Hubo un tiempo en que los ataques de phishing y phishing dirigido solo se disparaban en determinadas épocas del año, como durante festividades importantes como la Navidad o el Año Nuevo chino, celebraciones de marcado carácter comercial como San Valentín o el Festival de los Faroles en China, o eventos de compras como el Black Friday o el Cyber Monday en Estados Unidos, el Boxing Day (26 de diciembreth ) en el Reino Unido y la Mancomunidad de Naciones, o el Día del Soltero (11 de noviembreth ) en Asia.
Los atacantes se dieron cuenta entonces de que podían aprovechar el FUD —miedo, incertidumbre y duda— generado por catástrofes naturales y provocadas por el ser humano, guerras, enfermedades, elecciones o cualquier acontecimiento que acapare la actualidad para sembrar sus maliciosas semillas.
En el Reino Unido, la Oficina del Comisionado de Información (ICO) indicó que el phishing fue la principal causa de las brechas de ciberseguridad entre abril de 2019 y marzo de 2020. La Oficina del Comisionado de Información de Australia (OAIC) señaló que el phishing representó el 36 % de todos los casos que se le notificaron, situándose a la cabeza de su lista.
En este sentido, los ataques de phishing y phishing dirigido aumentaron drásticamente a lo largo de 2020, impulsados por la amenaza de una pandemia mundial, los países sometidos a cuarentenas o confinamientos, los trabajadores obligados a trabajar desde casa e incluso las controvertidas elecciones celebradas en Estados Unidos y otros países. Hasta el anuncio de que las vacunas contra la COVID-19 estaban listas se está aprovechando para incitar incluso a las personas más precavidas a abrir correos electrónicos de remitentes desconocidos —o incluso de remitentes conocidos cuyas cuentas podrían haber sido vulneradas y secuestradas— con el fin de propagar malware y otros vectores de ataque maliciosos, robar información de usuarios y empresas o permitir el acceso ilícito a redes, nubes, aplicaciones y datos confidenciales.
Una de las razones más citadas para explicar el reciente auge de los ataques de phishing han sido las órdenes de trabajar desde casa provocadas por la pandemia de COVID-19. Muchos empleados, contratistas y otros miembros del personal se han visto obligados a trabajar desde casa o de forma remota, lo que rápidamente atrajo la atención indeseada de los atacantes. Estos comprendieron que era muy probable que las personas que trabajaban a distancia estuvieran sometidas a una mayor presión, bajaran la guardia y empezaran a hacer clic en enlaces de prácticamente cualquier correo electrónico, incluso en aquellos que normalmente podrían despertar sospechas. También saben que quienes trabajan desde casa podrían estar utilizando dispositivos personales (BYOD) que no cuentan con las herramientas que suelen emplear las organizaciones para protegerlos frente a ataques como el phishing. Los atacantes y los hackers también creen que los trabajadores desde casa podrían no disponer de suficiente ancho de banda para mantener el software de seguridad en funcionamiento o actualizado, y que podrían desactivarlo o no instalar sus actualizaciones. En muchas ocasiones, tienen razón.
Phishing y cifrado
A medida que los ataques de phishing han aumentado rápidamente, el número de sitios de phishing que utilizan cifrado ha crecido al mismo ritmo. Según el reciente Informe sobre phishing y fraude de 2020 de F5 Labs, casi el 72 % de los enlaces de phishing dirigen a las víctimas a sitios web cifrados mediante HTTPS. Esto significa que la gran mayoría de los sitios de phishing maliciosos ahora parecen sitios web válidos y fiables que pueden engañar fácilmente incluso a los empleados más perspicaces. Estos datos también han sido corroborados por investigaciones de otros informes, entre ellos un informe de Venafi que descubrió dominios sospechosos que imitaban a sitios de comercios minoristas y utilizaban certificados válidos para hacer que los sitios web de phishing parecieran legítimos, lo que daba lugar al robo de datos confidenciales de cuentas y pagos.
Y no son solo los sitios web maliciosos los que utilizan el cifrado TLS para parecer convincentes y legítimos. También lo hacen los destinos a los que el malware distribuido mediante ataques de phishing envía los datos que roba a las víctimas y a sus organizaciones; estos destinos se denominan zonas de entrega. Según el informe Phishing and Fraud Report 2020 de F5 Labs, todos los incidentes —el 100 %— relacionados con zonas de entrega que investigó el Centro de Operaciones de Seguridad (SOC) de F5 durante 2020 utilizaron cifrado TLS.
