1.
¿Cómo funciona el Phishing?
El Phishing consiste en el robo de información personal y/o financiera del usuario, a través de la falsificación de un
ente de confianza. De esta forma, el usuario cree ingresar los datos en un sitio de confianza cuando, en realidad,
estos son enviados directamente al atacante. Para lograr su cometido, este tipo de ataque se vale de técnicas de
Ingeniería Social para engañar a los usuarios y que estos confíen sus datos al atacante.
¿QUÉ TIPO DE INFORMACIÓN ROBA? PRINCIPALES MEDIOS DE PROPAGACIÓN
Direcciones
de correo Datos personales
Correo electrónico
Número de
documento
de identidad
Datos de
localización Redes Sociales
y contacto
Información
Número financiera
de tarjetas
de crédito
SMS/MMS
Números
de cuentas
Credenciales
Información de de acceso
Home Banking Llamados telefónicos
o e-commerce
Redes Sociales
Infección de malware
Cuentas de correo
CIRCUITO DE UN ATAQUE PHISHING CON
GEOLOCALIZACIÓN
Esta técnica es utilizada para
permitir o denegar el acceso al
sitio web falso de los usuarios de
determinado país, por medio de
la dirección IP o un servidor proxy.
Nombre:
Documento:
Cualquier acceso que se haga
desde otra parte del mundo no
autorizada, no podrá acceder a la
página del Phishing. El objetivo es
hacer más eficaces estos ataques,
teniendo más probabilidad de
1 2 3 4 llegar a los usuarios del sitio
original.
Falsificación de un Envío de mensajes Un porcentaje de Los usuarios acceden
ente de confianza por algún medio usuarios confía en el a un sitio web falso e
de propagación mensaje y hace clic ingresan sus datos
personales
Consecuencias: Robo del dinero en la cuenta bancaria Venta de los datos personales
Uso indebido de la tarjeta de crédito Suplantación de identidad
Estafa Envío de publicidad
5 El atacante obtiene los datos y los utiliza con fines maliciosos
ALGUNOS CASOS DE PHISHING EN LATINOAMÉRICA
1. Phishing Bancario 2. Robo de contraseñas 3. En Twitter
Duración: 5 horas de Hotmail Medio: Redes Sociales
Medio: Correo electrónico Duración: 6 días
Medio: Infección de malware
35 tarjetas de crédito robadas
+27.000 ingresos de datos por
parte de los usuarios 31.000 cuentas de Twitter robadas
33 personas que ingresaron a la
página web falsa por hora 8.200 credenciales robadas .gov .edu .org dominios de
algunas cuentas robadas
1 de cada 5 personas entregaron
sus datos financieros
Fuente: http://eset.la/OWUgzy Fuente: http://eset.la/nDlWiH Fuente: http://eset.la/OWUtTm
¿CUÁNTO PODRÍA LLEGAR A GANAR UN ATACANTE?
10.000 USD
de ganancia
1 millón 5.000 1.000 10 USD
de correos enviados usuarios hacen clic ingresan sus datos por cuenta
bancarios
Se tomó como referencia un caso en el que un atacante envió 1 millón de correos, en donde un bajo porcentaje de personas hicieron clic (0,5%)
y sólo una porción de esas personas (20%) ingresaron sus datos. En ese tipo de ataque simple, la ganancia podría ser de 10.000 dólares.
¿CÓMO DETECTAR UN E-MAIL O UN SITIO WEB DE PHISHING?
E-mail Sitio web
Los correos electrónicos buscan llamar la atención del usuario La web puede ser muy similar pero en muchos casos no es
con mensajes de alerta aunque en general no están dirigidos de exactamente la misma que la legítima, y al chequear la URL o
manera personal. su seguridad debería haber diferencias.
De: Mensajes de remitentes Se dirige a un usuario Identificar el candado de Pide datos de acceso
desconocidos. genérico: “Estimado certificado de seguridad. fuera de lo normal.
usuario/cliente/etc.”
Para: Mensajes con muchos Verificar que el certificado de
destinatarios y desconocidos. seguridad coíncida con la URL
Mensaje de alerta con a la que se está accediendo.
Asunto Asunto del mensaje trata temas un llamado a la acción. Cuando haya enlaces
inusuales para el usuario. acortados, poner el
http Comprobar el protocolo
seguro: httpS. mouse encima para
A veces el link del cuerpo del Errores de ortografía.
verificar la dirección
correo no coincide con el que se
www Verificar URL. de destino.
puede ver en la barra de estado
del navegador.
Protégete con el nuevo módulo Anti-Phishing
presente en las versiones 6 de ESET Smart Security y ESET NOD32 Antivirus
No entregue sus datos por correo electrónico. Las Si aún duda de su veracidad llame o concurra a su
CONSEJOS empresas y bancos jamás le solicitarán sus datos banco y verifique los hechos.
por correo.
Si sospecha que fue víctima de Phishing, cambie
Si duda de su veracidad jamás haga clic en un link sus contraseñas.
incluido en el mismo.
Revise los movimientos de su cuenta de manera
Si recibe un mail de este tipo ignórelo, jamás lo frecuente.
responda.
Utilice una cuenta de correo electrónico diferente
Si aún desea ingresar, no haga clic en el enlace. para cada servicio.
Escriba la dirección en la barra de su navegador.
| www.eset-la.com | - | blogs.eset-la.com | Síguenos