WHALING - UN PHISHING "VIP"

Técnica de ingeniera social destinada a CEOs, directores de una organización o “peces gordos”.

#DatoDeLaSemana Whaling - un phishing “VIP”
 
El whaling o "CEO Fraud" es una técnica de ingeniería social particularmente peligrosa, en la cual, el atacante simula ser un director o alguien de alto cargo en la empresa de la persona objetivo. De esta manera, engaña a la víctima para obtener información extremadamente confidencial o incluso adquirir beneficios económicos, a partir de este engaño.  

Al visualizar a una persona de alto cargo como remitente del correo electrónico recibido, se logra que la comunicación llame la atención de los empleados y, tras no cuestionar órdenes directas y/o urgentes de sus superiores o no verificar su legitimidad, las víctimas suelen caer en la trampa al responder este tipo de correos electrónicos.
 
 Por otra parte, para el ciberdelincuente es exitoso ya que es uno de los ataques que le genera grandes beneficios (mayormente, económicos) debido a que está destinado a organizaciones; particularmente, entidades financieras, empresas tecnológicas y/o prestadoras de servicios. 

Pero ¿cómo funciona? 

Quien realiza este ataque, simula tener -también- un alto cargo en la empresa, y le solicita a otra persona (víctima) una respuesta/acción urgente o inmediata. 

Veamos este mail como ejemplo: 

Correo del atacante simulando ser un directivo de la empresa (Carlos -el atacante- le enviará un email a Roberto -la víctima-).

“Buenas tardes, Roberto (Gerente general de finanzas de la empresa) 

Por el tema de la fiesta de fin de año necesitamos la transferencia solicitada por el proveedor en el día de hoy para poder mantener el presupuesto. 

Te pido transfieras $ ….... a la cuenta de Fernández de la Cruz Catering, CBU 0003465824953, Banco Santander 

Si o si tenemos que hacer el pago antes de las 15 horas, de lo contrario se nos cae el presupuesto pactado y tendremos que buscar otro proveedor con urgencia. 

Avisame si necesitas algún dato más, aunque creo que con estos estamos bien".

Saludos 

Carlos Zukerberg CEO  
Multi Global Services para Sudamérica 


El mail de respuesta: 

Roberto, confía en la veracidad de la comunicación/mail recibido y le responde al atacante, cayendo así en el engaño. 

"Buenas tardes, Carlos 
Ya transferí lo solicitado, te adjunto el comprobante, por favor confirmame la recepción del mismo, para saber que todo está en orden".

Saludos 

Roberto Guzmán
Gerente General de Finanzas 
Multi Global Services para Sudamérica 


¿Cuál es la base de su éxito? 

Quienes realizan estos ataques, llevan adelante un relevamiento minucioso de toda la información pública de sus víctimas, para lograr credibilidad al momento de tomar contacto. 

¿Podemos evitar este tipo de ataque? 

La respuesta es “Sí”, siempre y cuando: 

• Se brinde educación y concientización sobre ciberseguridad a todo el equipo de trabajo de la organización, especialmente a los que tienen acceso a información delicada. 
• Se configure de manera correcta el servicio de correo, para que aquellas personas que sean externas no figuren dentro de los correos cotidianos (protocolos de autenticación y protección de mails).
• Se implementen softwares de protección contra phishing, en el que se incluyan, por ejemplo, revisión de URLs y validación de vínculos. 
• Se valide exhaustivamente el envío de información confidencial o grandes cantidades de dinero mediante medios digitales. 
• De ser necesario, se modifiquen los procedimientos para que sea más de una la persona encargada de autorizar los pagos. 

Si tenés alguna duda o consulta

Escribinos por mail