El estudio de este año muestra un crecimiento espectacular del 29% en los ataques de phishing en comparación con años anteriores, siendo las compañías de comercio minorista y mayorista las más afectadas por el cambio. El informe también mostró una creciente importancia de los métodos de phishing como servicio, así como nuevos vectores de ataque, como el phishing por SMS, que se está convirtiendo en uno de los métodos de intrusión más frecuentes.
"Los ataques de phishing están afectando a las empresas y a los consumidores con una alarmante frecuencia, complejidad y amplitud, y el aumento del phishing como servicio facilita más que nunca el lanzamiento de estos ataques por parte de actores no sofisticados. Nuestro informe anual destaca cómo los cibercriminales continúan incrementando el uso del phishing como base para penetrar en las organizaciones con el fin de introducir ransomware o robar datos sensibles", dijo Deepen Desai, CISO y vicepresidente de Operaciones e Investigación de Seguridad de Zscaler. "Para defenderse contra los ataques avanzados de phishing, las organizaciones deben impulsar una estrategia defensiva múltiple que tenga su origen en una plataforma de confianza cero nativa de la nube y que unifique la inspección SSL completa con la detección impulsada por IA/ML para detener los intentos de phishing más sofisticados y los kits de phishing, la prevención del movimiento lateral y el engaño integrado para limitar el radio de explosión de un usuario comprometido, los controles proactivos para bloquear los destinos de alto riesgo, como los dominios recién registrados de los que suelen abusar los actores de la amenaza, y la DLP on-line para protegerse contra el robo de datos".
El phishing es, desde siempre, una de las principales ciberamenazas, que utiliza diversos métodos para robar información privada. Una de las razones por las que este tipo de ataque crece anualmente en importancia es su baja barrera de entrada. Los ciberdelincuentes utilizan la actualidad, como la pandemia del COVID-19 o las criptomonedas, para intentar confundir a sus víctimas para que les entreguen datos confidenciales, como contraseñas, información de tarjetas de crédito y credenciales de acceso.
El informe de 2022 sobre phishing de ThreatLabz reveló que los ataques de phishing engañan a las víctimas haciéndose pasar por grandes marcas o promocionando acontecimientos de actualidad. Los principales temas de phishing en 2021 incluyeron categorías como herramientas de productividad, webs de streaming ilegales, webs de compras, plataformas de redes sociales, entidades financieras y servicios logísticos.
Un problema universal
En 2021, Estados Unidos fue el país más amenazado en todo el mundo, representando más del 60% de todos los ataques de phishing bloqueados por la nube de seguridad de Zscaler. Los siguientes países con mayor número de ataques son Singapur, Alemania, Países Bajos y Reino Unido.
No todos los países registraron el mismo grado de interés por parte de los ataques de phishing. Por ejemplo, los Países Bajos tuvieron una disminución del 38 %, lo que puede ser resultado de la nueva legislación que aumentó las penas para el fraude online.
Los ataques de phishing tampoco se repartieron uniformemente entre los distintos sectores. Las compañías de ventas al por menor y al por mayor experimentaron un incremento de más del 400% frente al año anterior, lo que supone el mayor incremento entre todas las industrias analizadas. A estas empresas les siguen el sector financiero y el de las administraciones públicas, cuyas empresas sufrieron un aumento medio de más del 100% en sus ataques. Sin embargo, otros sectores experimentaron un ligero descenso frente al año pasado. Los servicios de salud experimentaron un descenso considerable del 59%, mientras que el sector de servicios experimentó una caída del 33%.
Phishing-as-a-Service - una amenaza que no deja de crecer
Aunque el phishing ha sido durante mucho tiempo una de las principales técnicas utilizadas en los ciberataques realizados por actores sofisticados, cada vez es un método más accesible para los criminales que no tienen conocimientos técnicos, gracias a la existencia de un mercado clandestino de servicios y estructuras de ataque. Al vender sus herramientas y servicios de phishing en la Web oscura, los cibercriminales han hecho más fácil el despliegue de estafas de phishing a gran escala, lo que ha propiciado una mayor actividad de phishing en 2022.
Hacer frente a los ataques de phishing
Según el equipo de investigadores de Zscaler ThreatLabz, una entidad de tamaño medio recibe decenas de correos electrónicos de phishing cada día. Este hecho implica que todos los empleados, a todos los niveles, deben ser conscientes de las tácticas de phishing más habituales y estar preparados para detectar cualquier intento de phishing que pueda provocar pérdidas económicas y daños a la reputación de la empresa.
Enfrentarse a la amenazas descritas en el Informe de Phishing 2022 de ThreatLabz puede ser abrumador, y aunque es imposible eliminar el riesgo de phishing, una gestión eficaz puede evitar que información crítica para la empresa caiga en manos de los cibercriminales. Entre otras recomendaciones, Zscaler sugiere las siguientes medidas para contrarrestar el crecimiento del phishing:
Cómo Zscaler Zero Trust ExchangeTM puede hacer frente a los ataques de phishing
El uso indebido por parte de los usuarios es uno de los mayores problemas de seguridad contra los que hay que defenderse. Zscaler Zero Trust Exchange incorpora controles de prevención de phishing en una arquitectura integral de confianza cero que desactiva cada etapa de los ataques y minimiza los daños. Entre estas prestaciones se incluyen: