¿Qué es el phishing?

El phishing es un tipo de ciberataque que consiste en el envío de correos electrónicos genéricos por parte de ciberdelincuentes que se hacen pasar por legítimos. Estos correos contienen enlaces fraudulentos para robar información privada del usuario. Los ataques de phishing son más eficaces cuando los usuarios no son conscientes de que esto está ocurriendo.

El phishing es un método de ataque que ha estado presente desde mediados de los años 90. Comenzó cuando un grupo de jóvenes diseñaron una función de la sala de chat de AOL para hacerse pasar por los administradores de AOL. Robaban los números de las tarjetas de crédito de los usuarios para asegurarse de tener siempre acceso gratuito a AOL.

Se diseñó la «sala de chat para nuevos miembros» de AOL para que los usuarios pudieran recibir ayuda con el acceso al sitio. Los hackers crearon lo que parecían nombres de pantalla válidos de un administrador de AOL como «CuentadeFacturación» para informar al usuario de que había un problema con su cuenta. 

Se le pedía al usuario que proporcionase un número de tarjeta para que le solucionasen el problema. A continuación, los delincuentes utilizaban los números de las tarjetas para pagar sus propias cuentas. Si bien el término «phishing» se acuñó para describir a este ataque y a otros similares, es ahora cuando se ha asociado principalmente a estafas por email. Las estafas de phishing siguen siendo abundantes hoy en día. Según el Data Breach Investigations Report (DBIR) de 2021 de Verizon, el 36 % de las filtraciones de datos implicaron ataques de phishing.

Debido a que el phishing depende principalmente de la ingeniería social, es de vital importancia que todos los usuarios comprendan cómo trabajan los hackers para aprovecharse de la naturaleza humana. En primer lugar, la ingeniería social es una estafa que utilizan los hackers con el fin de convencer a un usuario para que haga algo que normalmente no haría.

La ingeniería social podría ser tan sencillo como alguien con las manos ocupadas pidiendo que le abran una puerta. De forma similar, un ataque de ingeniería social podría comenzar con alguien dejando caer un dispositivo USB en el parking con una etiqueta señalando que se trata de «fotos familiares». Este dispositivo USB podría contener un malware que se instale en el equipo comprometiendo, de algún modo, su seguridad. Esto se conoce como baiting.

El término phishing se utiliza principalmente para hacer referencia a los ataques por email genéricos. En ellos, el atacante envía emails a tantas direcciones como le sea posible, utilizando servicios comunes como PayPal o Bank of America.

El email dice que la cuenta está comprometida y pide al destinatario que haga clic en un enlace para verificar que la cuenta es correcta. El enlace normalmente hará una de estas dos cosas o ambas:

1. Puede llevar al usuario a un sitio web malicioso que se parezca al sitio real, por ejemplo, «www.PayPals.com» en contraposición con el «www.PayPal.com» real. Observe la «s» adicional que aparece en la primera dirección URL. Una vez que llega al sitio web malicioso, el hacker puede capturar su ID de usuario y contraseña cuando intente iniciar sesión.
   
   Ahora el hacker tiene acceso a su cuenta bancaria para poder transferir el dinero al sitio que desee. Además, hay un segundo beneficio posible. Ahora el hacker puede tener una contraseña que funciona en sus otras cuentas, incluidas Amazon o eBay.
2. Puede infectar su equipo con software malicioso descargado llamado malware. Una vez instalado, el software se puede utilizar para futuros ataques. El malware podría ser un registrador de pulsaciones de teclado que registre los inicios de sesión o los números de la tarjeta de crédito o podría ser un ransomware que cifre contenido del disco y los retenga para pedir un rescate, habitualmente en forma de bitcoins.
   
   Llegados a este punto, sería muy posible que el hacker utilizase el equipo infectado para extraer bitcoins. Esto se puede hacer cuando el usuario no está utilizando el equipo, o podría bloquearle parte de la capacidad de la CPU siempre que quiera. Ahora el hacker puede extraer bitcoins con éxito y el usuario tiene un equipo con un funcionamiento más lento.

El phishing ha evolucionado a lo largo de los años para incluir ataques dirigidos a otros tipos de datos. Además de dinero, los ataques también pueden estar dirigidos a fotografías o datos sensibles.