Como evitar el vishing en las empresas

 Stu Sjouwerman

La mayoría de nosotros estamos muy familiarizados con el vishing, las llamadas de voz fraudulentas que ofrecen borrar la deuda de su tarjeta de crédito, extender la garantía de su automóvil, hacer que done a esa noble causa de la que probablemente nunca haya escuchado, calificar para un seguro nunca supo que podría calificar y así sucesivamente. Son una versión aburrida del viejo engaño de un juego de estafa, y a todos les gustaría pensar que son inmunes.

 

Pero, por supuesto, no somos inmunes, y la gente aún se enamora de ellos. En un aviso publicado el viernes, el Centro de Coordinación de Ciberseguridad del Sector de la Salud de EE. UU. (HC3) advirtió que el vishing está en aumento y que el centro de atención médica debe tomar especial nota. "El phishing de voz , también conocido como vishing, es la práctica de obtener información o intentar influir en la acción a través del teléfono", dijo el Centro.

“Durante el año pasado, HC3 ha notado un marcado aumento en estos ataques en todos los sectores. Las técnicas de ingeniería social continúan siendo exitosas para brindar acceso inicial a las organizaciones objetivo, y el sector HPH debe permanecer alerta ante este panorama de amenazas en evolución, con énfasis en la capacitación para la concientización del usuario”.

Y no son solo las personas crédulas las que se dejan engañar. Se ha vuelto lo suficientemente convincente como para estafar a empresas grandes y sofisticadas. “Recientemente, una gran empresa de EE. UU. fue víctima de un ataque cibernético que aprovechó técnicas sofisticadas de phishing que involucraban llamadas telefónicas para obtener acceso a la organización víctima”.

Las estafas en sí utilizan técnicas avanzadas pero conocidas, como la suplantación de identidad de la persona que llama. Se les ha observado utilizando técnicas aún más avanzadas y rara vez encontradas hasta ahora, como el software de cambio de voz. Algunos de los actores de amenazas más sofisticados, dice HC3, no son los sucios estafadores que cabría esperar, sino amenazas persistentes avanzadas, APT, es decir, los servicios de inteligencia de los estados-nación con buenos recursos.

“HC3 evalúa con gran confianza que los actores de amenazas continuarán evolucionando en sus tácticas, técnicas y procedimientos (TTP) al realizar ataques de phishing debido al éxito previo en obtener acceso inicial”, dice la alerta, y agrega que incluso la carita sonriente humilde y familiar puede servir para fines de espionaje. “Los investigadores de seguridad encontraron recientemente una manera de usar solo una serie de emojis para entregar un exploit a un objetivo. Si bien este método requiere que ocurran circunstancias específicas para que funcione el emoji exploit, esto demuestra el panorama de amenazas en constante evolución y la dificultad para detectar malware”.

Hay cinco marcas de vishing que HC3 aconseja a las organizaciones que tengan en cuenta:

• “Correos electrónicos sospechosos que afirman que una prueba gratuita ha finalizado para un servicio para el que el destinatario nunca firmó.
• “Correos electrónicos inesperados que contienen solo el nombre, la dirección y el número de teléfono de una organización no reconocida.
• “Individuos que piden a las personas que llaman que naveguen a un sitio web para cancelar una suscripción a la que no se suscribieron.
• “Correos electrónicos de una cuenta de Gmail con el nombre de una persona de alto nivel en investigación médica.
• “Llamadas telefónicas o correos electrónicos que pretenden ser de una entidad gubernamental, como un Departamento de Salud o una importante empresa de tecnología”.

Obviamente, el vishing ahora es algo que no solo los ciudadanos mal informados deberían temer. Se ha convertido en una amenaza para la empresa. La nueva capacitación de concientización sobre seguridad en la escuela puede ayudar a sus empleados a ver la impostura por lo que es.

¡Conoce como puedes evitar que te suceda!

¡Quiero saber más!