Los ciberataques ‘whaling’ incrementaron un 200% en 2017

El whaling o caza de ballenas es una modalidad de ciberataque de suplantación de identidad cuyo objetivo son los ‘peces gordos’ de la compañía, es decir, CEOs, gerentes o altos ejecutivos con acceso directo a la información más valiosa.

Es una técnica muy pensada que tiene más de ingeniería social que de trucos tecnológicos. Para llevarla a cabo, los hackers utilizan métodos muy sofisticados como la utilización de un lenguaje muy cuidado, detalles de la compañía, datos específicos de la víctima extraídos de sus perfiles sociales… de tal manera que la persona que recibe el e-mail confía en el emisor y sigue sus indicaciones.

En los correos electrónicos tipo whaling, se suele incorporar el logo de la compañía para que el e-mail resulte más fiable y creíble. Además, se intenta emplear el mismo tipo y tamaño de fuente que usa el destinatario. Normalmente, los hackers piden completar un ‘informe adjunto’ que, en realidad, es un malware o solicitan descargar un software adicional para abrir un texto o programa.

Lo más preocupante es que, según el proveedor de seguridad cibernética SmartTech 247, el número de estos ataques se triplicó en 2017 y se extendió a empresas todos los tamaños.

¿Cómo se pueden prevenir?

El whaling juega con algo muy importante: cualquier empleado o alto cargo que reciba un e-mail de la junta direciva responderá al correo y/o ejecutará el trabajo.  En muy pocos casos se percibirá que el mensaje es falso dada la depuración de la técnica e, incluso si se duda, en raras ocasiones se pregunta al responsable antes de actuar. Es importantísimo estar segur@ de que el contenido del mensaje es verídico, de lo contrario estamos entregando información confidencial a los hackers.

Otro de los recursos habituales en esta caza de ballenas es añadir la palabra ‘urgente’ en el asunto del e-mail. Si esto ocurre, hay que plantearse: ¿se ha hablado con el emisor del correo sobre este tema? Si la respuesta es afirmativa, ¿qué nivel de urgencia expresó el alto cargo en la reunión?

El mejor consejo es siempre preguntar a la persona en cuestión. No se debe continuar ninguna tarea sin estar 100% convencid@ de ello. Por otro lado, es bueno tener en mente -y aplicar- las pautas de prevención del phising como, por ejemplo, fijarse muy bien en la firma, cuestionarse el tipo de archivo adjunto o tomarse el tiempo necesario para examinar el e-mail.

Proteger la información de la compañía es fundamental para el buen funcionamiento de la organización, así como para mantener una buena reputación empresarial. La mejor manera de conseguirlo es con el trabajo de todos los empleados, por lo que su formación es clave.

Desde IT Governance te ofrecemos este curso online en inglés para entender las diferentes modalidades de suplantación de identidad y otros posibles ciberataques.

Haz clic aquí y prevé ataques malware >>

Leave a Reply

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.