La historia (y los riesgos futuros) de los ataques de phishing.
La historia (y los peligros futuros) del phishing
Los ataques cibernéticos están en aumento, y las organizaciones de atención médica continúan enfrentando ataques constantes. Hoy, el 92 por ciento de todo el malware se entrega por correo electrónico, y el spam representa la mitad de todo el correo electrónico, según Avanan, un proveedor de seguridad de correo electrónico. Los ataques de phishing maliciosos han aumentado un 250 por ciento este año. Estos ataques basados en correo electrónico se están volviendo más sofisticados y generalizados, lo que lleva a un enfoque creciente en la capacitación y las medidas preventivas. Crear una defensa efectiva requiere comprender cómo ha evolucionado el phishing con el tiempo y cómo los piratas informáticos están elaborando los ataques del futuro.
Comienzos del correo electrónico
El intercambio de mensajes a través de la computadora comenzó cuando el Sistema de Tiempo Compartido Compatible del MIT almacenó archivos y mensajes compartidos en un disco central, y los usuarios pudieron iniciar sesión desde terminales remotas para acceder a ellos. En 1971, ARPANET permitió a los usuarios enviar mensajes entre diferentes computadoras. A un científico informático, Ray Tomlinson, se le atribuye la introducción del símbolo "@" como una forma de dirigir mensajes a destinatarios específicos. Y en 1977, DARPA finalizó el primer estándar de correo electrónico con ARPANET, incluidos los campos para "Para" y "De" y la capacidad de reenviar mensajes.
Spam: demasiado bueno
No pasó mucho tiempo después de eso, 1978, de hecho, que ocurrió el primer correo electrónico masivo. Se envió un correo electrónico a 397 usuarios de ARPANET. Esto fue tan impopular que nadie intentó enviar un mensaje de correo electrónico masivo durante otra década. Esos fueron los viejos tiempos ...
El correo electrónico se reconoció como una amenaza a la seguridad en 1988, cuando el "spam" fue una broma que comenzó con los juegos de mazmorras multiusuario. Los jugadores inundarían las cuentas de sus rivales con correo electrónico no deseado, bloqueando sus sistemas y evitando que jueguen. Gracias a Dios, ahora tenemos computadoras más potentes que pueden manejar grandes cantidades de correo electrónico.
Se pone un nombre
En 1993, el correo no deseado se denominó spam por primera vez, obteniendo el apodo de una parodia del mismo nombre de Monty Python, un grupo de comedia británico. Para celebrarlo, dos abogados de inmigración enviaron un mensaje masivo anunciando sus servicios en 1994, reconocido como el segundo intento de comercialización masiva de spam.
De molestia a un gran dolor de cabeza
En la década de 1990, el spam comenzó a aparecer como una amenaza para la seguridad, en parte porque el correo electrónico nunca fue diseñado para ser seguro. En la década de 1990, por ejemplo, comenzaron a surgir generadores aleatorios de tarjetas de crédito, utilizados para generar números de tarjetas de crédito para abrir cuentas con America Online. Además, las cuentas individuales fueron pirateadas para enviar aún más mensajes de phishing a los contactos de una víctima.
De hecho, el término "phishing" surgió por primera vez en enero de 1996 en un tablero de mensajes de AOL.
Nadie amaba este virus
En 2000, se distribuyó el virus ILOVEYOU, infectando eventualmente 45 millones de PC con Windows. Los destinatarios desprevenidos abrieron un archivo adjunto a un correo electrónico, desatando un gusano que sobrescribió los archivos de imagen y se envió a todos los contactos de Outlook de la víctima.
Al año siguiente, el virus Sircam causó un daño significativo a las PC de las víctimas. Tenía la capacidad de cambiar los asuntos del correo electrónico y los nombres de los archivos, lo que dificultaba su detención. El virus se copió en un archivo existente en la computadora del usuario y se envió a los contactos de correo electrónico de la víctima, mientras que un segundo archivo en la papelera de reciclaje de la PC escribiría texto hasta que se llenara el disco duro.
Surgen esfuerzos para mitigar los ataques
En 2002, la Unión Europea y los Estados Unidos aprobaron leyes que prohíben los correos electrónicos de marketing directo sin el consentimiento previo de los destinatarios. Estos han sido en gran medida ineficaces. Además, en 2002 se introdujeron soluciones de tecnología de seguridad contra correo no deseado. Aun así, el número de correos electrónicos no deseados superó el correo legítimo por primera vez en 2003.
La suplantación de dominio se pone elegante
En 2003, como lo demuestra el gusano informático MiMail, los piratas informáticos comenzaron a utilizar la suplantación de dominio para que pareciera que un correo electrónico provenía de una empresa o socio comercial de confianza. Al hacer clic en un enlace en un correo electrónico, se abre una ventana emergente y, cuando los destinatarios intentan iniciar sesión, se envía su nombre de usuario y contraseña a los piratas informáticos. En 2004, se enviaron correos electrónicos engañosos para recaudar fondos a los partidarios de John Kerry; sus donaciones fueron a estafadores que no tenían ninguna conexión con la campaña. Para 2005, los programas antispam comenzaron a verificar los remitentes para evitar la suplantación de dominio.
La nube impacta las interacciones con el correo electrónico
Desde 2006, la tecnología ha cambiado la forma en que interactuamos con el correo electrónico: además de alojar servicios de correo electrónico, la nube ofrece la capacidad de introducir seguridad en esa nube.
Sin embargo, el riesgo de ataques de phishing sigue siendo grande. Por ejemplo, en 2009, los atacantes montan la Operación Phish Phry para robar $ 1.5 millones utilizando credenciales de inicio de sesión phishing y detalles de cuenta. El ataque se dirigió a miles de titulares de cuentas de bancos en los EE. UU.
Resultados a lo grande del phishing
Los efectos del phishing ganaron importancia nacional a partir de 2013. Fue entonces cuando los piratas informáticos obtuvieron acceso a los datos de pago de 110 millones de compradores de Target. Los hackers dirigieron su ataque a los empleados del proveedor de HVAC de Target. Ese gambito permitió la entrada en los sistemas de información de Target.
Aún más famoso, los piratas informáticos rusos enviaron correos electrónicos de phishing al personal de la campaña de Clinton durante dos semanas. Un solo empleado fue engañado para dar credenciales de inicio de sesión, lo que les permitió eventualmente acceder a toda la red del DNC, robar correos electrónicos cruciales que luego se filtraron y probablemente influyeron en el resultado de las elecciones de 2016.
Riesgos crecientes para las operaciones comerciales.
A medida que Internet se generaliza para permitir que las organizaciones funcionen mejor, aumentan los riesgos de phishing. "La tecnología de la información y los negocios se están volviendo inextricablemente entrelazados", señala Bill Gates. "No creo que nadie pueda hablar significativamente sobre uno sin hablar sobre el otro".
El uso de la nube plantea riesgos significativos. Por ejemplo, Office365 tenía casi 150 millones de usuarios en 2018, mientras que Google y su G-suite cuentan con más de 1.500 millones de usuarios. No es sorprendente que las amenazas a la seguridad de la nube en Office365 hayan aumentado un 63 por ciento desde 2017.
Riesgos de seguridad masivos
Este año, se envían casi 4.700 millones de correos electrónicos de phishing todos los días, según el informe de Avanan. En 2018, el FBI recibió casi 50,000 informes de phishing y correos electrónicos comprometidos, con un costo total de $ 1.8 mil millones.
No olvides Compartir...
Siguenos en twitter: @disoftin - @fredyavila
