Cómo el Whaling amenaza a los altos ejecutivos y cómo hay que protegerse. ESET nos explica cómo evitar el Whaling y asegurar la protección contra el spearphishing a ejecutivos

Buenos Aires, Argentina, 11 de agosto de 2024.— ESET advierte sobre un tipo de ciberataque llamado whaling, que se dirige a personas en posiciones de alto nivel dentro de una organización mediante correos electrónicos personalizados, con el objetivo de obtener información confidencial, instalar malware o inducir a la víctima a realizar transferencias fraudulentas.

Cómo protegerse de los ataques de Whaling

A diferencia del phishing tradicional, que se dirige a una audiencia general sin un objetivo específico, el whaling es un ataque más focalizado —un spearphishing— que apunta a los altos ejecutivos de una organización, a menudo referidos como «peces gordos«, de ahí el nombre de este ataque, que se traduce como «caza de ballenas«.

Estos ataques se caracterizan por su sofisticación, combinando técnicas avanzadas de ingeniería social con una investigación exhaustiva previa. El objetivo puede variar, desde extraer datos confidenciales de la empresa o introducir malware en su red, hasta engañar a la víctima para que autorice transferencias de dinero a cuentas controladas por los cibercriminales.

Una estrategia común utilizada en estos ataques es el fraude del CEO, donde los atacantes suplantan la identidad de altos directivos y envían mensajes a otros ejecutivos o empleados clave, haciéndose pasar por ellos. Este tipo de ataque también puede dirigirse a cualquier colaborador dentro de la organización.

Este tipo de ataques hacen necesario aumentar la conciencia de que toda la información pública puede ayudarles a los cibercriminales a cometer estos ataques en los que se suplanta la identidad de una persona o entidad. A los atacantes le serán útiles los perfiles públicos de las personas, tanto en redes personales como Facebook, Instagram, Twitter, o perfiles profesionales en, por ejemplo, LinkedIn.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

El whaling sigue una secuencia metódica y bien planificada para maximizar su impacto. Entre los pasos clave se encuentran:

1. Investigación exhaustiva: Los atacantes recopilan información sobre la organización y sus ejecutivos a partir de fuentes públicas, como redes sociales, sitios web corporativos y medios de comunicación, para comprender la estructura organizacional e identificar posibles puntos débiles.
2. Creación de correos electrónicos falsos personalizados: Utilizan la información obtenida para diseñar correos electrónicos falsos que parecen provenir de fuentes confiables, a menudo imitando direcciones de correo electrónico de colegas o socios comerciales mediante técnicas como el spoofing, que oculta la verdadera dirección de correo.
3. Envío de correos con un sentido de urgencia: Los atacantes envían estos correos electrónicos con un tono de urgencia para provocar una respuesta rápida, que puede incluir solicitudes para transferir fondos, compartir información confidencial o hacer clic en un enlace malicioso.

Debido a su alto nivel de personalización y sofisticación, estos ataques pueden ser difíciles de detectar, pero existen algunas señales de advertencia a las que hay que prestar atención:

• Remitente falsificado: Aunque los correos electrónicos parecen proceder de una fuente confiable, un examen detallado puede revelar pequeñas discrepancias en la dirección de correo.
• Solicitudes inusuales: Si se recibe una solicitud de información confidencial o transferencias urgentes, es importante verificar por otros canales de comunicación.
• Errores gramaticales y ortográficos: Aunque los correos de phishing son cada vez más convincentes gracias al uso de inteligencia artificial, aún pueden contener errores que revelen su origen fraudulento.

La protección contra estos ataques comienza con la educación y concienciación de todos los empleados, especialmente aquellos en altos cargos, para que estén alertas y familiarizados con las tácticas de los cibercriminales. ESET sugiere algunas medidas clave para protegerse:

• Tener cuidado al compartir información personal y profesional en redes sociales, ya que estos datos pueden ser utilizados por los atacantes para crear ataques más persuasivos.
• Implementar procedimientos claros para verificar solicitudes, especialmente si implican datos sensibles o movimientos de dinero.
• Añadir un nivel adicional de confirmación para transacciones críticas, como reuniones en persona o llamadas telefónicas, para proporcionar una capa adicional de seguridad.
• Activar la autenticación multifactor y utilizar herramientas de seguridad avanzadas como parte de la estrategia de ciberseguridad.
• Utilizar reglas de marcado para correos electrónicos externos para detectar y bloquear intentos de fraude.

Los ataques de whaling representan una amenaza grave y creciente para las organizaciones, que pueden resultar en pérdidas financieras significativas y comprometer información confidencial. La concientización, la formación y la implementación de medidas de seguridad sólidas son esenciales para proteger a las organizaciones de esta forma insidiosa de ciberdelincuencia. La ciberresiliencia es una prioridad estratégica, y un enfoque integrado y bien informado puede marcar la diferencia en la protección contra este y otros tipos de fraude cibernético.”, concluye Gutiérrez Amaya de ESET Latinoamérica.

Para conocer más sobre seguridad informática visite el portal de noticias de ESET: https://www.welivesecurity.com/es/phishing/que-es-whaling-proteger-organizacion/

Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw

Síguenos en: @ESETLA  

Acerca de ESET

ESET® proporciona seguridad digital de vanguardia para prevenir ataques antes de que ocurran. Al combinar el poder de la IA y la experiencia humana, ESET® se anticipa a las ciberamenazas conocidas y emergentes, asegurando empresas, infraestructuras críticas e individuos. Ya sea protección de endpoints, nube o dispositivos móviles, sus soluciones y servicios nativos de IA y basados en la nube son altamente efectivos y fáciles de usar. La tecnología de ESET incluye detección y respuesta sólidas, cifrado ultraseguro y autenticación multifactor. Con defensa en tiempo real las 24 horas, los 7 días de la semana y un sólido soporte local, mantiene a los usuarios seguros y a las empresas funcionando sin interrupciones. Un panorama digital en constante evolución exige un enfoque progresivo de la seguridad: ESET® está comprometido con una investigación de clase mundial y una potente inteligencia sobre amenazas, respaldada por centros de I+D y una sólida red global de socios.

Para obtener más información, visite https://www.eset.com/latam o síganos en LinkedIn, Facebook y Twitter.

Tu Opinión Importa

¿Qué medidas has implementado en tu organización para protegerte contra el whaling? Comparte tu experiencia y recomendaciones con nosotros usando el hashtag #superfan. ¡Queremos saber tu opinión! 😉

Apoya al Periodismo Independiente

¿Te sirvió en algo este contenido?, ayúdanos a combatir la Desinformación, dona desde S/ 1.00 a nuestro PLIN 943-438-457

Dona con PayPal (escanea este QR)