Cómo prevenir

ataques de Phishing
Una guía para combatir los ataques de phishing

pccommayorista.com

Tel. +52 55 5599 0670

How to Prevent Phishing Attacks 1
[email protected]
 ¿Qué es un
ataque de phishing?
Los ataques de phishing están en constante aumento. Se han
convertido rápidamente en el tipo de ataque cibernético más
popular, con más de 3400 millones de correos electrónicos de
phishing enviados todos los días en todo el mundo.

Un ataque de phishing, que se suele enviar por correo

electrónico, es un tipo de ataque de ingeniería social. El ataque se
produce cuando el ciberdelincuente envía un mensaje fraudulento
diseñado para engañar al receptor para que revele información
confidencial sobre sí mismo o haga clic en un enlace malicioso.

Esto se puede hacer de varias maneras, con correos

electrónicos de phishing ahora tan sofisticados que a menudo son
difíciles de diferenciar de los reales.

Ataques de phishing comunes

Aunque los correos electrónicos de phishing se pueden enviar de

innumerables formas diferentes, casi siempre intentan que usted
revele una de dos cosas: su contraseña o sus datos bancarios.

Los ciberdelincuentes intentarán contactarlo desde una cuenta o

empresa con la que esté familiarizado, jugando con una relación
de confianza ya establecida. Es importante recordar que un
ataque de phishing puede provenir de cualquier fuente y que no
hay nombres u organizaciones que no puedan ser falsificados.

Los temas y objetivos de correo electrónico phishing más

comunes incluyen:

• Datos bancarios vencidos, por favor confirme número de

tarjeta

• La contraseña necesita restablecerse, ingrese los detalles

• Inicio de sesión sospechoso en su cuenta, confirme la

contraseña

• Tuvimos que reprogramar su cita, haga clic aquí enlace…

2
   
    

Ejemplo 1 de phishing:

Dropbox <[email protected]>
M

Hi John,
Paula ([email protected]
folder called “January Report” with you via Dropbox.

View Folder Click to follow link

Enjoy!
– The Dropbox Team

A primera vista, este correo electrónico de Dropbox Si no puede hacer ninguna de estas
parece que podría ser legítimo. Las direcciones de opciones, actúe con precaución e ignore
correo electrónico que se muestran son válidas y el correo electrónico. Comuníquese con el
no hay errores ortográficos en el contenido. Sin supuesto remitente en una cadena
embargo, siempre que vea un enlace incluido en separada o a través de un nuevo medio
un correo electrónico, siempre debe actuar con para intentar verificar si el correo
precaución. electrónico es un ataque de phishing o no.

En este caso, al pasar el cursor sobre el enlace, se

revela que la URL real está alojada en ytubg3.net,
NO en Dropbox. Esto lo convierte en un ataque de
El 96% de los ataques de phishing se
phishing. envían por correo electrónico, el 3% a

Siempre debe pasar el cursor sobre un enlace para través de sitios web maliciosos y el 1%
verificar que sea legítimo antes de hacer clic en él. a través de teléfonos móviles.
Si no puede hacer esto en su dispositivo móvil o
tableta, espere hasta que pueda usar una
computadora de escritorio para revisar el enlace.
Si no tiene acceso a un dispositivo de escritorio,
copie el enlace y péguelo en una ventana del
navegador de incógnito para asegurarse de que
no se capture ninguno de sus detalles.

   

    

Ejemplo 2 de phishing:

M Password Reset Code

Password reset code

[email protected]
Here is your code: 837249

Reset Password

If you didn’t request this security code, it is possible that another user entered your email address by

If this request was not made by you, contact support here.

