Bajo el microscopio: protección de correo electrónico entrante versus saliente

Por Rahul Powar, CEO y cofundador, Tamiz rojo

Los tiempos cambian, las tecnologías continúan evolucionando y, sin embargo, el correo electrónico sigue siendo la vía de ataque más fácil para los ciberdelincuentes que buscan piratear su negocio. ¿Necesita convencerse? Bueno, en 2018, el 94% de los ataques de malware se implementaron por correo electrónico, el 78% de los incidentes de ciberespionaje utilizaron phishing y el 32% de todas las infracciones notificadas involucraron phishing.^[1] (no nos detengamos demasiado en la posible escala de infracciones no denunciadas).

Asegurar el correo electrónico

La verdad es que el correo electrónico ha sido la vía de ataque más fácil durante al menos dos décadas y, a menos que haya algunos cambios fundamentales en la forma en que se aborda el problema a nivel global, probablemente seguirá siéndolo durante otra década.

Mientras tanto, las empresas continúan buscando formas de aumentar su nivel de protección entrante, implementando productos de seguridad que intentan bloquear el acceso a sitios infectados o identificar contenido de correo electrónico desagradable antes de que llegue al destinatario. Estos productos vienen en muchas formas y tamaños diferentes y luego son aumentados por un «escudo humano», es decir, la vigilancia de los empleados para detectar estafas de phishing y mensajes fraudulentos que han burlado la tecnología.

El problema con esto es que todavía se necesita un solo empleado, desde el nuevo ejecutivo junior hasta el CEO, para morder el anzuelo, hacer clic en el enlace infectado o descargar el archivo adjunto malicioso, y las defensas entrantes podrían deshacerse por completo.

El juego de la culpa

Culpar a las personas por tales errores no nos lleva a ninguna parte. Después de todo, los estafadores se ganan la vida con esto: son muy buenos para burlar a la gente. Es posible que pueda detectar una estafa de phishing de Nigerian Prince a una milla de distancia, pero ¿realmente podría detectar un mensaje falso que supuestamente proviene de su departamento de finanzas que se refirió a usted por su nombre e incluyó otros detalles aparentemente legítimos sobre su lugar de trabajo?

Culpar a la tecnología de seguridad es solo un poco menos inútil. Sí, algunos de estos productos son mejores / peores que otros, pero ninguno es infalible. Los estafadores continúan ideando métodos ingeniosos para eludirlos y, por supuesto, si un estafador ha secuestrado un dominio de correo electrónico legítimo, la tecnología hace que sea aún más difícil detectar la correspondencia fraudulenta.

En última instancia, se reduce a una cuestión de confianza. Ahora estamos menos inclinados a confiar en los correos electrónicos que recibimos y estamos menos inclinados a confiar en la tecnología que se supone que nos defiende contra los correos electrónicos no confiables.

Entonces, ¿qué podemos hacer para liberarnos de esta espiral descendente?

Combinando fuerzas defensivas

Bueno, podemos empezar prestando más atención a la protección saliente. Como organización, esto significa asumir el manto de la seguridad, dando a cada corresponsal de correo electrónico una garantía de que usted es quien dice ser.

Hay buenas razones para centrarse en la protección de las salidas. Si los estafadores pueden falsificar su dominio de correo electrónico, la reputación de su empresa se verá afectada; Si sus clientes están siendo inundados por mensajes fraudulentos que supuestamente provienen de su empresa, las tasas de apertura de cualquier mensaje legítimo que envíe también podrían caer por un precipicio.

Hacerse pasar por el [email protected] no toma un doctorado: alguien con habilidades básicas de codificación puede hacerse pasar por un dominio desprotegido haciendo que la víctima crea que el correo electrónico de [email protected] es realmente legítimo y la buena gente de IT Security Guru de hecho quiere llegar a usted, aunque un poco más personalmente de lo que esperaba. Y una vez que los datos personales están en manos del estafador, no hay nada que pueda hacer para recuperarlos.

La otra ventaja de la protección saliente es que, a diferencia de las medidas entrantes convencionales, en realidad ayuda a restaurar la confianza. Por ejemplo, DMARC es un protocolo de correo electrónico saliente aceptado a nivel mundial que protege los dominios contra la suplantación de identidad por parte de estafadores. Le permite garantizar al mundo en general que cualquier correo electrónico enviado desde su dominio fue enviado definitivamente por su organización. Esto, a su vez, permite a las organizaciones crear listas blancas de remitentes verificados; por lo tanto, al adoptar DMARC, se beneficia del conocimiento de que es mucho más probable que sus propios correos electrónicos a) se entreguen yb) sean confiables.

La protección entrante versus saliente no es una discusión. El primero es necesario para defenderse de las amenazas de correo electrónico que existen; este último es necesario para reducir el nivel de amenaza general y comenzar a reconstruir la confianza en el correo electrónico una vez más. Fundamentalmente, ambos son vitales para defender la reputación de las organizaciones a medida que continuamos saqueando nuevas profundidades de aprehensión por correo electrónico.

^[1] Informe de investigaciones de violación de datos de Verizon 2019

Sobre Rahul Powar

Rahul es un emprendedor, tecnólogo y líder en serie. Antes de Red Sift, fundó Apsmart, que fue adquirida por Thomson Reuters Corporation en 2012. En Thomson Reuters se desempeñó como Director de Productos e Innovación Avanzados. En una vida anterior formó parte del equipo fundador y principal arquitecto técnico de Shazam. Antes del lanzamiento de iTunes AppStore, imaginó y creó la primera aplicación para iPhone de Shazam.