¿Qué es el whaling?
El "whaling" es un tipo sofisticado de ataque spear phishing donde los actores de amenazas apuntan directamente a jugadores de alto nivel en una organización o se hacen pasar por ellos para engañar a otros. Un ejemplo común es apuntar a un CEO de la empresa o hacerse pasar por el CEO para engañar a otros componentes esenciales de una organización, como CFOs, departamentos de nómina, equipos de seguridad o portavoces.
Los ciberdelincuentes pueden usar estrategias de ingeniería social complejas para ejecutar exitosamente ataques de whaling, ya que saben que los líderes de organizaciones modernas emplean varias estrategias y herramientas de mitigación de phishing. Desafortunadamente, puede ser difícil atrapar a los atacantes porque a menudo enmascaran sus ubicaciones y ocultan sus huellas digitales.
¿Qué es el whaling en comparación con el phishing?
Antes de profundizar en lo que es el whaling o cómo funcionan los ataques de whaling, probablemente deberíamos responder a la pregunta frecuente: ¿qué es el phishing en ciberseguridad? En resumen, el phishing es cuando los actores de amenazas se presentan falsamente como partes de confianza para ganar la confianza de una víctima y robar su dinero o información sensible. Contrario a la creencia popular, los ataques de phishing no están limitados a correos electrónicos. Por ejemplo, los ataques de phishing que usan mensajes de texto se llaman smishing, y los ataques de phishing que utilizan comunicaciones de voz se llaman vishing.
Los correos electrónicos de phishing generalmente apuntan a muchos usuarios de Internet y son más fáciles de detectar porque los actores de amenazas los diseñan para una audiencia masiva. De hecho, envían miles de millones de correos de phishing cada día. Sin embargo, los ataques de phishing también pueden ser más dirigidos.
¿Qué es un ataque spear-phishing?
Un ataque de spear-phishing es un tipo de phishing más dirigido donde los actores maliciosos personalizan correos electrónicos para atacar a un grupo específico de personas como empleados de un departamento financiero. Pueden recolectar datos de software espía o fuentes en Internet como páginas de redes sociales para obtener nombres, títulos de trabajo, direcciones de correo electrónico, y más para diseñar un ataque de spear-phishing persuasivo. Tácticas similares pueden ayudar a los hackers a lanzar ataques de whaling.
¿Por qué se le llama ataque de whaling?
Los términos phishing, spear-phishing y whaling son todos análogos a la pesca. Así como los pescadores lanzan una caña con cebo al agua, esperando atrapar uno de los muchos peces en el mar, un hacker envía correos electrónicos de phishing a muchas personas esperando atrapar al menos una víctima. De manera similar, al igual que algunos expertos en pesca usan arpones para cazar peces individuales, los actores de amenazas usan spear-phishing para objetivos específicos.
En cuanto a las ballenas, estos mamíferos son los peces más grandes del mar y un objetivo de alto valor para algunos pescadores. De igual manera, los ataques de whaling en ciberseguridad también apuntan a objetivos lucrativos como ejecutivos en una empresa.
¿Cómo funciona un ataque de whaling?
Con objetivos de alto nivel conscientes de los ataques de phishing, los hackers usan diversas estrategias para hacer exitoso su campaña de whaling. Por ejemplo, pueden explotar la página de LinkedIn de un ejecutivo para darle un toque personal a su campaña. De hecho, las brechas de seguridad son la razón por la que tal vez no deberías usar LinkedIn en absoluto. Un atacante de whaling también puede investigar la jerga de la industria para parecer legítimo y explotar las emociones de un objetivo ofreciendo una lucrativa oportunidad de negocio. Después de completar la fase de recolección de inteligencia, pueden utilizar los siguientes vectores de ataque de whaling:
- Emails: Como se mencionó antes, los correos electrónicos diseñados para manipular a sus objetivos son un vector de ataque común y utilizan archivos adjuntos maliciosos, enlaces o sitios web.
- Teléfono: El Centro Nacional de Seguridad Cibernética del Reino Unido señaló que los atacantes pueden usar correos electrónicos y llamadas telefónicas en una estrategia de uno-dos donde la llamada telefónica sigue al correo electrónico para reforzar el phishing.
- Pretexting: Los estafadores pueden hacerse amigos de un objetivo a través de las redes sociales pretendiendo ser un socio de negocios potencial, interés amoroso, colega de la industria o una figura de autoridad como un oficial de impuestos.
- Cebo: El atacante puede atraer a un objetivo a usar una unidad USB infectada que parece auténtica dejándola en su oficina, casillero del gimnasio o enviándola a su hogar.
¿Cuál es el objetivo de los ataques de whaling?
- Dinero: Los atacantes pueden utilizar el ataque spear-phishing para engañar a las víctimas y que les envíen dinero a través de una transferencia bancaria o extorsionar a una organización después de la exfiltración de datos.
- Control: Un hacker puede usar credenciales robadas para moverse lateralmente en la red de una organización o abrir puertas traseras.
- Ataque a la cadena de suministro: Un ataque a la cadena de suministro ocurre cuando los hackers atacan organizaciones vulnerando elementos vulnerables en su cadena de suministro. Con el phishing de ballenas, un ciberdelincuente podría teóricamente atacar a un gobierno hackeando a su proveedor para un ataque de hombre en el medio.
- Espionaje corporativo: Con un ataque de whaling exitoso, un hacker puede robar propiedad intelectual u otros secretos comerciales para ayudar a competidores, a veces en otro país.
- Malware: Una banda criminal cibernética puede engañar a las víctimas de un ataque de whaling para que instalen malware peligroso como ransomware, keyloggers o rootkits.
- Venganza personal: La víctima de un ataque de whaling puede sufrir una pérdida catastrófica en su reputación.
¿Cuál es un ejemplo de whaling?
A lo largo de los años, ha habido muchos ataques de whaling, que algunos medios de comunicación también llaman estafas de correo electrónico del CEO. Aquí hay algunos ejemplos:
2015: Una subsidiaria en Hong Kong de la compañía de redes inalámbricas Ubiquiti Networks Inc. fue estafada por $46.7 millones después de que un correo electrónico falso engañara a un empleado de finanzas.
2015: Un ejecutivo financiero del gigante de la fabricación de juguetes Mattel transfirió $3 millones a un estafador después de recibir una solicitud fraudulenta que parecía ser del nuevo CEO.
2016: Un fabricante aeroespacial austriaco llamado FACC despidió a su CEO después de perder $58 millones en una estafa de correo electrónico de whaling.
2016: Un empleado de recursos humanos de Snapchat filtró datos de nómina de empleados después de una estafa de correo electrónico del CEO.
2017: Hackers estafaron a un pequeño dueño de negocios por $50,000 en un ataque de whaling tipo hombre en el medio.
2020: Ciberdelincuentes usaron un enlace malicioso para atacar al cofundador de un fondo de cobertura australiano con fraude, forzando a la empresa a cerrar.
¿Cómo prevenir los ataques de whaling?
Una organización puede reducir la amenaza de ataques de whaling aprendiendo cómo detectar intentos de phishing de hackers, como revisar la URL, la dirección de correo electrónico, los enlaces y archivos adjuntos en un correo electrónico en busca de señales de alerta. Del mismo modo, el lenguaje, el tono y la gramática de un correo electrónico pueden ser una pista. Además del entrenamiento anti-phishing, los ataques simulados de whaling también pueden mejorar las habilidades de detección de phishing de un equipo. Para mayor protección, las empresas deben usar software de ciberseguridad que bloquee vectores de ataque de whaling como sitios web de estafas.