Cómo una mayor colaboración puede prevenir ataques de phishing contra ejecutivos corporativos

La ciberdefensa a menudo se centra en proteger los activos digitales de una organización, como sus redes, puntos finales y bases de datos, así como los activos expuestos en Internet, como los sitios web de la empresa. Sin embargo, muchos no se dan cuenta de que hay otra clase de activos que deben tenerse en cuenta: los ejecutivos de la empresa. De hecho, algunos piratas informáticos descubren que dirigirse al director ejecutivo (CEO), director de operaciones (COO) o director financiero (CFO) directamente a través de un sofisticado ataque de ingeniería social es la forma más fácil y exitosa de obtener acceso a los valiosos red corporativa.

Cambiando el enfoque

Según Verizon *, los ataques de ingeniería social representan el 33 por ciento de todos los ataques y, por lo tanto, dominan el panorama de amenazas. Si bien muchas organizaciones dedican tiempo a proteger a sus clientes de los ataques de ingeniería social, a menudo olvidan que sus propios ejecutivos son víctimas del phishing. De hecho, la información confidencial relacionada con los ejecutivos de la empresa es una propiedad candente para los ciberdelincuentes, que siempre están en busca de material que puedan utilizar en sus esfuerzos. Una vez que conocen el nombre, la semejanza y los hábitos en línea de una persona, los delincuentes pueden vender esa información a otros malhechores o encontrar formas de utilizarla ellos mismos en sus esfuerzos de suplantación de identidad. Los dos métodos más comunes utilizados para aprovechar la información personal son la pesca submarina y la caza de ballenas.

Ataques de pesca submarina vs caza de ballenas

Los ataques de spearphishing implican atacar a individuos o grupos de empleados con correos electrónicos que parecen provenir de un ejecutivo y pedir que se tome algún tipo de acción, mientras que los ataques de ballenas se dirigen directamente a los ejecutivos. Con el spearphishing, si el atacante tiene suerte, los empleados caerán en la estafa y seguirán las instrucciones que se les den, lo que a menudo implica ceder el acceso a datos valiosos de la empresa. Ataques como este suelen tener éxito, ya que los piratas informáticos talentosos se asegurarán de tener más información sobre el ejecutivo al que se hacen pasar que cualquier persona ajena a la organización, lo que significa que resultan increíblemente convincentes.

Con los ataques de caza de ballenas, los piratas informáticos construyen correos electrónicos utilizando información, como direcciones, títulos, apellidos y nombres y títulos de colegas, para engañar a los ejecutivos y hacerles revelar información personal y secretos de la empresa. En algunos casos, la información proporcionada al delincuente se puede utilizar para apuntar a ejecutivos y sus familiares para extorsión o secuestro y rescate en el mundo real.

Contrarrestar la amenaza

Los ataques de caza de ballenas y pesca submarina representan un desafío para los profesionales de la seguridad, ya que son una amenaza con un pie en la ciberesfera y un pie en el mundo físico. Aunque se inician en línea a través de las campañas dirigidas descritas, los equipos de seguridad deben considerar las vulnerabilidades físicas de sus ejecutivos. Con eso en mente, las empresas deben poder defender a su equipo ejecutivo tanto en línea y físicamente, sin embargo, esto requiere un enfoque completamente nuevo: una postura de seguridad integral y colaborativa que abarque tanto el mundo digital como el físico.

Un enfoque de seguridad eficaz comienza con la visibilidad a escala de Internet para contrarrestar las amenazas a escala de Internet. Es fundamental que las organizaciones conozcan y tengan una imagen en tiempo real de cómo aparecen sus ejecutivos en Internet. Para garantizar la seguridad, toda la información debe controlarse estrictamente sin permitir que ningún dato de identificación se filtre a la red, ya que los ciberdelincuentes pueden encontrarlos y los encontrarán. Por ejemplo, una sucursal regional de una empresa puede, a través de una campaña de marketing, detallar dónde fue a la escuela un ejecutivo. Si bien aparentemente es inofensiva, dicha información puede convertirse en una bola de nieve para que los atacantes conozcan la información de un ejecutivo lo suficientemente bien como para engañar a los empleados de la empresa en una estafa por correo electrónico.

La colaboración es clave

La siguiente etapa de la lucha contra las campañas de ingeniería social es aparentemente simple: presentar los equipos de seguridad física y digital. Las grandes organizaciones tenderán a tener ambos, sin embargo, estos activos vitales solo serán vagamente conscientes de la actividad del otro.

Los ataques de pesca submarina y caza de ballenas representan una amenaza que se extiende por sus mundos y es crucial que actúen en colaboración. Un equipo de seguridad digital puede mantener el reconocimiento de qué información está, dónde y cómo se puede utilizar. Con esta información, el equipo de seguridad física puede proteger cualquier vulnerabilidad que pueda haber estado expuesta. Como en todas las cosas, la estrecha colaboración entre equipos crea los mejores y más holísticos resultados.

La frase «estafa por correo electrónico» puede desmentir la gravedad del peligro que las campañas de ingeniería social pueden representar para una organización y la seguridad personal de sus altos ejecutivos. Una parte de la batalla consiste en reconocer la naturaleza sofisticada y amplia de la amenaza. Una vez que estas amenazas se toman en serio, una organización debe buscar controlar mejor la distribución de información en línea y garantizar la colaboración de sus equipos de seguridad física y digital para garantizar la protección continua.

^{* https://enterprise.verizon.com/resources/reports/dbir/2019/introduction/}