Este es un ejemplo de un intento de phishing. Haciéndose pasar por un correo electrónico oficial, trata de engañar a los clientes del banco para que den información acerca de su cuenta con un enlace a la página del phisher.
Phishing o ciberpesca es un término informático que distingue a un conjunto de técnicas que el engaño a una víctima ganándose su confianza haciéndose pasar por una persona, empresa o servicio de confianza (suplantación de identidad de tercero de confianza), para manipularla y hacer que realice acciones que no debería realizar (por ejemplo, revelar información confidencial o hacer clic en un enlace).
Para realizar el engaño, habitualmente se hace uso de la ingeniería social explotando los instintos sociales de la gente, como es de ayudar o ser eficiente. También mediante la adulación a la víctima, explotando su intrínseca vanidad o necesidad de ser reconocido, baja autoestima, o una persona que busca trabajo. Por ejemplo, enviando correos electrónicos o mostrando publicidades a la víctima diciéndole que ha ganado un premio y que siga un enlace para recibirlo, siendo aquellas promesas falsas (un cebo). A veces también se hace uso de procedimientos informáticos que aprovechan vulnerabilidades. Habitualmente, el objetivo es robar información, pero otras veces es instalar malware, sabotear sistemas, o robar dinero a través de fraudes. El phishing está considerada una de las técnicas de robos de contraseñas más utilizada.
A quien realiza el phishing se le llama phisher.
Dado el creciente número de denuncias de incidentes relacionados con el phishing, se requieren métodos adicionales de protección. Se han realizado intentos con leyes que castigan la práctica y campañas para prevenir a los usuarios con la aplicación de medidas técnicas a los programas.
Origen del término
El término phishing proviene de la palabra inglesa "fishing" (pesca), haciendo alusión a utilizar un cebo y esperar a que las víctimas "muerdan el anzuelo". Los cebos utilizados pueden ser muy variados.
También se dice que el término phishing es la contracción de password harvesting fishing (cosecha y pesca de contraseñas), aunque esto probablemente es un acrónimo retroactivo, dado que la escritura ph es comúnmente utilizada por hackers para sustituir la f, como raíz de la antigua forma de hacking telefónico conocida como phreaking.
La primera mención del término phishing data de enero de 1996, en el grupo de noticias de hackersalt.2600 y fue usado para denominar a quienes intentaban "pescar" cuentas de miembros de AOL. Es posible que el término ya hubiera aparecido anteriormente en la edición impresa del boletín de noticias hacker2600 Magazine.
En el phishing en AOL el atacante se hacía pasar como un empleado de AOL y enviaba un mensaje instantáneo a una víctima potencial. Para poder engañar a la víctima de modo que diera información confidencial, el mensaje podía contener textos como "verificando cuenta" o "confirmando información de factura". Una vez el usuario enviaba su contraseña, el atacante podía tener acceso a la cuenta de la víctima y utilizarla para varios propósitos criminales, incluyendo el spam.
Técnicas de phishing
Los ataques de phishing se pueden clasificar según el objetivo contra el que se dirige el ataque, el fin, el medio que se utiliza o según el modo de operación. Un caso concreto puede pertenecer a varios tipos a la vez. Actualmente se han contando más de 10000 formas de phishing. Los tipos de ataques de phising más frecuentes son:
Phishing general, phishing tradicional, Bulk Phishing o Spray and pray. Consiste en la emisión masiva de correos electrónicos a usuarios. Estos correos suplantan a entidades de confianza (ejemplo bancos) y persiguen el engaño del usuario y la consecución de información. Por ejemplo en el mensaje se incluyen enlaces a dominios maliciosos. Para camuflar estos enlaces es habitual que el texto del enlace sea la URL correcta, pero el enlace en sí apunte al sitio malicioso.
Vishing. Es similar al phishing tradicional pero el engaño se produce a través de una llamada telefónica. El término deriva de la unión de dos palabras en inglés: ‘'voice'’ y ‘'phishing’'. Un ejemplo típico de uso de esta técnica es cuando un ciberdelincuente ha robado ya información confidencial a través de un ataque de phising, pero necesita la clave SMS o token digital para realizar y validar una operación. Es en ese momento el ciberdelincuente llama por teléfono al cliente identificándose como personal del banco y, con mensajes particularmente alarmistas, intenta que el cliente revele el número de su clave SMS o token digital, que son los necesarios para autorizar la transacción.
Qrishing: phishing a través de códigos QR el cual consiste en la manipulación de códigos QR y el posterior engaño a las víctimas mediante la suplantanción de la página web o aplicación a la que se accede al escanear el código el cual dirige al usuario a un enlace fraudulento utilizado con la finalidad de obtener información privada de las víctimas.
Smishing. Es similar al phishing tradicional pero el engaño se produce a través mensajes de texto ya sean por SMS o mensajería instantánea (como WhatsApp). Un ejemplo típico de esta técnica es cuando el cliente recibe un mensaje de texto, donde el emisor se hace pasar por el banco, y le informan que se ha realizado una compra sospechosa con su tarjeta de crédito. A su vez, el texto solicita que se comunique con la banca por teléfono de la entidad financiera y le brinda un número falso. El cliente devuelve la llamada y es ahí cuando el ciberdelincuente, haciéndose pasar por el banco, solicita información confidencial para supuestamente cancelar la compra. En una variante de esta modalidad el mensaje también podría incluir un enlace a una ‘web’ fraudulenta para solicitar información sensible.
URL Phishing. Se trata de engañar al usuario haciendo que una URL de un sitio malicioso parezca la de un sitio confiable. A ellas a veces se accede de forma inadvertida al escribir nombres de dominio mal escritos que están muy cerca del dominio legítimo, o siguiendo un enlace malicioso que parece correcto, o por engaños al usar caracteres unicode parecidos difícilmente detectables, especialmente en dispositivos móviles, con pantallas más pequeñas y generalmente una resolución de pantalla inferior. Por ejemplo caracteres latinos con un punto bajo o la letra griega ómicron, "ο". Otra forma de disfrazar enlaces es utilizar direcciones que contengan el carácter arroba: @, para posteriormente preguntar el nombre de usuario y contraseña (contrario a los estándares). Por ejemplo, el enlace http://www.google.com@members.tripod.com/ puede engañar a un observador casual y hacerlo creer que el enlace va a abrir en la página de www.google.com, cuando realmente el enlace envía al navegador a la página de members.tripod.com (y al intentar entrar con el nombre de usuario de www.google.com, si no existe tal usuario, la página abrirá normalmente). Este método ha sido erradicado desde entonces en los navegadores de Mozilla e Internet Explorer.
Whaling. Se diferencia de los otros tipos de intentos de phishing en que el objetivo son personas importantes como por ejemplo ejecutivos de alto rango. Las solicitudes de información contenidas en el ataque están más adaptadas a la persona concreta. Por ejemplo, la información presentada puede incluir solicitudes de citaciones, quejas de clientes, solicitudes de transferencia bancaria u otras solicitudes relacionadas con transacciones financieras concretas. La persona objetivo desprevenida puede verse atraído a revelar información confidencial del sistema u otros datos valiosos a los que solo unos pocos individuos tienen acceso.
Business Email Compromise (BEC) o estafas Man-in-the-Email. Consisten en usar el correo electrónico para desplegar tácticas de ingeniería social y conseguir engañar a empleados desprevenidos. Los formas concretas más habituales de este tipo de ataques son:
CEO Fraud. Consiste en hacerse pasar por un CEO u otro ejecutivo de alto rango que se comunica con un usuario final de nivel inferior para persuadirlo de realizar ciertas acciones. Para realizar este tipo de ataque pueden extraer previamente información relevante para que la solicitud parezca lo más legítima posible. Por lo tanto, el atacante puede combinar las diversas técnicas de phishing e ingeniería social.
Compromiso de la cuenta. La cuenta de correo electrónico de un ejecutivo o empleado es pirateada y utilizada para solicitar pagos de facturas a proveedores que figuran en sus contactos de correo electrónico. Los pagos se envían a cuentas bancarias fraudulentas.
Suplantación de identidad de los abogados. Los atacantes fingen ser un abogado o alguien de la firma de abogados supuestamente a cargo de asuntos cruciales y confidenciales. Normalmente, tales solicitudes falsas se realizan por correo electrónico o por teléfono, y durante el final del día hábil.
El falso esquema de facturas (Bogus Invoice Scheme). El atacante finge ser un proveedor que solicita transferencias de fondos para pagos a una cuenta que controla el atacante. Es típico de las empresas con proveedores extranjeros.
Robo de datos. Su objetivo son los empleados de nivel bajo de Recursos humanos y contabilidad y el objetivo es obtenerles información de identificación personal o declaraciones de impuestos de empleados y ejecutivos. Dichos datos pueden usarse para futuros ataques.
Spear Phishing. El objetivo a engañar es una persona o empleado específico de una compañía en concreto. Para ello los cibercriminales recopilan meticulosamente información sobre la víctima para conseguir su confiaza. Un correo malicioso de spear phishing bien elaborado (típicamente con enlace a sitio malicioso o con documento adjunto malicioso) es muy complicado de distinguir de uno legítimo, por lo que acaba siendo más fácil cazar a la presa. El spear phishing es una herramienta típica usada en ataques a empresas, bancos o personas influyentes y es el método de infección más utilizado en campañas de APT. Los objetivos de este tipo de ataque son tanto los altos cargos con acceso a información potencial, como los departamentos cuyo trabajo consiste en abrir numerosos documentos provenientes de otras fuentes.
Search Engine phishing. En este tipo de ataque los estafadores crean su propio sitio malicioso y lo indexan los motores de búsqueda legítimos. Es habitual que estos sitios maliciosos ofrezcan productos barato, oportunidades de empleo o incluso lancen alertas de virus para los que es necesario adquirir su antivirus. Los compradores en línea encontrarán estos sitios apareciendo en una página típica de resultados de Google, y puede ser muy difícil notar la diferencia con un sitio legítimo. El sitio malicioso alienta a los usuarios a entregar su información personal, como el número del documento de identificación o su número de cuenta bancaria para poder realizar la compra. Estos datos se pueden usar para robarle, secuestrar su identidad o destruir su reputación.
Phising con evasión de filtros. Los mecanismos 'Anti-Phishing' y 'Anti-malware' disponen de mecanismos para detectar ataques. Por ejemplo:
Conocen las palabras clave que deben buscar en correos electrónicos para detectar ataques de phishing. Para evadir esos filtros los atacantes usan técnicas de para evadir esos filtros. Para evitarlo se pueden usar imágenes que contienen texto de phishing incrustado para evitar filtros anti-phishing basados en el análisis de cadenas de texto.
Analizan los ficheros adjuntos para detectar ataques. Para evitarlo se pueden añadir ficheros adjuntos protegidos con contraseña. Esta técnica a la vez que evita el análisis de detección, crea una falsa sensación de seguridad.
Nigerian phishing. Es la transposición a Internet de la clásica estafa que utiliza el gancho de herederas/viudas/secretarias/abogados de millonarios fallecidos/dictadores en desgracia/negocios seguros etcétera, que necesitan una pequeña cantidad de dinero para cierta gestión que les recompensará generosamente. Las historias se han adaptado a los nuevos tiempos y están ampliando su objetivo a empresas siendo frecuente habitual la compra de bases de datos de direcciones electrónicas corporativas en el mercado negro. Sin embargo la base es la misma, aprovecharse de la avaricia y la credulidad de sus víctimas. Puede creerse irrelevante este tipo de ataques, pero el FBI estima que entre octubre de 2013 y mayo de 2016 se estafaron más de 3 mil millones de dólares.
Pharming o DNS-Based Phishing. El engaño consiste en redirigir al usuario a una sitio falso aprovechando para ello vulnerabilidades en el proceso de conversión de la secuencia de letras que componen una URL en una dirección IP. El ataque, puede ser dirigido contra el ordenador del usuario o aprovechar vulnerabilidad del servidor DNS. El término "pharming" es una palabra compuesta por los términos "phishing" y "farming".
Addline Phishing. Consiste en acceder de forma fraudulenta al dispositivo de la víctima con la intención de robar información de las cuentas personales (correos, PayPal, Amazon, Bitcoin, cuentas bancarias,...), típicamente usando servicios Wifi gratuitos maliciosos. Estas cuentas robadas, son utilizadas para cometer o realizar operaciones fraudulentas como si fuera la persona dueña de la cuenta. De esta forma se dificulta la detección del delincuente ya que son hechas en nombre de otra persona. Los montos de dinero obtenidos por el Addline Phishing suelen ser bajos (menores a $50.000) por lo que los bancos dedican poca atención y respaldo a la víctima. Según un estudio de la Universidad de Nueva York, el 74% de las víctimas del Addline Phishing son turistas conectados a redes WiFi de hoteles
Malware-based phishing. Se refiere a aquellos ataques de phishing que implican la ejecución de un software malicioso en los ordenadores de la víctima. Por ejemplo, en un correo electrónico que suplanta la identidad de una marca se incluye como adjunto, o es accesible a través de un enlace, un documento PDF que al abrirse infecta el dispositivo de la víctima
Content-Injection phishing. En este tipo de ataque los atacantes reemplazan parte del contenido de un sitio legítimo con contenido malicioso diseñado para obtener información confidencial del usuario.
Man-in-the-Middle Phishing. El atacante se posiciona entre el ordenador del usuario y el servidor, grabando así, la información que se transmite entre ambos
Watering Hole Phishing, watering hole attack o ataque de abrevadero. El atacante infecta con malware sitios web de terceros muy utilizados por los usuarios de la organización. De esta forma cuando los usuarios de la organización acceden a ese sitio web quedan infectados. El ataque es altamente efectivo ya que con la infección de un solo sitio, se puede lograr que miles de víctimas descarguen la amenaza. El éxito se incrementa si se usa vulnerabilidades 0-Day, no conocidas aún públicamente y que no han sido solucionadas por el fabricante. Su nombre proviene de la forma en que algunos depredadores del mundo animal esperan su oportunidad para atacar a su presa cerca de los pozos de agua que sirven de abrevadero.
Evil Twin. Se trata de crear un Punto de Acceso malicioso a una red Wireless, con apariencia de legítimo, para que los víctimas puedan conectarse y así capturar información confidencial. Por ejemplo redirigiendo a sitios maliciosos que capturan nuestras credenciales.
Social Network Phishing. Son ataques de phishing en los que están involucradas las redes sociales. Por ejemplo:
Phishing de inyección de contenido en redes sociales consiste en insertar contenido malicioso en las redes sociales. Por ejemplo, publicación de post falsos publicados por usuarios cuyas cuentas se vieron afectadas con aplicaciones no autorizadas.
Man-in-the-middle social network attack también conocido como social network session hijacking attack. Es una forma de phishing en la que el atacante se posiciona entre el usuario y el sitio web de una red social legítima. La información que se manda a la red social pasa a través del atacante el cual la lee, la procesa e incluso puede añadir contenido. La forma en que el atacante se sitúa entre el usuario y la red social pueden ser variadas, por ejemplo se puede aprovechar de una vulnerabilidad de la red social, o atraer a la víctima a un sitio de phishing (por ejemplo, una página de inicio de sesión falsa de Facebook) donde la víctima ingresa su nombre de usuario y contraseña que el servidor de phisher utiliza para ingresar al sitio web legítimo de la red social y actualizar y leer en la red social legítima.
Basado en malware. En este tipo de ataque se realiza la propagación de mensajes de phishing mediante el uso de malware. Por ejemplo, la cuenta de Facebook de una víctima que instaló una aplicación de Facebook no autorizada, envía automáticamente mensajes a todos los amigos de la víctima. Dichos mensajes a menudo contienen enlaces que permiten a los receptores de los mensajes instalar la aplicación maliciosa de Facebook en sus computadoras o dispositivos móviles.
Deceptive phishing. En un escenario típico, un phisher crea una cuenta que finge ser la cuenta de la víctima. A continuación, el phisher envía solicitudes de amistad a los amigos de la víctima, así como un mensaje como «He abandonado mi cuenta de Facebook anterior. De ahora en adelante, comuníquese conmigo solo a través de esta cuenta». A continuación, el phisher comienza a enviar mensajes a los amigos de la víctima que exigen que el destinatario haga clic en un enlace. Por ejemplo una factura ficticia que se puede cancelar haciendo clic en un enlace que solicita al usuario que proporcione su información personal.
