Phishing es un tipo de ataque de ingeniería social donde los cibercriminales intentan engañar a alguien para que revele información confidencial. Veamos el phishing desde una perspectiva de ecommerce: hacerse pasar por una persona o entidad confiable, como un proveedor, un procesador de pagos o incluso un cliente, para robar credenciales de inicio de sesión, datos financieros o información personal.

Estos ataques aprovechan el comportamiento humano, no solo las vulnerabilidades de red. Basta con un correo convincente y un empleado ocupado y distraído que, sin darse cuenta, hace clic en un enlace malicioso o descarga un archivo adjunto comprometido. El atacante obtiene así un punto de apoyo persistente para causar estragos en tus endpoints e identidades. Se instalará con técnicas de persistencia, robará datos de clientes, redirigirá pagos a sus propias cuentas bancarias e interrumpirá toda tu cadena de suministro.

Los ataques de phishing modernos están bien elaborados y muy dirigidos a los minoristas de ecommerce, lo que los hace más difíciles de detectar.

Aquí tienes cuatro tipos comunes de ataques de phishing que apuntan a los negocios de ecommerce:

• El phishing por correo electrónico es la forma más común de phishing. Los atacantes envían correos que parecen provenir de una fuente genuina y confiable, como un banco, una gran empresa de software o una agencia gubernamental. Los mensajes suelen tener un tono de urgencia, para que el destinatario haga clic rápidamente en un enlace o descargue un archivo malicioso, pensando que resolvió un supuesto problema.
• A diferencia de las campañas amplias de phishing por correo, el spear phishing es muy dirigido. Los atacantes investigan a sus víctimas, a menudo empleados o departamentos específicos de una empresa, y crean mensajes personalizados. Para un negocio de ecommerce, esto podría ser un correo que finge ser de un proveedor clave con una nueva factura adjunta, o un mensaje aparentemente del CEO solicitando una transferencia de dinero de inmediato.
• El whaling es un tipo de spear phishing dirigido a personas de alto perfil, como el CEO, el CFO u otros miembros de la alta dirección. Dado que estas personas tienen acceso al funcionamiento interno de la empresa y la autoridad para aprobar grandes transacciones, un ataque de whaling exitoso puede ser catastrófico.
• El smishing usa mensajes de texto (SMS) para engañar a las víctimas, mientras que el vishing usa llamadas de voz. En un entorno de ecommerce, un minorista en línea podría recibir un mensaje de texto sobre un supuesto problema de entrega con un enlace a un sitio de seguimiento falso, o una llamada telefónica de alguien que finge ser de su proveedor pidiendo datos de la cuenta de inmediato para evitar interrupciones en la cadena de suministro.

Para entender cómo se desarrollan estos ataques, analicemos un escenario común para un negocio de ecommerce.

Imagina que tienes una tienda en línea que vende suéteres para perros. Una mañana, recibes un correo con el asunto: "Urgente: Tu cuenta de pago ha sido suspendida". El correo parece venir de tu procesador de pagos. Tiene el logo de la empresa, la firma de un representante de cuentas por pagar y un formato de apariencia oficial. Pero esto parece sospechoso: "Debido a una actualización de seguridad, tu cuenta ha sido congelada temporalmente, y necesitas verificar tus datos para reactivarla". Has trabajado con este procesador de pagos por un tiempo, y esto activa tus alertas de seguridad.

Pero estás a punto de entrar al Black Friday, y esta es tu semana más grande del año con una gran venta de mercancía navideña. El correo te ofrece una solución rápida con un botón que dice: "Verifica tu cuenta ahora". Sientes una ola de pánico por las posibles ventas perdidas, así que haces clic en el enlace. Te lleva a una página web que parece idéntica a la página de inicio de sesión de tu procesador de pagos; parece estar bien. Ingresas rápidamente tu nombre de usuario y contraseña, y la página se actualiza, llevándote a la página principal real del procesador. Puede parecer que tu "problema" de pago está resuelto, pero en realidad, acabas de entregar tus credenciales de inicio de sesión directamente a un cibercriminal.

Este es un ejemplo clásico de la estafa de phishing dirigida a negocios de ecommerce. El atacante usó la urgencia, creó una sensación de pánico y un disfraz convincente con un correo bien elaborado para engañarte y que entregaras información confidencial.

Para protegerse contra los ataques de phishing, los usuarios de ecommerce deben saber identificar las 4 P del phishing: pretender, problema, presión y pago.

Pretender

Ten cuidado con los mensajes que pretenden ser de una entidad legítima. Los atacantes se hacen pasar por autoridades confiables, como bancos, agencias gubernamentales o corporaciones, para que sus solicitudes parezcan reales.

Problema

Recibes un mensaje sobre un problema repentino que surgió de la nada. Dado que este tipo de problemas no suelen surgir, el atacante no quiere que dudes de nada.

Presión

El mensaje te hace sentir presión para actuar rápido. Si no respondes a la solicitud ahora mismo, habrá consecuencias: tu cuenta será congelada, podrías enfrentar acciones legales, o podrías recibir fuertes multas.

Pago

Si recibes correos, mensajes de texto o llamadas telefónicas con todo lo anterior y una exigencia de pago, te están haciendo phishing. Los atacantes quieren tu información confidencial y tu dinero, y casi lo tienen.

Saber identificar el phishing no es solo tarea de tu departamento de TI. Todos pueden y deben hacer su parte para proteger tu negocio contra las estafas de phishing. Revisa estos consejos y trucos para mantener seguro tu negocio de ecommerce:

• Haz un informe de los correos sospechosos: anima a los empleados a enviar de inmediato un informe sobre cualquier correo sospechoso a tu departamento de TI o equipo de seguridad. Esto ayuda a detectar amenazas desde el inicio de la ruta de ataque.
• Mantente informado: sigue de cerca las últimas tendencias y tácticas de phishing. El panorama de la ciberseguridad cambia todo el tiempo, y estar al tanto es clave para una defensa sólida.
• Capacitación de los empleados: capacita a tu equipo con regularidad para detectar señales de alerta de phishing con Managed Security Awareness Training (SAT)
• Autenticación multifactor (MFA): agrega la MFA donde sea posible. Incluso si un atacante roba una contraseña, quedará bloqueado y tendrá que usar tácticas más avanzadas para eludir la MFA.
• Seguridad de identidades: implementa Managed Identity Threat Detection and Response (ITDR) para monitorear y proteger tus identidades y tu correo en Microsoft 365.
• Revisa al remitente: verifica la dirección de correo del remitente. Los atacantes suelen usar dominios ligeramente distintos al legítimo, como payment-gateway.co en lugar de payment-gateway.com.
• Busca señales de alerta: presta atención a la mala gramática, los errores de ortografía, los saludos genéricos ("Estimado cliente") y el lenguaje urgente.
• Pasa el cursor antes de hacer clic: antes de hacer clic en cualquier enlace que recibas por correo o mensaje de texto, pasa el cursor sobre él para ver la URL de destino real. Si se ve sospechosa, ignórala.

Los ataques de phishing son una amenaza constante para los minoristas en línea, pero al entender cómo funcionan estas estafas y establecer estrategias de prevención sólidas y en capas, puedes reducir tu riesgo de ser víctima de ataques exitosos. Formar un equipo atento, invertir en protocolos de seguridad claros y usar la tecnología adecuada son pilares de la protección contra el phishing en el comercio electrónico.

Comienza capacitando a tu equipo y creando una cultura segura donde la seguridad sea responsabilidad de todos. Cuanto más preparado estés, más difícil será para los ciberdelincuentes encontrar una forma de entrar.