PHISHING ¡ESTAFA INFORMATICA EN AUMENTO!

INFRAESTRUCTURA DE TECNOLOGIAS DE LA INFORMACION

PHISHING

La primera mención del término phishing data de enero

de 1996 en el grupo de noticias de hackers alt.2600 y fue
usado para denominar a quienes intentaban "pescar"
cuentas de miembros de AOL. Es posible que el término
ya hubiera aparecido anteriormente en la edición impresa
del boletín de noticias hacker 2600 Magazine
El término phishing proviene de la palabra inglesa
 "fishing" (pesca), haciendo alusión a utilizar un cebo y
esperar a que las víctimas "muerdan el anzuelo". Los
cebos utilizados pueden ser muy variados.
También se dice que el término phishing es la
contracción de password harvesting fishing (cosecha y
pesca de contraseñas), aunque esto probablemente es
un acrónimo retroactivo, dado que la escritura ph es
comúnmente utilizada por hackers para sustituir la f,
como raíz de la antigua forma de hacking telefónico
conocida como phreaking.
QUE ES EL PHISHING?

 El termino Phishing es utilizado para referirse a uno de

los métodos mas utilizados por delincuentes cibernéticos
para estafar y obtener información confidencial de forma
fraudulenta como puede ser una contraseña o
información detallada sobre tarjetas de crédito u otra
información bancaria de la victima.
 El estafador, conocido como phisher, se vale de técnicas
de ingeniería social, haciéndose pasar por una persona o
empresa de confianza en una aparente comunicación
oficial electrónica, por lo general un correo electrónico,
o algún sistema de mensajería instantánea, redes sociales
 SMS/MMS, a raíz de un malware o incluso utilizando
también llamadas telefónicas.
QUÉ TIPO DE INFORMACIÓN ROBA?

A través de los medios de propagación como

correos electrónicos, llamadas telefónicas, SMS,
MMS, el Phishing roba estos tipos de información
como: datos personales, información financiera y
credenciales de acceso.
Un atacante podría llegar a ganar dinero si
ponemos el caso de que envié 1 millón de correos,
en donde un bajo porcentaje de personas hicieron
clic (0,5%) y solo una porción de esas personas
(20%) ingresaron sus datos, podría generar de
ganancia 10.000 dólares.
 COMO SE DISTRIBUYE EL PHISHING ?
 En las últimas semanas hablamos de las novedades principales presentadas en la Crypto Week por parte
de Cloudflare. Entre ellas se encontraba la de la puerta de enlace IPFS que permite a los usuarios acceder al contenido
almacenado en el sistema de archivos distribuido de IPFS a través de un navegador web. El problema llega cuando los
ciberdelincuentes logran utilizar esta puerta de enlace para llevar a cabo un ataque phishing con el objetivo de hacerse
con las credenciales de los usuarios.

 Este fallo en Cloudflare

permite a piratas informáticos suplantar la identidad
en servicios como Google o Microsoft
UN ATAQUE DE PHISHING TIENE TRES COMPONENTES:

 El ataque se realiza mediante comunicaciones

electrónicas, como un correo electrónico o una
llamada de teléfono.
 El atacante se hace pasar por una persona u
organización de confianza.
 El objetivo es obtener información personal
confidencial, como credenciales de inicio de sesión o
números de tarjeta de crédito.
 TÉCNICAS DE PHISHING

Los ataques de phishing se pueden clasificar según el objetivo contra el que se dirige el ataque.  Actualmente se han contando más de 10 000
formas de phishing . Los tipos de ataques de phising más frecuentes son:
• Phishing general, phishing tradicional, Bulk Phishing o Spray and pray. Consiste en la emisión masiva de correos electrónicos a
usuarios. Estos correos suplantan a entidades de confianza (ejemplo bancos) y persiguen el engaño del usuario y la consecución de
información. Por ejemplo en el mensaje se incluyen enlaces a dominios maliciosos. Para camuflar estos enlaces es habitual que el texto del
enlace sea la URL correcta, pero el enlace en sí apunte al sitio malicioso.
• Vishing. Es similar al phishing tradicional pero el engaño se produce a través de una llamada telefónica. El término deriva de la unión de
dos palabras en inglés: ‘'voice'’ y ‘'phishing’'. Un ejemplo típico de uso de esta técnica es cuando un ciberdelincuente ha robado ya
información confidencial a través de un ataque de phising, pero necesita la clave SMS o token digital para realizar y validar una operación.
Es en ese momento el ciberdelincuente llama por teléfono al cliente identificándose como personal del banco y, con mensajes
particularmente alarmistas, intenta de que el cliente revele el número de su clave SMS o token digital, que son los necesarios para autorizar
la transacción.13​
• Qrishing:phishing a través de códigos QR el cual consiste en la manipulación de códigos QR y el posterior engaño a las víctimas mediante
la suplantanción de la página web o aplicación a la que se accede al escanear el código el cual dirige al usuario a un link fraudulento
utilizado con la finalidad de obtener información privada de las víctimas. 1415
​ 16
​​
• Smishing. Es similar al phishing tradicional pero el engaño se produce a través mensajes de texto ya sean por SMS o  
mensajería instantánea (como WhatsApp). Un ejemplo típico de esta técnica es cuando el cliente recibe un mensaje de texto, donde el
emisor se hace pasar por el banco, y le informan que se ha realizado una compra sospechosa con su tarjeta de crédito. A su vez, el texto
solicita que se comunique con la banca por teléfono de la entidad financiera y le brinda un número falso. El cliente devuelve la llamada y es
ahí cuando el ciberdelincuente, haciéndose pasar por el banco, solicita información confidencial para supuestamente cancelar la compra. En
una variante de esta modalidad el mensaje también podría incluir un enlace a una ‘web’ fraudulenta para solicitar información sensible.
 FASES DE PHISHING

 En la primera fase, la red de estafadores se nutre de

usuarios de chat, foros o correos electrónicos, a través de
mensajes de ofertas de empleo con una gran rentabilidad
o disposición de dinero (hoax o scam). En el caso de que
caigan en la trampa, los presuntos intermediarios de la
estafa, deben rellenar determinados campos, tales como:
Datos personales y número de cuenta bancaria.
 Se comete el phishing, ya sea el envío global de millones
de correos electrónicos bajo la apariencia de entidades
bancarias, solicitando las claves de la cuenta bancaria
(phishing) o con ataques específicos.
 El tercer paso consiste en que los estafadores comienzan
a retirar sumas importantes de dinero, las cuales son
transmitidas a las cuentas de los intermediarios (muleros).
 Los intermediarios realizan el traspaso a las cuentas de
los estafadores, llevándose estos las cantidades de dinero
y aquellos —los intermediarios— el porcentaje de la
comisión.
COMO
PROTEGERNOS
DE UN ATAQUE
DE PHISHING
CÓMO PROTEGERTE DEL PHISHING

No introduzcas nunca tus datos personales en una página web a la que has accedido a través de un correo. En el caso de que sí la conozcas, entra
tecleando la dirección en el navegador.

Revisa tus cuentas periódicamente para tener controlados los movimientos que se realizan en ellas y el total acumulado. Si ves alguna operación que
no reconoces, ponte inmediatamente en contacto con atención al cliente (o con tu Equipo de Gestores) para solucionarlo.

Recuerda que BBVA nunca te solicitará tu información bancaria por email o SMS, así que no la proporciones por estos canales.

Revisa bien la URL del enlace que te han enviado. Hasta el más mínimo detalle (una letra distinta, un punto o un guion, por ejemplo) puede ser clave
para no caer en la trampa. También debes comprobar que el enlace comience por “https”, sello inequívoco de seguridad.  

Verifica que el remitente del email es el oficial. Los ciberdelincuentes suelen utilizar técnicas para simular que se trata de la compañía o entidad real,
incluyendo algún carácter especial entre ellas (bbv-a, por ejemplo) o cambiando alguna letra por otra parecida (bbua).

No sigas leyendo el mensaje si es extremadamente alarmante o si te obliga a tomar una decisión en un periodo corto de tiempo. Si se da alguno de los
dos casos, el banco contacta con su cliente por una vía más segura. 

No descargues un archivo adjunto en un correo electrónico, más sin pasarlo por un antivirus, salvo que sepas que proviene de una fuente segura.
 INTEGRANTES

Nube

Local

Híbrido