¿Qué es un ataque ballenero?

Un ataque whaling es un tipo de ataque de phishing que se dirige a ejecutivos de alto nivel, como el CEO o el CFO, para robar información confidencial de una empresa. Esto podría incluir información financiera o información personal de los empleados.

La razón por la que los ataques de whaling se dirigen a empleados de alto rango es porque tienen poder en las empresas y, a menudo, tienen acceso completo a datos confidenciales.

El término "caza de ballenas" se deriva del gran tamaño de la recompensa potencial de la estafa de phishing, ya que las "ballenas" se eligen cuidadosamente debido a su influencia, autoridad y acceso dentro de la empresa.

En algunos casos, los estafadores pueden hacerse pasar por el director ejecutivo u otros funcionarios corporativos para manipular a las víctimas para que autoricen transferencias bancarias de alto valor a cuentas bancarias en el extranjero o para ir a sitios web falsos que instalan malware.

¿Por qué tienen éxito los ataques balleneros?

Los ataques de whaling, al igual que los ataques de spear phishing, son más difíciles de detectar que los ataques de phishing típicos, ya que son altamente personalizados y solo se envían a objetivos seleccionados en una organización.

Si bien el phishing de ballenas poco sofisticado se basa únicamente en la ingeniería social para engañar a los objetivos, la mayoría de los ciberdelincuentes que utilizan ataques de whaling tienden a invertir mucho en el ataque para que parezca lo más legítimo posible, debido a los rendimientos potencialmente altos.

Esto podría incluir la recopilación de información de perfiles públicos de redes sociales como Facebook, Twitter y LinkedIn, la interacción con la organización por correo electrónico para comprender cómo la empresa estructura las direcciones de correo electrónico y las firmas de correo electrónico, y la recopilación de información general de la empresa, como cargos, nombres de colegas, proveedores externos y cualquier detalle expuesto en violaciones de datos anteriores.

Además, si la organización objetivo no tiene una seguridad de correo electrónico adecuada, el atacante puede emplear la suplantación de identidad de correo electrónico para que sus correos electrónicos parezcan provenir de una fuente confiable dentro de la organización, lo que dificulta aún más la detección del ataque.

Incluso si la organización objetivo tiene una seguridad de correo electrónico adecuada, los atacantes pueden explotar la falta de ciberseguridad de un proveedor externo y lanzar el ataque cibernético a través del dominio del proveedor o comprar un nombre de dominio tipoocupado similar.

¿Cómo funcionan los ataques balleneros?

El objetivo de un ataque whaling es engañar a la víctima para que revele información personal, información de la empresa o para que instale diferentes tipos de malware, como el ransomware, mediante el uso de ingeniería social, suplantación de correo electrónico y esfuerzos de suplantación de contenido.

Por ejemplo, el atacante puede enviar a la víctima un correo electrónico falso que parece provenir de una fuente confiable, como un alto ejecutivo u otro miembro de la alta dirección. Los ataques más sofisticados pueden tomar el control de la cuenta de correo electrónico de un colega o conducir a un sitio web personalizado que se creó específicamente para el ataque.

Por ejemplo, un atacante puede falsificar la dirección de correo electrónico del CTO y enviar un correo electrónico a un miembro del departamento de cuentas por pagar solicitando que se pague una factura falsa de AWS antes del cierre de la empresa.

Otro objetivo común para la caza de ballenas son los miembros de la junta directiva de la empresa porque tienen mucha autoridad sin ser empleados a tiempo completo e incluso pueden usar un correo electrónico personal en lugar de una cuenta corporativa.

Como los ataques de whaling dependen de la ingeniería social, los atacantes pueden enviar hipervínculos o archivos adjuntos para infectar a las víctimas o solicitar información confidencial y, por lo general, tratar de presionar al tiempo sobre la víctima.

Lee nuestra guía sobre ingeniería social para obtener más información.

¿Cuál es la diferencia entre phishing, spear phishing y whaling?

El phishing, el spear phishing y el whaling comparten muchas similitudes, principalmente los tres implican la suplantación de identidad para obtener información o dinero de un objetivo.

Dicho esto, tienen diferencias sutiles que los equipos de seguridad deben tener en cuenta.

Un correo electrónico de phishing típico adopta un enfoque de cantidad sobre calidad, enviando miles o incluso millones de correos electrónicos a las víctimas potenciales.

El spear phishing es más selectivo, se dirige a organizaciones o empleados específicos y requiere más tiempo y esfuerzo por parte del atacante.

Por último, el whaling es un tipo específico de spear phishing que se dirige a objetivos de alto rango y alto valor en una organización específica que tiene un alto nivel de autoridad y acceso a datos críticos de la empresa.

