El phishing, una de las formas más comunes de ciberestafa, ha evolucionado significativamente en los últimos años, adaptándose rápidamente a los eventos de actualidad para aprovecharse de los mismos y maximizar así su impacto. Según un reciente estudio de Egress, este crecimiento exponencial se debe, en gran medida, a:
- El uso de inteligencia artificial (IA), que ha facilitado enormemente la labor de los ciberdelincuentes, permitiéndoles crear contenido malicioso (desde e-mails fraudulentos a vídeos deepfake), con una rapidez y eficacia sin precedentes. A eso se le suma la capacidad de la IA para codificar el malware que acompaña a estas campañas de phishing.
- La proliferación de servicios de Phishing como Servicio (PhaaS, por sus siglas en inglés). Este modelo permite que cualquier persona, sin necesidad de poseer conocimientos avanzados en ciberseguridad, pueda contratar a expertos en phishing para lanzar ataques por encargo.
Adaptación ágil del phishing a los eventos de actualidad
La capacidad de los ciberdelincuentes para adaptarse rápidamente a eventos actuales es una de las razones clave detrás del aumento en la efectividad de los ataques de phishing. Tradicionalmente, la creación manual de contenido de phishing requería de tiempo y esfuerzo, lo que dificultaba que los atacantes capitalizaran eventos inesperados para lanzar campañas de alto impacto.
Sin embargo, la introducción de la IA y el PhaaS ha cambiado este panorama, permitiendo a los delincuentes reaccionar con una agilidad sin precedentes.
Phishing ante eventos inesperados: el ejemplo de CrowdStrike
El ejemplo del fallo técnico de CrowdStrike en julio de 2023 es ilustrativo de cómo los ciberdelincuentes aprovechan eventos imprevistos para lanzar ataques de phishing. Cuando CrowdStrike, una empresa de ciberseguridad, lanzó una actualización defectuosa que causó la temida "pantalla azul de la muerte" (BSOD) en máquinas Windows, los atacantes no tardaron en reaccionar.
Sitio web fraudulento que buscaba suplantar a CrowdStrike y dinfundir malware
En cuestión de horas, se detectaron 17 dominios falsos relacionados con el incidente, algunos de los cuales difundían una falsa solución al problema (que ya estaba disponible gratuitamente en el sitio oficial de CrowdStrike) en un intento de recaudar donaciones a través de PayPal, en algunos casos, o de distribuir malware, en otros.
Estas iniciativas, aunque moderadas en comparación con otros ataques, demostraron cómo los ciberdelincuentes pueden explotar la confusión de las víctimas ante eventos críticos. Algunos dominios falsos incluso exigieron pagos de hasta 1.000 euros, logrando estafar a varias organizaciones antes de ser desmantelados.
Phishing vinculado a eventos planificados
Cuando se trata de eventos planificados, los ataques de phishing tienden a ser más sofisticados y variados, dado que los atacantes tienen más tiempo para preparar sus campañas. Un ejemplo claro de esto fueron los ataques relacionados con los JJOO de París 2024:
- En un caso, los ciberdelincuentes enviaron e-mails fraudulentos que afirmaban que los destinatarios habían ganado entradas para los Juegos, pero que debían pagar una pequeña tarifa de entrega para recibirlas. Si las víctimas introducían su información financiera, los atacantes la utilizaban para suplantar su identidad y realizar compras no autorizadas.
- En otro caso, la estafa giró en torno a la creación de un sitio web falso que ofrecía entradas para la venta (ver imagen más arriba). A pesar de ser un sitio web relativamente nuevo, se posicionó cerca de los primeros resultados en Google, lo que aumentó la probabilidad de que las personas que buscaban entradas legítimas cayeran en la trampa.
Phishing durante eventos recurrentes
Los ciberdelincuentes también aprovechan los eventos recurrentes (que suceden de manera fija a lo largo del año) para lanzar ataques de phishing. Así, durante la temporada navideña, o durante el Black Friday por ejemplo, los estafadores se aprovechan del repentino incremento de las compras online y la avalancha de correos promocionales, lo que genera un aumento de la incidencia de estafas relacionadas con tarjetas de regalo, productos comprados pero no entregados, etc.
Imagen | Marcos Merino mediante IA
Ver 0 comentarios