Todos sabemos que los ciberdelincuentes encuentran cada día formas más nuevas y eficientes de obtener dinero de sus actividades delictivas. Entonces, teniendo en cuenta el objetivo de generar dinero, era lógico que los ataques cibernéticos se convirtieran en un modelo comercial aún más lucrativo.
Esto incluye también las plataformas Phishing-as-a-Service o PhaaS que están en auge entre los piratas informáticos. PhaaS ha evolucionado a partir de los clásicos ataques de phishing cuando los actores de amenazas han descubierto una nueva forma de ganar dinero con su conjunto específico de habilidades. Al mismo tiempo, los usuarios menos experimentados aprovecharon la oportunidad de liderar un ataque exitoso sin poseer necesariamente las habilidades técnicas para ello.
En este artículo, definiremos Phishing-as-a-Service, discutiremos cómo funciona y cómo puede proteger a su organización de él.
¿Qué es PhaaS?
Phishing-as-a-Service (PhaaS) utiliza un modelo comercial de software como servicio que brinda acceso a un kit de phishing a cambio de una tarifa. Los ciberdelincuentes son proveedores de servicios que venden acceso a las herramientas y los conocimientos necesarios para llevar a cabo un ataque de phishing.
Tradicionalmente, la creación de una campaña de phishing requería un amplio conjunto de habilidades, pero Phishing-as-a-Service logró cambiar todo eso, permitiendo que incluso un novato realizara un ataque. Al mismo tiempo, PhaaS brindó a los piratas informáticos una nueva forma de obtener ingresos.
Como dijimos, antes de Phishing-as-a-Service, había ataques de phishing, así que veamos también en qué consiste un ataque de phishing tradicional.
Definimos el phishing como una técnica maliciosa que tiene como objetivo robar datos personales mediante el engaño. Los actores de amenazas se hacen pasar por una entidad confiable copiando su logotipo, colores, sitio web oficial, etc. El éxito de una campaña de phishing depende de cuán realista sea.
Las víctimas son engañadas de esta manera para revelar información confidencial como nombres de usuario y contraseñas, detalles de tarjetas de crédito, etc. Una vez recolectados, estos datos pueden usarse en fraude financiero, robo de identidad, para acceder a las cuentas de las víctimas, chantajearlas o pueden venderse en la dark web.
¿Cómo funciona el phishing como servicio?
Inicialmente, los proveedores de PhaaS publicitaban sus productos en la red oscura, pero ahora puede verlos tratando de encontrar clientes incluso en Internet normal.
Cuando un cliente está interesado en usar Phishing-as-a-Service, compra un kit de phishing. Los kits tienen precios que pueden comenzar en solo $ 40, y algunos proveedores incluso ofrecen descuentos y ofertas de Black Friday.
Un kit de phishing incluye todo lo necesario para lanzar un ataque de phishing. Puede contener plantillas para correos electrónicos dirigidos a las víctimas, plantillas para sitios web falsos donde aterrizarán los objetivos, incluso listas de objetivos potenciales, instrucciones detalladas y atención al cliente.
Algunos kits de phishing están diseñados para enviar una copia de los datos robados al creador de PhaaS, lo que permite a los hackers expertos ganar más dinero usándolos en futuros esfuerzos maliciosos o vendiéndolos directamente a un tercero.
Todos estos componentes de un kit de phishing nos muestran aún más que están destinados a personas que quieren involucrarse en ciberataques, pero que no tienen las habilidades técnicas para hacerlo por sí mismos.
¿Por qué PhaaS es un problema creciente para las organizaciones?
Esta nueva forma de hacer dinero de los ciberdelincuentes resultó ser un éxito, por lo que se utiliza cada vez con más frecuencia. El Informe sobre delitos en Internet de 2021 del FBI muestra que el phishing, en todas sus formas, es la actividad delictiva de más rápido crecimiento en Internet, con 241 342 casos denunciados en 2020 y 323 972 casos en 2021.