Los ataques balleneros pueden tardar semanas o meses en prepararse y, como resultado, pueden tener una tasa de éxito muy alta.

Ejemplos de ataques balleneros

En 2016, Snapchat fue víctima de un ataque de whaling cuando un empleado de alto rango cayó en un correo electrónico fraudulento del CEO y reveló información de nómina de empleados. Snapchat reportó el incidente al FBI y ofreció a sus empleados dos años de seguro gratuito contra robo de identidad.

Otro conocido ataque ballenero involucró a un ejecutivo de Seagate que accidentalmente expuso los formularios W-2 de todos los empleados actuales y anteriores. Esta filtración de datos dio lugar a la exposición de los datos fiscales de casi 10.000 empleados actuales y anteriores de Seagate, dejándolos expuestos al fraude de reembolsos de impuestos sobre la renta y al robo de identidad.

El ejemplo más dramático es la destitución en 2016 del director ejecutivo de FACC, Walter Stephan, quien cayó en un ataque de caza de ballenas que llevó al departamento de finanzas a transferir 56 millones de dólares a los estafadores.

Cómo prevenir los ataques de ballenas

Si bien no puede evitar que usted o los ejecutivos de su empresa sean blanco de ataques de caza de ballenas, hay pasos que puede tomar para reducir la probabilidad de que estos ataques tengan éxito.

Estos son los controles anti-phishing que sugerimos:

Invierta en formación en materia de seguridad para la alta dirección: La alta dirección, el personal clave y los equipos financieros deben recibir formación sobre qué son los ataques de whaling y cómo detectarlos. Capacite a los empleados para que miren el nombre de dominio del remitente, confirmen las solicitudes a través de un canal separado o en persona, y eviten abrir archivos adjuntos no solicitados. Además, realice simulacros de ataques de caza de ballenas (así como otros ataques de ingeniería social) para evaluar a los empleados con regularidad.
Emplear prácticas OPSEC: La seguridad operativa es un proceso que identifica acciones amigables que un atacante potencial podría agrupar con otros datos para revelar datos críticos o información confidencial. Esto podría ser tan simple como que un ejecutivo tenga un perfil público de Facebook con sus datos personales como fecha de nacimiento, pasatiempos, amigos y dirección expuestos o que un atacante revise los botes de basura de su empresa. Lea nuestra guía sobre OPSEC para obtener más información.
Contar con una seguridad de correo electrónico adecuada: Dado que muchos correos electrónicos de whaling se basan en la suplantación de identidad por correo electrónico, invierta en la configuración correcta de SPF, DKIM, DMARC y DNSSEC para evitar la suplantación de identidad por correo electrónico. Además, puede resultarle útil marcar los correos electrónicos externos. Lee nuestra guía sobre seguridad del correo electrónico para obtener más información.
Establecer un proceso de verificación: Asegurarse de que ningún empleado, ni siquiera el CEO, pueda solicitar fondos o información que normalmente no se transfiere por correo electrónico sin verificar su solicitud en otro canal, por ejemplo, una plataforma de mensajería interna. Documente este proceso y capacite a los empleados sobre cómo se deben manejar estas solicitudes.
Implemente software de protección de datos: invierta en software que pueda detectar automáticamente las fugas de datos y las credenciales filtradas para evitar que los datos caigan en las manos equivocadas. Lea nuestra guía sobre fugas de datos para obtener más información.
Supervise a todos los proveedores externos: recuerde que estos ataques no necesariamente tienen que provenir de su dominio si sus proveedores manejan datos confidenciales en su nombre, deben tener los mismos controles que su organización. Por eso es tan importante la gestión de riesgos de los proveedores. Considere la posibilidad de invertir en un proveedor de calificaciones de seguridad que pueda ayudarle a identificar al instante los riesgos clave en toda su cartera de proveedores. Para obtener más información, lea nuestra guía sobre cómo gestionar el riesgo de terceros.

UpGuard Vendor Risk puede minimizar la cantidad de tiempo que su organización dedica a evaluar los controles de seguridad de la información relacionados y de terceros mediante la automatización de cuestionarios de proveedores y el suministro de plantillas de cuestionarios de proveedores. Podemos ayudarlo a monitorear continuamente los controles de seguridad externos de sus proveedores y proporcionar una calificación de seguridad imparcial.

Para la evaluación de sus controles de seguridad de la información, UpGuard BreachSight puede monitorear su organización para 70+ controles de seguridad, proporcionando una calificación de seguridad cibernética simple y fácil de entender y detectar automáticamente credenciales filtradas y exposiciones de datos en buckets de S3, servidores Rsync, repositorios de GitHub y más.

Basamos nuestras calificaciones en el análisis de 70+ vectores, entre ellos: