Un ataque de phishing ocurre cuando un atacante se hace pasar por una persona o empresa de confianza para engañarte y lograr que compartas información privada. Tradicionalmente, los ataques de phishing dependían de mensajes escritos. Hoy en día, los estafadores combinan tácticas de correo electrónico, mensajes de texto y llamadas telefónicas para robar información de cualquier forma posible, como explicamos en nuestro resumen de Tradecraft Tuesday “Phishing in the Fast Lane”. Además de los correos electrónicos, dos variantes comunes de phishing son los ataques por voz (vishing) y los ataques por SMS (smishing). 

¿El vishing es una forma de phishing?

El vishing es una forma de phishing que se realiza mediante comunicación por voz.

En los primeros días de los ataques de vishing, los estafadores leían un guion preparado por teléfono. Ahora, los atacantes usan clonación de voz impulsada por IA para imitar voces conocidas, superando así la desconfianza natural de la víctima hacia los desconocidos. Investigaciones recientes muestran que los ataques de vishing han aumentado más de un 400% en los últimos años, a medida que las herramientas de deepfake se han vuelto más fáciles de usar.

Ejemplo de la estafa de phishing

Así es como podría verse la estafa de phishing: 

• Recibes un correo electrónico sobre un “inicio de sesión sospechoso” en tu cuenta bancaria. 

• El correo electrónico contiene un enlace que te pide restablecer tu contraseña.

• Haces clic en él. Para restablecer la contraseña, primero debes ingresar tu contraseña anterior. 

• Recibes un correo electrónico que confirma el cambio. Pero cuando intentas volver a iniciar sesión en tu aplicación bancaria, la nueva contraseña no funciona. 

• Lo que en realidad pasó es que los estafadores robaron tus credenciales de inicio de sesión y ahora tienen acceso a tus cuentas bancarias.

Mira el siguiente video para ver a uno de nuestros asesores de ciberseguridad de EOMA, Muhammad Yahya Patel, lidiando con una llamada de vishing. 

Aquí tienes un resumen rápido de las principales diferencias entre los dos ataques:

Estas son algunas formas en que los correos electrónicos de phishing y el smishing se diferencian:

• Capacidad de verificación: En un correo electrónico, puedes pasar el cursor sobre un enlace, revisar la dirección del remitente y releer el mensaje. Pero en una llamada telefónica, dependes del identificador de llamadas y del contexto de la conversación. Los estafadores aprovechan las limitadas opciones de verificación y usan IA para imitar voces conocidas o falsificar identificadores de llamadas para que los números telefónicos parezcan legítimos.

• Urgencia: El correo electrónico es asíncrono y te da tiempo para responder. Una llamada telefónica es en vivo, lo que te impulsa a actuar más rápido.

• Credibilidad: Las llamadas telefónicas se sienten como canales más seguros y privados que las bandejas de entrada de correo genéricas. Para los atacantes, no es raro explotar esta confianza mal depositada.

Así es como los atacantes usan el vishing para presionar a sus víctimas y hacer que entreguen información confidencial.

Por qué las llamadas en vivo cambian la forma en que responden las víctimas

Durante una llamada telefónica, los estafadores ajustan su enfoque según tus reacciones. Pueden sonar amables o apurados, o pueden tratar de crear una sensación de urgencia y autoridad. En una conversación en tiempo real, esto deja menos espacio para hacer una pausa o verificar con quién estás hablando antes de responder.

Suplantación de identificador de llamadas y explotación de la confianza

Con software de enmascaramiento de identidad, un atacante puede hacer que su número de teléfono se vea como el de alguien en quien confías. Por ejemplo, puede parecer que “Mike de TI” está llamando y preguntando por la información de tu cuenta. Cuando una llamada se ve y suena real, es difícil decir que no. Quien llama puede hablar rápido o sonar preparado, lo que hace más difícil cuestionar sus motivos.

Clonación de voz con IA y suplantación en tiempo real

La IA generativa hace que el phishing sea más rápido y creíble. La táctica central (mentir para obtener información) no ha cambiado en años. Lo que ha cambiado es qué tan bien el atacante esconde esa mentira. Aquí tienes algunas señales de alerta a las que debes prestar atención.

Atacantes que imitan a ejecutivos o compañeros de trabajo

Los atacantes suelen apuntar a roles que tienen autoridad o confianza, ya que los empleados son menos propensos a cuestionar a alguien que conocen. Como mostramos en nuestro resumen de Tradecraft Tuesday sobre IA, los atacantes pueden alimentar aproximadamente un minuto de audio grabado en herramientas disponibles comercialmente y obtener un clon de voz que suena incómodamente parecido al de tu gerente, líder de finanzas o compañero de trabajo. Incluso si la voz no coincide perfectamente, los estafadores pueden hacer referencia a proyectos o tareas reales que hacen que la conversación sea lo suficientemente convincente.

Interceptación de MFA mediante voice phishing

Uno de los usos más comunes del vishing es robar contraseñas de un solo uso (OTP). 

Imagina que un atacante ya obtuvo tu contraseña, pero está atascado en la pantalla de autenticación multifactor (MFA). Existe la posibilidad de que recibas una llamada de “TI” o “soporte” pidiéndote el código enviado a tu teléfono. Como se presenta como una solicitud de rutina, ¿por qué no dirías que sí? Y así de simple: cuenta comprometida.

Los ataques de phishing todavía ocurren por correo electrónico, pero ahora también incluyen conversaciones en tiempo real. Los atacantes encuentran formas creativas, como voces generadas con IA e identificadores de llamadas falsificados, para manipular a las víctimas mediante llamadas telefónicas.

Entender cómo estos ataques cambian entre canales facilita reconocerlos. Si una solicitud se siente urgente o extraña, no importa si es un correo electrónico o una llamada telefónica: detente, cuelga y verifica.