Pero esto también significa que hoy en día todo el mundo puede ser un ciberdelincuente. Si las campañas de phishing requerían que los actores de amenazas lograran un alto nivel de conocimiento técnico, Phishing-as-a-Service hace que todo el proceso sea mucho más rápido e inclusivo para cada mente criminal.
Una campaña de phishing tradicional implica crear una estafa, crear un correo electrónico de phishing efectivo y crear un sitio falso que también robe datos, pero ahora puede comprar todo esto.
El éxito de un ataque de phishing a menudo reside en las medidas preparatorias, por lo que una plataforma ShaaS bien construida será algo que atraerá a más y más piratas informáticos. En consecuencia, esto traerá más dinero a los actores de phishing.
PhaaS dificulta enjuiciar a los autores de los ataques de phishing. Un pirata informático puede diseñar un kit de phishing pero no llevar a cabo ningún ataque por sí mismo, por lo que incluso si las autoridades atrapan al usuario del kit de phishing, el proveedor del kit puede evitar el enjuiciamiento y continuar vendiendo su producto.
¿Cómo proteger a su empresa contra PhaaS?
Aunque no hay nada que pueda hacer para detener el crecimiento de la industria de PhaaS, las personas y las organizaciones pueden aprender a protegerse del aumento del volumen y la sofisticación de los ataques producidos mediante el phishing como servicio.
Aquí hay algunas medidas de protección simples:
- Siempre preste atención al remitente de un correo electrónico, los actores de amenazas confían en que usted no mirará dos veces.
- Los errores de ortografía y las variaciones de formato son otra señal de un correo electrónico de phishing.
- Investigue adecuadamente los enlaces antes de hacer clic en ellos, así como cualquier archivo adjunto que se le envíe.
- Cada correo electrónico de phishing solicitará su credencial de una forma u otra, así que sea muy reacio a divulgar su información personal en línea.
- Capacitar a sus empleados para detectar campañas de phishing debe ser una prioridad principal, ya que la mayoría de los ataques contra las empresas comienzan con un empleado como objetivo.
- Un software antiphishing puede detener un correo electrónico de phishing antes de que llegue a sus bandejas de entrada o las de sus colegas. Incluso los ataques más avanzados pueden identificarse mediante soluciones que utilizan un enfoque de confianza cero junto con tecnologías de aprendizaje automático y procesamiento de lenguaje natural.
¿Cómo puede ayudar Heimdal?
La gran mayoría de los ataques de phishing se envían por correo electrónico, por eso Heimdal Email Security es una adición necesaria a su filtro de correo no deseado.
Es un innovador sistema de protección contra malware que protege sus comunicaciones digitales con más vectores de seguridad que cualquier otra plataforma en el mercado. Ligero y fácil de configurar, incluye filtrado de correo no deseado de última generación que detecta y elimina los archivos adjuntos maliciosos, filtra las direcciones IP y los dominios infectados y reconoce los enlaces maliciosos.
Puede combinarlo con Heimdal Fraud Prevention para llenar todos los vacíos en la seguridad de su correo electrónico. Su protección contra el phishing mejorará significativamente con más de 125 vectores y un equipo de monitoreo en vivo a su disposición.
Conclusiones…
La tendencia PhaaS no está ni cerca del final, ya que brinda muchas ventajas a los piratas informáticos expertos (más dinero, menos riesgos) y también a los recién llegados: ataques de phishing de nivel profesional con un solo clic. Los únicos que vemos sus fallas somos nosotros, los objetivos potenciales.
Pero la estrategia ofensiva en ciberseguridad siempre es la carta ganadora. No espere a que le roben su credencial o a que invadan su red para invertir en su protección y la de su empresa. El conocimiento es la mejor estrategia, así que manténgase informado sobre las últimas evoluciones en el negocio del phishing y elija las herramientas adecuadas para protegerlo de acciones maliciosas.
Puede leer la nota original siguiendo este enlace.