Detectar amenazas en el tráfico cifrado no es fácil
Hoy en día existen numerosas soluciones para combatir el phishing desde distintos frentes. Algunas permiten formar al personal para que sepa reconocer y gestionar los ataques de phishing, reduciendo así su incidencia y eficacia. Estas soluciones abordan la seguridad del correo electrónico y ofrecen protección contra el spam, el malware, los archivos adjuntos maliciosos, los ataques BEC y otras amenazas. También hay servicios para gestionar el correo electrónico de una organización. Incluso existen soluciones que actúan como proxy del tráfico web de una organización, lo replican o imitan y envían código a los dispositivos locales para que lo procesen, o bien reproducen la página web sin incluir el código subyacente sospechoso y potencialmente malicioso.
Aunque todas ellas son soluciones excelentes, sigue existiendo el problema de cómo abordar el tráfico cifrado. Si el tráfico está cifrado, es necesario descifrarlo antes de poder analizarlo en busca de malware y otros códigos peligrosos. Esto se aplica tanto al tráfico cifrado que entra en la organización cuando los usuarios hacen clic en enlaces maliciosos y susceptibles de contener malware incluidos en correos electrónicos de phishing, descargan archivos adjuntos cargados de código malicioso o acceden a sitios web malintencionados que parecen auténticos e inofensivos porque tienen el certificado de cifrado «correcto», como al tráfico cifrado que sale de la organización con datos robados hacia una zona de entrega cifrada o que se comunica con un servidor de mando y control (C2) para recibir más instrucciones o activadores con los que desencadenar aún más ataques.
Además, esto ni siquiera tiene en cuenta que las normativas gubernamentales sobre privacidad, como el Reglamento General de Protección de Datos (RGPD) de la Unión Europea (UE), la Ley de Privacidad del Consumidor de California (CCPA) u otras muchas normativas que se están debatiendo en países de todo el mundo, suelen incluir disposiciones que impiden descifrar información personal de los usuarios, como sus datos financieros o sanitarios. Cualquier proceso de descifrado del tráfico cifrado tendría que cumplir estos requisitos de privacidad; de lo contrario, las organizaciones que infringieran estas normativas podrían enfrentarse a litigios y multas cuantiosas.
Pero espera, aún hay más…
Dicho esto, las organizaciones deben ser conscientes de que los ataques de phishing actuales que utilizan cifrado entrañan aún más riesgos. El informe Phishing and Fraud Report 2020 de F5 Labs también reveló que más del 55 % de las zonas de entrega utilizan un puerto SSL/TLS no estándar, mientras que más del 98 % de los sitios web de phishing utilizaban puertos estándar, como el puerto 80 para el tráfico HTTP sin cifrar y el puerto 443 para el tráfico cifrado. Esto significa que, especialmente en el caso del tráfico saliente cifrado, no basta con analizar los puertos estándar. Las soluciones implementadas deben analizar y descifrar el tráfico saliente en puertos no estándar. Esto es imprescindible para impedir la ocultación y la exfiltración de datos críticos.
Hoy en día, para detener las amenazas cifradas derivadas de ataques de phishing, las organizaciones deben inspeccionar todo el tráfico SSL/TLS entrante a fin de garantizar que se bloquee y elimine cualquier tráfico web malicioso o que pueda haberse iniciado mediante phishing. Sin embargo, dicha inspección debe permitir omitir de forma inteligente el descifrado del tráfico cifrado que contenga información confidencial de los usuarios, como datos financieros o relacionados con la salud. Además, las organizaciones actuales deben bloquear por completo o, al menos, supervisar los puertos web de salida no estándar para impedir que el malware establezca comunicaciones cifradas con servidores de C2 y zonas de entrega, y así evitar la exfiltración de datos o la activación de ataques. También hay otros aspectos clave que deben tenerse en cuenta, como el tipo de cifrado que admiten los dispositivos de la pila de seguridad. Por ejemplo, si un atacante sabe que un determinado dispositivo de seguridad no admite el secreto hacia adelante (también conocido como secreto perfecto hacia adelante o PFS), puede aprovechar esta circunstancia para que el dispositivo de seguridad simplemente deje pasar el tráfico cifrado. Esto resulta especialmente costoso y peligroso en entornos donde los dispositivos de la pila de seguridad están conectados en cadena. Si el dispositivo que no admite PFS deja pasar el tráfico sin inspeccionarlo, el resto de la cadena hará lo mismo.
Sin estas medidas de protección, además de la formación en concienciación sobre seguridad y la implantación de soluciones de seguridad del correo electrónico o contra el phishing, las organizaciones quedan expuestas a ataques y brechas de seguridad, así como al robo de datos críticos de la empresa y de los usuarios.
Para obtener información sobre cómo F5 SSL Orchestrator puede eliminar el punto ciego de seguridad que genera el tráfico cifrado y detectar la ocultación de datos críticos que se están filtrando y robando, haga clic aquí.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.