MANUAL DE BUENAS PRACTICAS

PARA ATAQUES DE MALWARE O

PHISHING
 ¿QUE ES EL PHISHING?

Es una técnica que consiste en

engañar al usuario para robarle
información confidencial, claves
de acceso, etc.., haciéndole creer
al usuario que esta en un sitio de
total confianza.
 TIPOS DE PHISHING
Spear phishing
Phishing de clonado o de Malware-Based Phishing
El ataque suele ser mucho más
redireccionamiento  Este tipo de ataque se caracteriza por el
personalizado. En algunos casos se llega
envío de correos electrónicos en los que
 Es la modalidad más común de incluso a incluir el nombre de la víctima,
se introduce una pieza de malware como
phishing. El hacker se hace pasar por su posición, la compañía, el teléfono, etc.
archivo adjunto o como un descargable
Además, suelen ir dirigidos a un número
alguien conocido o por una marca que en el sitio web al que apunta el
reducido de personas con cierto perfil
cuente con la confianza de la víctima. hipervínculo enviado por email y así
poder aprovechar las vulnerabilidades de dentro de una empresa (normalmente
 El objetivo es conseguir información suele ser el eslabón más débil).
l dispositivo del usuario.
personal o credenciales de acceso a El objetivo de este tipo de ataques suele
 Este tipo de ataque es especialmente
un determinado sitio.
común en las pequeñas y medianas ser más específico. Cada vez más, las
empresas. ¿El motivo? Por lo general, el redes sociales, están siendo también
software no está siempre actualizado a la utilizadas.
última versión y presenta mayores
vulnerabilidades.
 TIPOS DE PHISHING
Smishing (SMS)
 No es realizado por email, sino a través  Consiste en posicionar una página
de los teléfonos móviles. El hacker
suele hacerse pasar por una empresa de
confianza y envía un SMS informando
al usuario de que ha ganado un premio,
ofreciéndole participar en un sorteo o
para ofrecerle algún tipo de
atención/soporte. Para canjearlo, la
víctima debe
 Hacer clic en un hipervínculo
 Llamar a un número de teléfono
 Responder al mensaje
Búsquedas del navegador
Suplantación del CEO
 Consiste en hacerse con los
falsa por encima de la oficial
credenciales del CEO o de cualquier
mediante técnicas de SEO y SEM,
otra persona con un cargo relevante
para que cuando la víctima realiza
dentro de la empresa para así, enviar
una búsqueda, acceda a dicho
un email desde su cuenta solicitando
resultado por error y, creyendo que
algún dato confidencial o la
se trata de la página legítima,
realización de una determinada
introduzca en ella algún tipo de
transferencia/pago.
información.
ACCIONES Y CUIDADOS PARA EVITAR EL
PHISHING
Mantener actualizado el No responder correos de emisores
antivirus desconocidos
 Es el principal aspecto a tener en cuenta
 En caso que lleguen mensajes de
en materia de seguridad. Normalmente,
emisores con los cuales nunca se ha
las compañías encargadas de ofrecer
mantenido una relación, abstenerse
antivirus ofertan distintos niveles de
de abrirlos y borrarlos de forma
seguridad. Para una empresa, es
imprescindible escoger el más elevado, inmediata. Pueden contener un virus
aunque el coste sea mayor. Se trata, que se escampe por todo el sistema.
dentro del gasto global a soportar, de un
porcentaje muy pequeño que puede
evitar grandes problemas.
ACCIONES Y CUIDADOS PARA EVITAR EL
PHISHING
Fijarse bien en las URLs Cambiar de forma regular las
Es habitual que, cuando escribimos de contraseñas
forma rápida, nos equivoquemos a la  Mantener siempre las mismas
hora de teclear un determinado nombre. contraseñas es contraproducente, de
En algunos casos, este error puede llevar
forma que se aconseja cambiarlas
a páginas con enunciado muy parecido
cada cierto tiempo. De la misma
pero que, realmente, incorporan un
forma, hay otros aspectos de sentido
virus. Además, hay que comprobar que
común a precisar: nunca facilitar las
al lado de la dirección aparece un
claves propias a nadie ni llevarlas
candado. Es la forma de asegurarnos que
escritas encima.
estamos entrando en una página web
segura.
ACCIONES Y CUIDADOS PARA EVITAR EL
PHISHING
Formar al personal
Utilice un administrador de
En una empresa, muchas personas tendrán
contraseñas con relleno
mail de la compañía, en el cual se transmite
automático
información que puede ser de relevancia. Por
lo tanto, un error o despiste en esta materia por  Los administradores de contraseñas

parte de un miembro de la organización puede que rellenan automaticamente las

poner en riesgo la seguridad de toda una
empresa. Así pues, es imprescindible que
todos las personas del equipo conozcan las
acciones de prevención a emprender en
materia de ciberseguridad mediante una
completa formación.
contraseñas mantienen un registro de
los sitios a los que pertenecen esas
contraseñas. Mientras que es fácil
para un ser humano ser engañado por
paginas de ingreso fraudulentas, los
administradores de contraseñas no
son engañados de la misma manera.
ACCIONES Y CUIDADOS PARA EVITAR EL
PHISHING
Usar una llave de segundo factor
universal (U2F) en el inicio de sesión
 Algunas personas o empresas suelen recibir
 Algunos sitios permiten utilizar token de
hardware especial con capacidades avanzadas
para evitar intentos de phishing, estos tokens
se comunican con su navegador para
establecer credenciales por sitio para iniciar
sesión.
Abra documentos sospechosos en
Google drive
adjuntos de destinos desconocidos, archivos
como Word, pdf, Excel entro otros, para
estos casos si se sospecha del origen de
dicho documento, se recomienda cargarlo a
Google drive o cualquier otro lector de
documentos en línea, lo que hace esta
acción es convertir el documento en una
imagen o en HTML, lo que casi con
seguridad le impedirá instalar el software
malicioso en el dispositivo.
 CONCLUSIÓN
 Como hemos podido notar a lo largo de este Manuel, hemos visto que son muchos los casos o tipos de
phishing que podemos encontrar hoy en día, esta claro que siempre existirá un riesgo de caer en un
ataque de estos, ya sea para una persona o empresa, pero para prevenir o bajar ese porcentaje de riesgo
todo depende de nosotros y de que medidas y precauciones estamos tomando frente a este temas y
muchos más que tiene que ver con la seguridad informática, ya que toda nuestra información ya sea
personal o empresarial es muy buscada por los ciberdelincuentes para tener una base y buscar beneficios
que en la mayoría de los casos son económicos.