Tabnabbing. Este tipo de phishing se basa en el hecho de que muchos acostumbran a tener varias pestañas del navegador abiertas. El ataque se basa en que mientras la víctima revisa los contenidos de otras pestañas, el sitio malicioso cambia su apariencia para parecer que se trata de otro sitio. Si no se da cuenta de que este nuevo sitio no es el que estaba utilizando, puede capturar la información. Por ejemplo el sitio malicioso puede simular que se ha perdido la conexión a una web de correo electrónico y pedirle a la víctima las credenciales. Cuando las introduce, le redirige a la página original donde había iniciado sesión anteriormente y le hace creer que su ingreso de datos tuvo éxito.
Man in the Browser (MITB). Combina el uso de técnicas de phishing para instalar un troyano en el navegador del usuario, para capturar, modificar y/o insertar información adicional en las páginas sin el conocimiento del usuario. Una técnica habitual para realizar este tipo de ataque es la instalación de una extensión maliciosa en el navegador. La instalación de esta extensión maliciosa puede ser realizada por un software malicioso o por la propia víctima pensando que se trata de una extensión fiable. El malware instalado en el navegador analizará el tráfico y cuando se cargue una página de una lista de sitios objetivos realizará las acciones para las que está programado
Phishing 2.0. Consiste en utilizar un proxy inverso transparente para montar un ataque man-in-the-middle contra usuarios. Este intermediario hace que en tiempo real, sin que el usuario sea consciente, cada paquete proveniente del navegador de la víctima, sea interceptado, y después enviado al sitio web real. Análogamente en tiempo real cada paquete proveniente del sitio web real será interceptado, antes de ser enviado al navegador. En la interceptación, el proxy inverso analiza el contenido del paquete, almacenando lo que considere útil (por ejemplo, el identificador de usuario, contraseña o cookies de sesión) y pudiendo incluso modificar el contenido del paquete. Para poder usar estas técnicas con servidores web que usen https, es necesario que el servidor proxy tenga instalado un certificado https válido de una URL falsa que suplante a la URl del sitio web real. Este tipo de ataque, al tener un control total del tráfico entre el navegador y el servidor, permite atacar sesiones con autenticación multifactor. Herramientas especializadas para automatizar este tipo de ataques son Evilginx2 y Modlishka
Phishing móvil. Son ataques de phishing especialmente orientados a los dispositivos móviles. Por ejemplo:
Aprovechar mensajes de SMS o de aplicaciones de mensajería instantánea, por ejemplo WhatsApp, para mandar enlaces falsos.
Aprovechar aplicaciones móviles maliciosas para recopilar información personal. Los datos pueden ser introducidos por el usuario o obtenidos directamente por la app, por ejemplo accediendo a los ficheros del dispositivo o usando la información de geolocalización.
Obtener información personal como dónde vivimos o dónde estamos en un preciso momento, a partir de aplicaciones de venta de objetos de segunda mano como Vibbo o Wallapop
Aprovechar información de valoraciones de restaurantes y otros sitios de interés turístico para averiguar dónde está la víctima o para tener información sobre ella. Esta información puede ser usada, por ejemplo, para un primer contacto de tal manera que parezcan personas de confianza
Hishing o “hardware phishing”. Consiste en distribuir malware ocultándolo en equipos que van a ser vendidos, ya sean estos nuevos o usados. Estos códigos maliciosos pueden ocultarse en teléfonos móviles, equipos MP3, etc.
Phishing como servicio
El Phishing como servicio o PHaaS (del inglés Phishing-as-a-Service) consiste en ofrecer, previo pago, una plataforma que proporciona varios servicios de phishing. De esta forma se establece un mercado para comprar y vender dichos servicios.
Es habitual que el sistema ofrezca una serie de plantillas (de redes sociales, banca, comercio minorista, telecomunicaciones, servicios públicos, juegos, plataformas de citas,...) para que el usuario elija la que usa y la configure de acuerdo al ataque de phishing que quiera utilizar. Además, el sistema proporciona un panel que permitirá al usuario seguir los detalles de la campaña de phishing y obtener las credenciales robadas con éxito. A partir de aquí ya el usuario puede explotar estas credenciales para su propio beneficio o venderlas a compradores interesados en el mercado.
A veces se ofrecen suscripciones gratis que permiten ver tutoriales y se asesora sobre como utilizar el phishing para ganar dinero fácil.
Un ejemplo de este tipo de plataformas es Hackshit
Fases
En la primera fase, la red de estafadores se nutre de usuarios de chat, foros o correos electrónicos, a través de mensajes de ofertas de empleo con una gran rentabilidad o disposición de dinero (hoax o scam). En el caso de que caigan en la trampa, los presuntos intermediarios de la estafa, deben rellenar determinados campos, tales como: Datos personales y número de cuenta bancaria.
Se comete el phishing, ya sea el envío global de millones de correos electrónicos bajo la apariencia de entidades bancarias, solicitando las claves de la cuenta bancaria (phishing) o con ataques específicos.
El tercer paso consiste en que los estafadores comienzan a retirar sumas importantes de dinero, las cuales son transmitidas a las cuentas de los intermediarios (muleros).
Los intermediarios realizan el traspaso a las cuentas de los estafadores, llevándose estos las cantidades de dinero y aquellos —los intermediarios— el porcentaje de la comisión.
Daños causados por el phishing
Una gráfica muestra el incremento en los reportes de phishing desde octubre de 2004 hasta junio de 2005.
Los daños causados por el phishing oscilan entre la pérdida del acceso al correo electrónico a pérdidas económicas sustanciales. Este tipo de robo de identidad se está haciendo cada vez más popular por la facilidad con que personas confiadas normalmente revelan información personal a los phishers, incluyendo números de tarjetas de crédito y números de seguridad social. Una vez esta información es adquirida, los phishers pueden usar datos personales para crear cuentas falsas utilizando el nombre de la víctima, gastar el crédito de la víctima, o incluso impedir a las víctimas acceder a sus propias cuentas. También es importante considerar la angustia psicológica y emocional causada por tal robo de identidad en tener estos datos personales.
Se estima que entre mayo de 2004 y mayo de 2005, aproximadamente 1,2 millones de usuarios de computadoras en los Estados Unidos tuvieron pérdidas a causa del phishing, lo que suma a aproximadamente $929 millones de dólares estadounidenses. Los negocios en los Estados Unidos perdieron cerca de 2000 millones de dólares al año mientras sus clientes eran víctimas. El Reino Unido también sufrió el alto incremento en la práctica del phishing. En marzo del 2005, la cantidad de dinero reportado que perdió el Reino Unido a causa de esta práctica fue de aproximadamente £12 millones de libras esterlinas.
Lavado de dinero producto del phishing
Actualmente empresas ficticias intentan reclutar teletrabajadores por medio de correo electrónicos, chats, irc y otros medios, ofreciéndoles no sólo trabajar desde casa sino también otros jugosos beneficios. Aquellas personas que aceptan la oferta se convierten automáticamente en víctimas que incurren en un grave delito sin saberlo: el blanqueo de dinero obtenido a través del acto fraudulento de phishing.
Para que una persona pueda darse de alta con esta clase de «empresas» debe rellenar un formulario en el cual indicará, entre otros datos, su número de cuenta bancaria. Esto tiene la finalidad de ingresar en la cuenta del trabajador-víctima el dinero procedente de estafas bancarias realizadas por el método de phishing. Una vez contratada, la víctima se convierte automáticamente en lo que se conoce vulgarmente como mulero.
Con cada acto fraudulento de phishing la víctima recibe el cuantioso ingreso en su cuenta bancaria y la empresa le notifica del hecho. Una vez recibido este ingreso, la víctima se quedará un porcentaje del dinero total, pudiendo rondar el 10%-20%, como comisión de trabajo y el resto lo reenviará a través de sistemas de envío de dinero a cuentas indicadas por la seudo-empresa.
Dado el desconocimiento de la víctima (muchas veces motivado por la necesidad económica) ésta se ve involucrada en un acto de estafa importante, pudiendo ser requerido por la justicia previa denuncia de los bancos. Estas denuncias se suelen resolver con la imposición de devolver todo el dinero sustraído a la víctima, obviando que este únicamente recibió una comisión.
