1.
¿Cómo funciona el Phishing? El Phishing consiste en el robo de información personal y/o financiera del usuario, a través de la falsificación de un ente de confianza. De esta forma, el usuario cree ingresar los datos en un sitio de confianza cuando, en realidad, estos son enviados directamente al atacante. Para lograr su cometido, este tipo de ataque se vale de técnicas de Ingeniería Social para engañar a los usuarios y que estos confíen sus datos al atacante.¿QUÉ TIPO DE INFORMACIÓN ROBA? PRINCIPALES MEDIOS DE PROPAGACIÓN Direcciones de correo Datos personales Correo electrónicoNúmero dedocumentode identidad Datos de localización Redes Sociales y contacto Información Número financiera de tarjetas de crédito SMS/MMS Números de cuentas Credenciales Información de de acceso Home Banking Llamados telefónicos o e-commerce Redes Sociales Infección de malware Cuentas de correo CIRCUITO DE UN ATAQUE PHISHING CON GEOLOCALIZACIÓN Esta técnica es utilizada para permitir o denegar el acceso al sitio web falso de los usuarios de determinado país, por medio de la dirección IP o un servidor proxy. Nombre: Documento: Cualquier acceso que se haga desde otra parte del mundo no autorizada, no podrá acceder a la página del Phishing. El objetivo es hacer más eficaces estos ataques, teniendo más probabilidad de 1 2 3 4 llegar a los usuarios del sitio original. Falsificación de un Envío de mensajes Un porcentaje de Los usuarios acceden ente de confianza por algún medio usuarios confía en el a un sitio web falso e de propagación mensaje y hace clic ingresan sus datos personales Consecuencias: Robo del dinero en la cuenta bancaria Venta de los datos personales Uso indebido de la tarjeta de crédito Suplantación de identidad Estafa Envío de publicidad 5 El atacante obtiene los datos y los utiliza con fines maliciosos ALGUNOS CASOS DE PHISHING EN LATINOAMÉRICA 1. Phishing Bancario 2. Robo de contraseñas 3. En Twitter Duración: 5 horas de Hotmail Medio: Redes Sociales Medio: Correo electrónico Duración: 6 días Medio: Infección de malware 35 tarjetas de crédito robadas +27.000 ingresos de datos por parte de los usuarios 31.000 cuentas de Twitter robadas 33 personas que ingresaron a la página web falsa por hora 8.200 credenciales robadas .gov .edu .org dominios de algunas cuentas robadas 1 de cada 5 personas entregaron sus datos financierosFuente: http://eset.la/OWUgzy Fuente: http://eset.la/nDlWiH Fuente: http://eset.la/OWUtTm ¿CUÁNTO PODRÍA LLEGAR A GANAR UN ATACANTE? 10.000 USD de ganancia 1 millón 5.000 1.000 10 USD de correos enviados usuarios hacen clic ingresan sus datos por cuenta bancarios Se tomó como referencia un caso en el que un atacante envió 1 millón de correos, en donde un bajo porcentaje de personas hicieron clic (0,5%) y sólo una porción de esas personas (20%) ingresaron sus datos. En ese tipo de ataque simple, la ganancia podría ser de 10.000 dólares. ¿CÓMO DETECTAR UN E-MAIL O UN SITIO WEB DE PHISHING? E-mail Sitio web Los correos electrónicos buscan llamar la atención del usuario La web puede ser muy similar pero en muchos casos no es con mensajes de alerta aunque en general no están dirigidos de exactamente la misma que la legítima, y al chequear la URL o manera personal. su seguridad debería haber diferencias. De: Mensajes de remitentes Se dirige a un usuario Identificar el candado de Pide datos de acceso desconocidos. genérico: “Estimado certificado de seguridad. fuera de lo normal. usuario/cliente/etc.” Para: Mensajes con muchos Verificar que el certificado de destinatarios y desconocidos. seguridad coíncida con la URL Mensaje de alerta con a la que se está accediendo. Asunto Asunto del mensaje trata temas un llamado a la acción. Cuando haya enlaces inusuales para el usuario. acortados, poner el http Comprobar el protocolo seguro: httpS. mouse encima para A veces el link del cuerpo del Errores de ortografía. verificar la dirección correo no coincide con el que se www Verificar URL. de destino. puede ver en la barra de estado del navegador. Protégete con el nuevo módulo Anti-Phishing presente en las versiones 6 de ESET Smart Security y ESET NOD32 Antivirus No entregue sus datos por correo electrónico. Las Si aún duda de su veracidad llame o concurra a su CONSEJOS empresas y bancos jamás le solicitarán sus datos banco y verifique los hechos. por correo. Si sospecha que fue víctima de Phishing, cambie Si duda de su veracidad jamás haga clic en un link sus contraseñas. incluido en el mismo. Revise los movimientos de su cuenta de manera Si recibe un mail de este tipo ignórelo, jamás lo frecuente. responda. Utilice una cuenta de correo electrónico diferente Si aún desea ingresar, no haga clic en el enlace. para cada servicio. Escriba la dirección en la barra de su navegador. | www.eset-la.com | - | blogs.eset-la.com | Síguenos