadoramente de motivación financiera, el 95% según Verizon, y el pretexting/BEC representa entre el 24% y el 25% de los incidentes de motivación financiera en los últimos dos años. El pretexting casi siempre implica múltiples interacciones:

Día 1: Llamada de alguien que dice representar a un proveedor de beneficios, mencionando tu departamento o gerente.

Día 2: Un correo de seguimiento te pide confirmar tu número de empleado.

Día 3: Una llamada de vuelta solicita tu inicio de sesión del sistema para "vincular cuentas".

Compara esto con el phishing: un correo, un enlace malicioso, una página de robo de credenciales. Todo el ciclo del ataque ocurre en menos de cinco minutos. De hecho, la mediana de tiempo para caer en el phishing es menor a 60 segundos, con 21 segundos para hacer clic y 28 segundos para ingresar credenciales. El pretexting toma días y múltiples puntos de contacto, cada uno construido sobre el anterior.  

Múltiples contactos vs. un solo contacto: en qué se diferencian los ataques

Ataques de phishing

• Saludos genéricos ("Cliente") en lugar de tu nombre

• Direcciones de remitente sospechosas (amaz0n.com, no amazon.com)

• Lenguaje urgente para que actúes sin pensar

• Archivos adjuntos o enlaces inesperados

• Errores gramaticales y redacción extraña (aunque la IA hace que esto sea cada vez menos común)

Ataques de pretexting

• Solicitudes fuera de canal (TI pidiendo tu contraseña por teléfono)

• Horarios inusuales (llamadas sobre problemas "urgentes" fuera de horario laboral)

• Aclaraciones del tipo "No puedo compartir detalles por correo"

• Resistencia a los procedimientos de verificación estándar

• Conocimiento de detalles internos de la empresa para generar credibilidad

• Solicitudes que evitan los procesos normales de aprobación

Verificación por devolución de llamada

Si recibes una llamada de alguien que dice ser de TI, de tu banco o de cualquier otra empresa, cuelga y vuelve a llamar usando un número verificado, no el que te dieron.

Procesos de doble aprobación

Las funciones críticas, como transferencias bancarias, restablecimiento de contraseñas o cambios de acceso, requieren doble aprobación. Esto protege tanto contra pretexting como contra phishing.

Capacitación basada en escenarios

Los empleados deben reconocer tanto las señales de alerta instantáneas de un correo de phishing como las tácticas de manipulación lenta del pretexting. La capacitación basada en escenarios regular ayuda a interiorizar una mentalidad de "pausa y verifica". Esto importa porque los humanos contribuyen al 68 % de las brechas.

Ataques de phishing de alto perfil

En julio de 2020, los atacantes hicieron phishing con éxito a empleados de Twitter para obtener acceso a sistemas internos, y luego secuestraron cuentas de alto perfil, incluidas las de Barack Obama, Elon Musk, Joe Biden y la cuenta corporativa de Apple Inc. Publicaron mensajes de la estafa de Bitcoin a millones de seguidores, aunque solo recolectaron alrededor de $117.000.

Incidentes devastadores de pretexting

MGM Resorts (2023): El grupo Scattered Spider llamó a la mesa de ayuda de TI de MGM, se hizo pasar por un empleado usando información de LinkedIn y convenció al personal de restablecer credenciales. El ataque, que duró 10 días, le costó a MGM $100 millones en ingresos perdidos mientras las máquinas tragamonedas quedaban fuera de línea, las llaves digitales de las habitaciones dejaban de funcionar y las operaciones del hotel volvían a hacerse con lápiz y papel. Ningún correo malicioso. Ningún archivo adjunto. Solo una llamada telefónica muy convincente.

Caesars Entertainment (2023): Cuando el mismo grupo atacó a Caesars, la empresa eligió un camino distinto al de MGM. Los atacantes usaron ingeniería social contra un proveedor de TI subcontratado para acceder a la base de datos del programa de lealtad, que contenía números de seguro social y licencias de conducir. Caesars pagó un rescate de $15 millones (negociado a la baja desde $30 millones) para evitar la divulgación de los datos. El ataque comenzó semanas antes que el de MGM, lo que demuestra que quienes usan pretexting suelen estudiar varios objetivos a la vez.

Algunos llaman al pretexting "pretexing", "ingeniería social mediante suplantación", o un "truco de confianza" moderno. Algunos en la industria también lo llaman "llamada con pretexto" cuando se hace por teléfono. Con la clonación de voz por IA y los deepfakes, los pretexters ahora cuentan con herramientas que hacen la suplantación mucho más convincente y difícil de detectar.

¿Tienes curiosidad por otros tipos de phishing? Te lo explicamos en nuestra guía.

Estafas centradas en pretexting:

• Estafas de soporte técnico (falso personal de TI)

• Suplantación del IRS/gobierno (amenazas de arresto) 

• Estafas románticas (relaciones falsas antes de pedir dinero)

• Estafas de ofertas de empleo (cobros falsos de reclutamiento por "verificaciones de antecedentes" o "materiales de capacitación")

• Estafas a abuelos (explotación de adultos mayores)

Estafas dominadas por phishing:

• Estafas de actualización de cuenta (mensajes bancarios falsos)

• Compromiso de correo empresarial (combina ambas tácticas)

• Estafas de criptomoneda (oportunidades de inversión falsas)

Ambas tácticas son ilegales según la ley federal. La Ley Gramm-Leach-Bliley (1999) convierte en delito federal usar pretexting para obtener información financiera personal bajo falsos pretextos. El Congreso aprobó la Ley de Registros Telefónicos y Protección de la Privacidad (2006) en respuesta al escándalo de pretexting de Hewlett-Packard, que penaliza la obtención de registros telefónicos mediante engaño.

Los reguladores pueden sancionar a las organizaciones que carecen de controles de seguridad adecuados, mientras que los atacantes enfrentan cargos penales, incluidos fraude electrónico, robo de identidad y fraude informático, con sanciones que van desde multas considerables hasta décadas de prisión. 

¿Cuál es la diferencia entre phishing y pharming? El pharming es el pariente técnico del phishing y el pretexting dentro de la familia de la ingeniería social. El secuestro de DNS o la manipulación de archivos de resolución de nombres redirige a los usuarios de sitios web legítimos hacia sitios controlados por el atacante, incluso si escriben la URL correcta. Requiere más habilidad técnica que el pretexting o el phishing, pero menos manipulación emocional.

Entender la diferencia entre pretexting y phishing es el primer paso. ¿El segundo? Contar con detección centrada en identidad cuando las credenciales se ven comprometidas.

Los humanos tienen días malos y los atacantes mejoran. Cuando eso ocurre, necesitas Huntress Managed ITDR (Identity Threat Detection and Response). Combinado con Managed Security Awareness Training (SAT), Huntress aporta una defensa por capas a la brecha de identidad. Nuestra capacitación previene el robo de credenciales, y nuestro Managed ITDR detecta cuando los atacantes intentan usar esas credenciales robadas.

Descubre cómo Huntress detiene el pretexting y el phishing con SAT e ITDR administrados.