De acuerdo con Claudia Rincón Pérez, CEO de Factoría IT, un aspecto clave para prevenir ataques es tener un conocimiento profundo de los patrones de los actores cibernéticos y monitorear y deconstruir continuamente las campañas para anticipar los futuros. El phishing puede ser un modelo de negocio rentable y la mayoría de las infracciones comienzan con un correo electrónico de phishing. Lo que parece ser un correo electrónico inocente de un proveedor de confianza o un departamento interno puede provocar cierres en toda la empresa, pérdida de datos cruciales y costos financieros millonarios.
Como se detalla en el informe, las amenazas que van desde ransomware, recolectores de credenciales hasta bandejas de entrada específicas de Business Email Compromise ( BEC ) difíciles de descubrir pero costosas , podrían haber resultado en más de $ 354 millones en pérdidas directas si hubieran tenido éxito.
Desafortunadamente, las organizaciones que no tomaron las medidas de protección adecuadas para salvaguardar sus organizaciones se familiarizaron demasiado con las lecciones desafortunadas y costosas que presentaban estos phish de apariencia inofensiva, ya que las cadenas de suministro y la infraestructura crítica fueron atacadas dentro de los EE. UU.
Resultados clave
Casi el 9 por ciento de los ataques utilizaron tácticas de engaño de identidad como suplantación de identidad, suplantación de dominio y suplantación de nombre para mostrar. Otras tácticas importantes incluyeron recolectores de credenciales (9.33 por ciento), enlaces comprometidos (8.96 por ciento) y archivos adjuntos (3.31 por ciento)
Solo 10 marcas representaron más del 56% de todos los ataques de phishing basados en suplantación y suplantación de identidad, y la Organización Mundial de la Salud (OMS), Google y Microsoft se posicionaron como las tres más suplantadas.
En algunos casos, estos correos electrónicos falsificados ocultaron ataques BEC, que representaron el daño financiero más significativo a pesar del bajo volumen (1,3% de las amenazas). En promedio, las solicitudes de BEC buscaron $ 1.5 millones, con una mediana de $ 260K
A pesar de los intentos de las organizaciones de negar los riesgos a través de la capacitación del usuario final, más del 92% de los phishing reportados por los usuarios fueron spam o correo masivo completamente benigno, inundando a los equipos de TI con miles de falsas alarmas.
Si bien los empleados tenían buenas intenciones con sus informes, los peligros reales a menudo pasaban desapercibidos más allá de los sistemas de defensa obsoletos y parecían lo suficientemente legítimos como para tranquilizar incluso a los guardias más exigentes. Por ejemplo, la autenticación de correo electrónico ( DMARC , SPF, DKIM) y los sistemas de defensa heredados pasaron por alto más de medio millón de amenazas , lo que podría haber causado millones en interrupciones y pérdidas financieras sin interceptación.
“Las campañas cibernéticas continúan siendo una herramienta para librar la guerra contra las corporaciones, el robo de propiedad intelectual y la pérdida masiva de datos y finanzas”, dijo Patrick Sweeney , director ejecutivo de Area 1 Security .
“Nuestra investigación encontró que la capacitación en concientización sobre seguridad solo es beneficiosa desde una perspectiva educativa, pero no es efectiva para detener las amenazas. Alrededor del 92% de los phishing denunciados por los usuarios no son maliciosos y en realidad son benignos, spam o correo masivo, lo que a menudo retrasa a los equipos de TI para descubrir y detener amenazas reales. La única solución es una solución de seguridad de correo electrónico preventiva, basada en la nube, que evita que el phish llegue incluso a las bandejas de entrada ".