Anti-phishing
Existen varias técnicas diferentes para combatir el phishing, incluyendo la legislación y la creación de tecnologías específicas que tienen como objetivo evitarlo.
Respuestas organizativas
Una estrategia para combatir el phishing adoptada por algunas empresas es la de entrenar a los empleados de modo que puedan reconocer posibles ataques. Una nueva táctica de phishing donde se envían correos electrónicos de tipo phishing a una compañía determinada, conocido como spear phishing, ha motivado al entrenamiento de usuarios en varias localidades, incluyendo la Academia Militar de West Point en los Estados Unidos. En un experimento realizado en junio del 2004 con spear phishing, el 80% de los 500 cadetes de West Point a los que se les envió un correo electrónico falso fueron engañados y procedieron a dar información personal.
Un usuario al que se le contacta mediante un mensaje electrónico y se le hace mención sobre la necesidad de "verificar" una cuenta electrónica puede o bien contactar con la compañía que supuestamente le envía el mensaje, o puede escribir la dirección web de un sitio web seguro en la barra de direcciones de su navegador para evitar usar el enlace que aparece en el mensaje sospechoso de phishing. Muchas compañías, incluyendo eBay y PayPal, siempre se dirigen a sus clientes por su nombre de usuario en los correos electrónicos, de manera que si un correo electrónico se dirige al usuario de una manera genérica (como «Querido miembro de eBay») es probable que se trate de un intento de phishing.
Respuestas técnicas
Alerta del navegador Firefox antes de acceder a páginas sospechosas de phishing.
Hay varios programas informáticos anti-phishing disponibles. La mayoría de estos programas trabajan identificando contenidos phishing en sitios web y correos electrónicos; algunos software anti-phishing pueden por ejemplo, integrarse con los navegadores web y clientes de correo electrónico como una barra de herramientas que muestra el dominio real del sitio visitado. Los filtros de spam también ayudan a proteger a los usuarios de los phishers, ya que reducen el número de correos electrónicos relacionados con el phishing recibidos por el usuario.
Muchas organizaciones han introducido la característica denominada «pregunta secreta», en la que se pregunta información que sólo debe ser conocida por el usuario y la organización. Las páginas de Internet también han añadido herramientas de verificación que permite a los usuarios ver imágenes secretas que los usuarios seleccionan por adelantado; sí estas imágenes no aparecen, entonces el sitio no es legítimo. Estas y otras formas de autentificación mutua continúan siendo susceptibles de ataques, como el sufrido por el banco escandinavo Nordea a finales de 2005.
Muchas compañías ofrecen a bancos y otras entidades que sufren de ataques de phishing, servicios de monitoreo continuos, analizando y utilizando medios legales para cerrar páginas con contenido phishing. También han surgido soluciones que utilizan el teléfono móvil (smartphone) como un segundo canal de verificación y autorización de transacciones bancarias.
El Anti-Phishing Working Group (fundado en 2003), industria y asociación que aplica la ley contra las prácticas de phishing, ha sugerido que las técnicas convencionales de phishing podrían ser obsoletas en un futuro a medida que la gente se oriente sobre los métodos de ingeniería social utilizadas por los phishers. Ellos suponen que en un futuro cercano, el pharming y otros usos de malware se van a convertir en herramientas más comunes para el robo de información.
Respuestas legislativas y judiciales
El 26 de enero de 2004, la FTC (Federal Trade Commission, la Comisión Federal de Comercio) de Estados Unidos llevó a juicio el primer caso contra un phisher sospechoso. El acusado, un adolescente de California, supuestamente creó y utilizó una página web con un diseño que aparentaba ser la página de America Online para poder robar números de tarjetas de crédito. Tanto Europa como Brasil siguieron la práctica de los Estados Unidos, rastreando y arrestando a presuntos phishers. A finales de marzo de 2005, un hombre estonio de 24 años fue arrestado utilizando una backdoor, a partir de que las víctimas visitaron su sitio web falso, en el que incluía un keylogger que le permitía monitorear lo que los usuarios tecleaban. Del mismo modo, las autoridades arrestaron al denominado phisher kingpin, Valdir Paulo de Almeida, líder de una de las más grandes redes de phishing que en dos años había robado entre $18 a $37 millones de dólares estadounidenses. En junio del 2005 las autoridades del Reino Unido arrestaron a dos hombres por la práctica del phishing, en un caso conectado a la denominada «Operation Firewall» del Servicio Secreto de los Estados Unidos, que buscaba sitios web notorios que practicaban el phishing.
La compañía Microsoft también se ha unido al esfuerzo de combatir el phishing. El 31 de marzo del 2005, Microsoft llevó a la Corte del Distrito de Washington 117 pleitos federales. En algunos de ellos se acusó al denominado phisher "John Doe" por utilizar varios métodos para obtener contraseñas e información confidencial. Microsoft espera desenmascarar con estos casos a varios operadores de phishing de gran envergadura. En marzo del 2005 también se consideró la asociación entre Microsoft y el gobierno de Australia para educar sobre mejoras a la ley que permitirían combatir varios crímenes cibernéticos, incluyendo el phishing.
Respuestas de juego
Un estudio sobre ataques de phishing en entornos de juego encontró que los juegos educativos pueden educar eficazmente a los jugadores contra la divulgación de información y pueden aumentar la conciencia sobre el riesgo de phishing, mitigándolos así. Este es un ejemplo de cómo se puede capacitar a los usuarios a través de modelos basados en juegos.
El phishing como delito
General
Diversos países se han ocupado de los temas del fraude y las estafas a través de Internet. Uno de ellos es el Convenio de Cibercriminalidad de Budapest pero además otros países han dedicado esfuerzos legislativos para castigar estas acciones.
Algunos países ya han incluido el phishing como delito en sus legislaciones, mientras que en otros aún están trabajando en ello.
Colombia
En enero de 2009 el Congreso de la República de Colombia sancionó la ley 1273 que adicionó nuevos delitos al código penal, relacionados con delitos informáticos, entre ellos el phishing:
– Artículo 269G: SUPLANTACIÓN DE SITIOS WEB PARA CAPTURAR DATOS PERSONALES. El que con objeto ilícito y sin estar facultado para ello, diseñe, desarrolle, trafique, venda, ejecute, programe o envíe páginas electrónicas, enlaces o ventanas emergentes, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1000 salarios mínimos legales mensuales vigentes, siempre que la conducta no constituya delito sancionado con pena más grave.
En la misma sanción incurrirá el que modifique el sistema de resolución de nombres de dominio, de tal manera que haga entrar al usuario a una IP diferente en la creencia de que acceda a su banco o a otro sitio personal o de confianza, siempre que la conducta no constituya delito sancionado con pena más grave.
La pena señalada en los dos incisos anteriores se agravará de una tercera parte a la mitad, si para consumarlo el agente ha reclutado víctimas en la cadena del delito.
Es primordial mencionar que este artículo tipifica lo que comúnmente se denomina “phishing”, modalidad de estafa que usualmente utiliza como medio el correo electrónico pero que cada vez con más frecuencia utilizan otros medios de propagación como por ejemplo la mensajería instantánea o las redes sociales. Según la Unidad de Delitos Informáticos de la Policía Judicial (Dijín) con esta modalidad se robaron más de 3500 millones de pesos de usuarios del sistema financiero en el 2006
En Chile, no existe un tipo penal en el Código Penal que sancione el phishing, sin embargo, los tribunales recurren a la figura de la estafa tradicional para castigar estas conductas.
Estados Unidos
En los Estados Unidos, el senador Patrick Leahy introdujo el Ley Anti-Phishing de 2005 el 1 de marzo de 2005. Esta ley federal de anti-phishing establecía que aquellos criminales que crearan páginas web falsas o enviaran spam a cuentas de correo electrónico con la intención de estafar a los usuarios podrían recibir una multa de hasta $250,000 USD y penas de cárcel por un término de hasta cinco años.
Algunos estados tienen leyes que tratan las prácticas fraudulentas o engañosas o el robo de identidad y que también podría aplicarse a los delitos de phishing.
