Uno de los métodos utilizados para el doxing son los ataques en los que se compromete el correo electrónico empresarial (BEC por sus siglas en inglés). En este tipo de ataques dirigidos los delincuentes inician cadenas de correos electrónicos con los empleados haciéndose pasar por alguien de la empresa. En febrero de 2021, Kaspersky detectó 1.646 ataques de este tipo, lo que pone de manifiesto la vulnerabilidad de las organizaciones a la hora de explotar la información disponible públicamente. Por lo general, el objetivo de estos ataques es extraer información confidencial, tales como bases de datos de clientes, o robar fondos. Por ejemplo, Kaspersky analiza regularmente ataques en los que un delincuente se hace pasar por un empleado de la organización objetivo utilizando un correo electrónico muy similar al real, con el objetivo de extraer fondos.
Ejemplo de ataque BEC solicitando un reemplazo de los datos bancarios en la nómina.
Estos ataques no serían posibles a escala masiva sin que los delincuentes recopilaran y analizaran la información pública disponible en las redes sociales y otros medios, como los nombres y cargos de los empleados, dónde viven, sus períodos de vacaciones o sus contactos.
Otras estrategias de doxing en el sector empresarial
Sin embargo, los ataques BEC son sólo un tipo de ataque que aprovecha la información disponible públicamente para perjudicar a una organización. La diversidad de formas en que las organizaciones pueden ser objeto de doxing es asombrosa y, además de los métodos más obvios como el phishing o la recopilación de perfiles sobre las organizaciones mediante la filtración de datos, incluye enfoques más creativos y basados en la tecnología.
Tal vez una de las estrategias de doxing corporativo más de moda sea el robo de identidad. Por regla general, los doxers se basan en la información para hacer el perfil de un empleado concreto y luego explotar su identidad. Las nuevas tecnologías, como los deepfakes, facilitan la ejecución de este tipo de iniciativas siempre que haya datos públicos para empezar. Por ejemplo, un vídeo deepfake que haga creer que un empleado de una organización podría dañar la reputación de la empresa. Los doxers sólo necesitarían para crearlo una imagen del empleado objetivo e información personal básica. También se pueden aprovechar las voces: un portavoz de alto nivel que habla en la radio o en algún podcast podría acabar con su voz grabada y luego imitada, por ejemplo, en una llamada a contabilidad solicitando una transferencia bancaria urgente o pidiendo que le envíen la base de datos de clientes.
"Mientras que se suele pensar que el doxing solo es un problema para los usuarios habituales de las redes sociales -lo vemos a menudo en los escándalos de las redes sociales-, el doxing corporativo es una amenaza real para los datos confidenciales de las organizaciones y no debe pasarse por alto. El doxing de las organizaciones, al igual que el de las personas, puede dar lugar a pérdidas financieras y de reputación, y cuanto más sensible sea la información confidencial extraída, mayor será el daño. Al mismo tiempo, el doxing es una de las amenazas que podrían evitarse o, al menos, minimizarse significativamente con procedimientos de seguridad sólidos dentro de una organización", explica Roman Dedenok, investigador de seguridad de Kaspersky.
Aprenda más sobre los métodos que utilizan los doxers para atacar a las organizaciones en Securelist.
Lea más sobre la amenaza del doxing y dónde pueden acabar los datos personales aquí.
Para evitar o minimizar el riesgo de un ataque exitoso a una organización, Kaspersky recomienda: