El impacto de la usabilidad en el phishing: eficacia de la prevención

Los correos electrónicos de phishing pueden tomar muchas formas; desde correos electrónicos masivos, explosiones que valoran más la cantidad que la calidad, hasta ataques de phishing y de Business Email Compromise (BEC) hechos a la medida para maximizar la probabilidad de éxito. Independientemente de la forma, todos los correos electrónicos de phishing están diseñados para engañar al destinatario y que éste tome alguna medida que le haga daño o beneficie al atacante.

El phishing es actualmente una amenaza masiva y cada vez mayor. Según Symantec, más de la mitad de todos los correos electrónicos son spam e IBM afirma que el número de correos electrónicos spam aumentó 4 veces en 2016. En 2016, 1 de cada 131 correos electrónicos contenía malware y más de dos tercios del malware instalado se entregaba a través de archivos adjuntos de correo electrónico.

Si bien la amenaza del phishing es bien conocida y es un objetivo común de la formación en ciberseguridad, los ataques de phishing siguen siendo muy eficaces. En promedio, el 30% de los correos electrónicos de phishing son abiertos por el destinatario previsto, y el 12% de los destinatarios hacen clic en un enlace malicioso o abren un archivo adjunto malicioso desde un correo electrónico de phishing. Como resultado, se estima que el 95% de los ataques cibernéticos exitosos dirigidos a empresas empiezan como un correo electrónico de phishing submarino.

El impacto potencial en el negocio de hacer clic en un correo electrónico de phishing puede ser significativo. Obviamente, estos emails pueden ser un vector de infecciones de malware o una fuente de pérdida de datos, pero los riesgos financieros y normativos también son una preocupación potencial. En promedio, un ataque de suplantación de identidad, exitoso le cuesta a una organización 1,6 millones de dólares estadounidenses, lo cual es un gran éxito sólo porque alguien ha hecho clic en un enlace o ha abierto un archivo adjunto. Con la introducción del Reglamento General de Protección de Datos (GDPR) en Europa, el impacto de una violación de datos ha aumentado con fuertes penalizaciones por la pérdida de datos sensibles de clientes o empleados.

Con toda la formación disponible en ciberseguridad, parece que los correos electrónicos de phishing ya no deberían ser un problema. La mayoría de ellos se basa en vectores de ataque comúnmente conocidos como enlaces maliciosos y archivos adjuntos que contienen malware. Estos tipos de ataques pueden ser fácilmente prevenidos por los usuarios dispuestos a tomarse el tiempo para inspeccionar cuidadosamente cada enlace y archivo adjunto antes de hacer clic o descargar. Sin embargo, nadie tiene el tiempo para poner esta cantidad de esfuerzo en todos y cada uno de los correos electrónicos que reciben.

En general, estar seguro significa tomar medidas adicionales para evitar caer en diferentes ataques. Esto requiere tiempo y esfuerzo que de otro modo se podría dedicar a otras tareas. Esto es especialmente cierto en el caso de la suplantación de identidad (phishing), donde las mejores formas de prevenir la mayoría de los ataques de suplantación de identidad (phishing) son comúnmente conocidas, pero rara vez se sigue la guía de ciberseguridad. Esto se debe a que el gran volumen de correos electrónicos que una persona promedio recibe en un día significa que tratar con cada uno de ellos de manera adecuada le tomaría una cantidad significativa de tiempo que podría ser utilizado para hacer su trabajo.

Con información de: Cyber Defense Magazine.