Uno de los métodos más probados y utilizados en En casos como este, nunca haga clic en el
los correos electrónicos de phishing es a través enlace e inmediatamente informe y elimine el
de un nombre de sitio o dirección de correo correo electrónico. A continuación, debe
electrónico falsificados o mal escritos (dominios acceder a la cuenta en cuestión de forma
cercanos o primos). independiente, e idealmente desde un
dispositivo diferente. Esto puede ayudarlo a
En este caso, el cuerpo del correo electrónico en sí verificar si la cuenta está comprometida y
parece legítimo, sin errores ortográficos ni errores permitirle cambiar sus contraseñas si es
obvios; sin embargo, si observa detenidamente la necesario, o para brindarle mayor tranquilidad.
dirección de correo electrónico del remitente,
verá que falta una 'r' en la ortografía de Microsoft,
lo que significa que no es un correo electrónico
legítimo.
El 71% de los ataques dirigidos implican
el uso de “spear phishing”, donde se
dirige a un individuo u organización en
particular.

   

    

Ejemplo 3 de phishing:

Dave Reece <[email protected]>

DR Payment Transfer

Hi John,

Are you at your desk right now? I need a payment processed for £17,500 to a new vendor.

It’s overdue and I can’t access the system right now, so I’d appreciate a fast response.

Thanks,

David Reese,

Este correo electrónico es muy difícil de identificar También debe considerar de quién proviene la
como phishing. La dirección de correo electrónico solicitud y si es parte del procedimiento correcto
es válida para la empresa y no hay errores para realizar una solicitud de una gran suma de
ortográficos ni enlaces en el contenido. dinero por correo electrónico.

La señal reveladora de que se trata de un correo En casos como este, debe informar el correo
electrónico de phishing está en la gramática electrónico a su departamento de TI y luego
usada. Hay varios casos de lenguaje urgente a eliminarlo de su buzón.
través de las frases 'ahora mismo', 'atrasado' y
'respuesta rápida'. Estas indicaciones, junto con la
solicitud de una gran suma de dinero, marcan
este correo electrónico como sospechoso y nos Se abre el 30% de los correos electrónicos
llevan a identificarlo como un correo electrónico de phishing, un 7% más que en 2020, lo que
de phishing.
muestra cuán relevante sigue siendo el
Siempre debe actuar con precaución cuando vea método de ataque.
lenguaje urgente en un correo electrónico, ya que
puede usarse de manera muy efectiva como una
táctica de alarmismo, destinada a hacer que los
destinatarios actúen impulsivamente sin pensar.

   

   

4 pasos para mantenerse

seguro

Tómese su tiempo Compruébalo dos veces

No importa de quién parezca ser el correo Verifique la validez en otro dispositivo /
electrónico o de qué se trate, tómese el navegador, a través de una aplicación
tiempo para leerlo correctamente antes separada o navegando de incógnito.
de actuar.

Busca consejo Solo di no

Si el correo electrónico proviene de alguien Si tiene alguna duda, informe el correo
con quien trabaja, pregúntele directamente electrónico a su departamento de TI y
para confirmarlo por teléfono o mensaje de elimínelo de su bandeja de entrada.
texto.

The UK Mid-Market on Code Red

   
    

Identificadores clave
Como habrá visto en los ejemplos anteriores, los
correos electrónicos de phishing a menudo solo
tienen errores menores, diseñados para pasar
desapercibidos a menos que se inspeccionen
adecuadamente. Algunas cosas clave a tener en
cuenta son:

o Lenguaje urgente
o Solicitudes urgentes
o Faltas de ortografía
o Uso de dominios cercanos o primos
o Direcciones de correo electrónico
desconocidas
o Solicitudes de grandes sumas de dinero
o Enlaces sospechosos o botones de clic
o Archivos adjuntos

Es probable que no encuentre todos estos Solo la mitad (51%) de las empresas
identificadores en un solo correo electrónico, por
lo que debe estar constantemente al tanto de
que han sido vulneradas porque pudo
ellos y verificarlos constantemente. prevenir que lleguen archivos

Desafortunadamente, los ciberdelincuentes maliciosos adjuntos a las bandejas de

ahora son muy avanzados, por lo que los correos entrada de los usuarios, y solo el 35%
electrónicos de phishing tienden a incluir solo un
error muy pequeño; sin embargo, recuerde que, tenía la capacidad de poner en
si alguna vez tiene dudas, sea cauteloso y evite cuarentena correos electrónicos
interactuar con el correo electrónico.
sospechosos o maliciosos.

