David Warburton, autor del Informe sobre phishing y fraude de 2020 de F5 Labs, explica cómo los estafadores se están adaptando a la pandemia y analiza las tendencias que se avecinan en este vídeo, con un resumen a continuación.
La COVID-19 sigue alentando considerablemente las iniciativas de phishing y fraude de los ciberdelincuentes, según un nuevo estudio de F5 Labs.
En la cuarta edición del Informe sobre phishing y fraude, se descubrió que los incidentes de phishing aumentaron un 220 % durante el punto álgido de la pandemia mundial en comparación con la media anual.
Según los datos del Centro de Operaciones de Seguridad (SOC) de F5, se prevé que el número de incidentes de phishing en 2020 aumente un 15 % interanual, aunque esto podría cambiar pronto a medida que se produzcan nuevas oleadas de la pandemia.
Se identificaron tres objetivos principales en los correos electrónicos de phishing relacionados con la COVID-19: obtener donaciones fraudulentas para organizaciones benéficas falsas, robar credenciales y distribuir malware.
El dominio de un suplantador
Según las investigaciones de años anteriores, F5 Labs observó que los estafadores son cada vez más creativos con los nombres y las direcciones de sus sitios de phishing.
En lo que va de 2020, el 52 % de los sitios de phishing han utilizado los nombres y las identidades de las marcas objetivo en sus direcciones web. A partir de los datos de Webroot sobre sitios de phishing, F5 Labs descubrió que Amazon fue la marca más atacada durante el segundo semestre de 2020. Paypal, Apple, WhatsApp, Microsoft Office, Netflix e Instagram también figuraron entre las diez marcas más suplantadas.
Al rastrear el robo de credenciales hasta su uso en ataques activos, F5 Labs observó que los delincuentes intentaban utilizar las contraseñas robadas en las cuatro horas siguientes a haber engañado a una víctima mediante phishing. Algunos ataques incluso se produjeron en tiempo real para poder capturar códigos de seguridad de autenticación multifactor (MFA).
Oculto a plena vista
En 2020, los ciberdelincuentes también redoblaron sus esfuerzos para que los sitios fraudulentos parecieran lo más auténticos posible. Las estadísticas del SOC de F5 revelaron que la mayoría de los sitios de phishing utilizaban cifrado y que nada menos que el 72 % empleaba certificados HTTPS válidos para engañar a las víctimas. Ese año, el 100 % de las zonas de entrega —los destinos a los que el malware envía los datos robados— utilizó cifrado TLS (frente al 89 % en 2019).
Al combinar los incidentes de 2019 y 2020, F5 Labs también informó de que el 55,3 % de las zonas de entrega utilizaban un puerto SSL/TLS no estándar. El puerto 446 se utilizó en todos los casos salvo uno. Un análisis de los sitios de phishing reveló que el 98,2 % utilizaba puertos estándar: el 80 para el tráfico HTTP sin cifrar y el 443 para el tráfico SSL/TLS cifrado.
Amenazas futuras
Según un estudio reciente de Shape Security, incorporado por primera vez al Informe sobre phishing y fraude, se perfilan dos grandes tendencias de phishing.
Como consecuencia de la mejora de los controles y las soluciones de seguridad frente al tráfico de bots (botnets), los atacantes están empezando a recurrir a las granjas de clics. Esto implica que decenas de «trabajadores» remotos intenten iniciar sesión de forma sistemática en un sitio web objetivo utilizando credenciales obtenidas recientemente. La conexión procede de una persona que utiliza un navegador web convencional, lo que dificulta la detección de la actividad fraudulenta.
Incluso un volumen relativamente bajo de ataques tiene consecuencias. Por ejemplo, Shape Security analizó 14 millones de inicios de sesión mensuales en una entidad de servicios financieros y registró una tasa de fraude manual del 0,4 %. Esto equivale a 56.000 intentos de inicio de sesión fraudulentos, y las cifras asociadas a este tipo de actividad no harán más que aumentar.
Los investigadores de Shape Security también registraron un aumento del número de proxies de phishing en tiempo real (RTPP) capaces de capturar y utilizar códigos de autenticación multifactor (MFA). El RTPP actúa como intermediario e intercepta las transacciones de la víctima con un sitio web legítimo. Dado que el ataque se produce en tiempo real, el sitio web malicioso puede automatizar el proceso de captura y reutilización de métodos de autenticación con validez temporal, como los códigos MFA. Incluso puede robar y reutilizar cookies de sesión.
Entre los proxies de phishing en tiempo real que se utilizan activamente en la actualidad se encuentran Modlishka y Evilginx2. F5 Labs y Shape Security se disponen a supervisar el creciente uso de los RTPP en los próximos meses.
Descargue el informe sobre phishing y fraude de F5 Labs de 2020 para obtener más información.
Acerca del informe
El informe de este año sobre phishing y fraude de F5 Labs analiza cinco años de incidentes de phishing registrados por el Centro de Operaciones de Seguridad (SOC) de F5 y examina en profundidad sitios de phishing activos y confirmados proporcionados por Webroot® BrightCloud® Intelligence Services de OpenText. También incluye un análisis de datos de mercados de la web oscura procedentes de Vigilante y estudios de Shape Security. En conjunto, estos datos ofrecen una visión completa y coherente del mundo del phishing.
Sobre el autor
David Warburton es director de F5 Labs. Lleva más de 20 años trabajando en el sector de las TI. Comenzó su carrera como desarrollador full stack, antes de enfrentarse a los peligros de la arquitectura en la nube y pasar después a la serena y apacible vida de la ciberseguridad. Su investigación abarca una amplia variedad de temas, desde cuestiones profundamente técnicas, como la criptografía, hasta la vertiente sociotécnica de la seguridad más vinculada al mundo real. Warburton ha impartido conferencias por todo el mundo en Infosec (Reino Unido), GovWare (Singapur), Crikeycon (Australia), ITBN (Hungría), Digital Transformation EXPO (Reino Unido) y ante las fuerzas armadas británicas. Warburton ha realizado decenas de apariciones en medios internacionales, tanto en televisión y prensa como en pódcast del sector, entre ellos BBC World News, Sky News, SABC, The Guardian y Risky Business. Es autor de publicaciones de F5 Labs, incluidos los informes anuales «Phishing and Fraud» y «TLS Telemetry», y recientemente fue coautor de «Cryptonice», una herramienta DevOps de análisis de SSL/TLS/HTTPS que ayuda a las organizaciones a mejorar la seguridad de sus aplicaciones. Warburton obtuvo un máster en Seguridad de la Información por la Royal Holloway, Universidad de Londres, donde dedicó su tesis al uso de la seguridad y la criptografía en el internet de las cosas (IoT).
Más artículos de David WarburtonArtículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.