   

    

Cómo proteger su organización

Por lo general, las defensas contra el phishing simplemente se basan en que los usuarios"
detecten el phishing". Pero a medida que los ataques de phishing y los ciberdelincuentes detrás
de ellos continúan evolucionando, debemos estar más preparados.

Un enfoque de protección de varias capas es la mejor opción para defenderse de ciberataques

por correo electrónico:
Paso 1: Seguridad del correo electrónico en la Paso 2: Gestión de acceso e identidad
nube
“Identity and Access Management” (IAM)
Los usuarios no pueden hacer clic en lo que no proporciona una capa de protección que
ven, por lo que la primera línea de defensa significa que no importa si sus inicios de sesión
debe tratar de evitar que los ataques de se ven comprometidos, sus activos están
phishing lleguen a ellos. seguros.

En el panorama actual de amenazas, la IAM inteligente elimina el riesgo de

coincidencia de patrones tradicional o la contraseñas débiles o comprometidas,
tecnología de coincidencia de patrones reemplazándolas con tokens seguros y
recurrentes simplemente no van a ser aserciones para un control total sobre el
suficientes. En cambio, una solución de acceso de los usuarios y los principios de
seguridad de correo electrónico basada en la confianza cero. Usando el conjunto más rico de
nube que utiliza Inteligencia Artificial para datos contextuales, el acceso se bloquea
capturar incluso ataques sofisticados es su automáticamente cuando se detecta un
mejor apuesta. comportamiento sospechoso a través del
Administrador de decisiones de seguridad.
Integrado directamente en su red de correo
electrónico, Cloud Email Security monitoreará Ejemplo: James normalmente no inicia sesión
todas las comunicaciones en busca de por la noche, y ciertamente no desde Rusia. Se
contenido malicioso. Utilizará una poderosa bloquea el acceso y se frustra un intento de
inteligencia de máquina para capturar phishing "exitoso". Sin embargo, podríamos
ataques sofisticados automáticamente, recomendarle a James que revise el siguiente
incluso antes de que sepa que hay una paso.
amenaza.
Lista de verificación de seguridad del correo
electrónico

Asegúrese de que la seguridad de su correo

electrónico le proporcione estos características
críticas:
• Reglas predefinidas y listas para brindarle protección.

• Protección en el momento del clic contra dominios maliciosos que

puede parecer benigno en el momento de la recepción, pero
obtener armado en una fecha posterior.

• Múltiples antivirus tradicionales basados en firmas y

comportamientos motores que incluyen sandboxing de archivos
adjuntos.

• Análisis completo del correo electrónico entrante y saliente.

• Análisis de correo electrónico a la salida utilizando listas ilimitadas

de patrones de datos.

• Capacidad para poner en cuarentena correos electrónicos

sospechosos o maliciosos para vista previa y poder liberarlo o
bloquearlo.

   

    

Cómo proteger su organización

Paso 3: Capacitación de concientización sobre Paso 4: Átalo todo junto
seguridad
Solo el 37% de las organizaciones pueden
Fortalecer su firewall humano es crucial para protegerse contra ataques de canales cruzados,
defender a su organización contra los ataques por ejemplo, ataques que comienzan a través
de phishing. Para hacer eso, debe invertir en del correo electrónico, pero continúan en la web
una plataforma confiable de capacitación en o en los canales de aplicaciones en la nube.
concientización sobre seguridad.
Si sus soluciones de punto final están aisladas
Cuando la capacitación de concientización entre sí, una vez que un ataque evade una
sobre seguridad se realiza con éxito, sus defensa, ya sea el correo electrónico, la nube, la
empleados se convierten en otra capa de su web o la identidad, es muy poco probable que
defensa. Esto, junto con las simulaciones de otros lo detengan.
phishing, brinda a los usuarios las herramien-
tas necesarias para identificar y evitar ataques Entonces, no sorprende que el 76% de las
cibernéticos antes de que ocurran. organizaciones tenga planes de invertir en una
plataforma de seguridad basada en la nube que
Los correos electrónicos de simulación se permita que sus productos de seguridad
pueden enviar a través de una plataforma compartan de manera autónoma datos de
directamente a la bandeja de entrada de los eventos de seguridad para proteger mejor a su
destinatarios, tal como lo haría un ataque de organización.
phishing real. Luego, los informes ejecutivos
permiten usar informes para identificar dónde Las plataformas integradas de seguridad
se encuentra la mayor amenaza para su cibernética comparten de manera inteligente
organización, desde el departamento hasta las datos de amenazas entre productos. Si un
direcciones de correo electrónico individuales. enlace malicioso llega a una bandeja de
entrada y se hace clic en él, su seguridad web lo
detectará y se asegurará de que el mismo
Lleve el phishing al siguiente nivel
enlace no vuelva a llegar a la bandeja de
¿Sabías que Censornet puede hacerse pasar por entrada de los usuarios.
ataques del mundo real?
La seguridad en la nube autónoma e integrada
Exponga a los empleados a ataques de phishing, tal es un paso crucial hacia una defensa eficaz que
como lo verían en la vida real. Todo, desde los inicios de no sea onerosa y pueda mantenerse al día con
sesión de Microsoft y Google, hasta la verificación de las amenazas multicanal en evolución.
cuentas de Netflix y redes sociales. Incluso puede adaptar
simulaciones específicamente para su organización.

También ofrecemos capacitación más amplia sobre

concientización sobre seguridad cibernética, brindando
contenido interactivo y cuestionarios breves sobre una
variedad de temas relevantes. Nuestros viajes de
aprendizaje son específicos para las necesidades de
cada organización y cubren temas que incluyen phishing,
software malicioso, seguridad de dispositivos físicos y
móviles, GDPR, fraude de CEO y muchos más.

   

   

Seguridad en la nube integrada

Necesita visibilidad total. Autenticación sin problemas. Poderosa inteligencia.
Seguridad integrada de correo electrónico, web y nube con identidad
y contexto.

Nuestra Plataforma

Nuestra plataforma de seguridad en la nube

brinda protección contra amenazas de
Proteja a toda su organización Defiende tu organización espectro completo para su organización y
de amenazas de seguridad de contra los ciberdelincuentes
correo electrónico conocidas, fortaleciendo tu capacitación
usuarios, sin importar dónde se encuentren.
desconocidas y emergentes, automatizada atractiva y
incluido el fraude por correo estimulante. Nuestros módulos brindan una protección sin
electrónico. igual y una integración completa para ofrecer
seguridad e informes completos y autónomos
en una única plataforma en la nube.

Vaya más allá de la seguridad basada en

alertas y pase a la prevención de ataques
automatizada en tiempo real.

Proteja a los usuarios del Descubra, analice, asegure y

malware al navegar por la administre la interacción del
web, contenido ofensivo o usuario con aplicaciones en la
inapropiado y mejore la nube, en línea y mediante API.
productividad. Motor de seguridad autónomo

Permita que los productos tradicionalmente en

sitios compartan y reaccionen ante eventos de
seguridad y datos de estado mientras
aprovechan la inteligencia de amenazas de
Discover, analyze, secure & clase mundial. Evita los ataques antes de que
malware, offensive or entren en la cadena de muerte.
inappropriate content &
improve productivity. using APIs.
Reduzca el impacto de las Controle el acceso de los
filtraciones de datos a gran usuarios con una protección
escala protegiendo las completa contra amenazas de
cuentas de los usuarios con identidad. Autentique ASE proporciona Acceso completo a la
algo más que contraseñas. automáticamente a los seguridad las 24 horas del inteligencia de
usuarios utilizando datos día, Los 7 días de la amenazas sin costo
contextuales enriquecidos. semana, por lo que no es alguno.
necesario que lo haga.

     
 

 ­ €‚ƒƒ„ƒ
 
 
 

 How to Prevent Phishing Attacks 10