Los empleados ven mensajes de estas marcas que son suplantadas a diario

La suplantación de marca vuelve a ser noticia. Una gran amenaza para las empresas, esta preocupante tendencia parece que continuará su trayectoria ascendente como una estratagema popular de los malos en 2022. Hacerse pasar por un corresponsal confiable es uno de los trucos más antiguos del libro por una razón: funciona. Sigue siendo una opción para los ciberdelincuentes porque  tiende a ser eficaz . Es probable que los empleados se acerquen a los mensajes de marcas confiables con las que interactúan con frecuencia, como Microsoft o Amazon, con un mayor grado de confianza que los ciberdelincuentes pueden aprovechar para deslizar mensajes maliciosos más allá de sus defensas.

La suplantación de marca tuvo un gran año 2021, trayendo nuevos peligros a las bandejas de entrada de los empleados. El  Informe de investigaciones de vulneración de datos de Verizon de 2021  muestra el rápido aumento de la suplantación de identidad de marca, denominada en este caso tergiversación, registrando 15 veces más que en 2020. El DBIR señala que esta categoría en crecimiento es un aspecto de la ingeniería social y un precursor directo de  ataques de compromiso de correo electrónico empresarial . La dependencia continua del correo electrónico a medida que continúa el trabajo remoto y la creciente sofisticación de los mensajes de phishing es una combinación poderosa para los problemas de las estafas de suplantación de identidad de marca. Los empleados se encuentran con esta amenaza con frecuencia: el  25 % de todos los correos electrónicos de marca  que reciben las empresas son intentos de falsificación o suplantación de marca.

Si bien la suplantación de marca no es un esquema que cambie mucho en esencia, las marcas que los ciberdelincuentes disfrutan suplantando sí lo hacen. Los nuevos datos sobre  las marcas más imitadas de 2021  muestran algunos cambios en la alineación que reflejan el impacto de la pandemia. El nuevo campeón a finales de 2021 fue DHL, protagonista de cerca del 23% de todos los ataques de phishing . Eso es un cambio, tradicionalmente Microsoft encabeza la lista. Pero no cayeron lejos de su dominio habitual. Microsoft registró el número dos con un 20 %, seguido de WhatsApp con un 11 % y Google con un 10 %. Unos pasos fuera de la tabla de clasificación se encuentran otras marcas comunes que favorecen los ciberdelincuentes: WhatsApp (11 %), Google (10 %), LinkedIn (8 %), Amazon (4 %), Roblox (3 %), FedEx (3 %). PayPal (2%) y Apple (2%). Facebook (ahora Meta) salió de la lista.

Microsoft ha sido durante mucho tiempo el recurso de los ciberdelincuentes para la suplantación y falsificación de marcas. El phishing con archivos adjuntos es un enemigo familiar para los profesionales de TI. También ha sido durante mucho tiempo un elemento básico de los archivos adjuntos de correo electrónico malicioso . Los empleados manejan muchos archivos de Office. Es por eso que constituyeron el   48% de los archivos adjuntos de correo electrónico maliciosos  en un estudio de tráfico de correo electrónico. Los formatos de Microsoft Office como Word, PowerPoint y Excel también son extensiones de archivo populares para que los ciberdelincuentes las utilicen cuando transmiten malware por correo electrónico, lo que representa el 38 % de los ataques de phishing . El siguiente método de entrega más popular: archivos comprimidos como .zip y .jar, que representan alrededor del 37 % de las transmisiones maliciosas.

Una cosa que se destaca en esa lista es la creciente importancia del phishing en las redes sociales, especialmente cuando se analiza el fraude de marca y las estafas de suplantación de identidad. Las redes sociales son un escenario ideal para la suplantación de marca, especialmente las aplicaciones de chat. En todo el mundo, la cantidad de usuarios de redes sociales fue de aproximadamente 4500 millones en 2021 , y a los ciberdelincuentes les encantaría llegar a cada uno de ellos. Las empresas de todos los campos acuden en masa a los anuncios de las redes sociales y aprovechan el dominio del medio para hacer llegar sus mensajes a los clientes potenciales. Se estima que el 96 % de las pymes utilizan las redes sociales como parte de su estrategia de marketing. Los ciberdelincuentes van a seguir a la multitud porque así es como siguen el dinero, y el uso de las redes sociales ahora es una parte habitual de la vida diaria de casi todos. En enero de 2021, las organizaciones experimentaron alrededor de  34 ataques de phishing relacionados con las redes sociales por mes. Ese número se disparó en septiembre de 2021 cuando las organizaciones estaban analizando 61 ataques de phishing relacionados con las redes sociales por mes, un sorprendente aumento del 82 % en solo tres cuartos. Si bien el phishing no es el único ataque cibernético que llega a la puerta de una empresa a través de las redes sociales, sin duda es el más común.

Todo el mundo está enviando muchos correos electrónicos en estos días. Si el volumen de correo electrónico sigue teniendo la tendencia que esperan los expertos, se estima que llegará a más de  376.400 millones  de mensajes diarios para 2025. Ese aumento en el volumen de correo electrónico les ha brindado a los delincuentes una gran cantidad de oportunidades para perseguir el phishing. Se estima que el 80 % de los profesionales de TI  dijeron que sus organizaciones se han enfrentado a un aumento en la cantidad de ataques de phishing que están combatiendo en 2021. Desafortunadamente, más intentos de phishing se han traducido en más desastres de ataques de phishing para muchas empresas. Se estima que el 74% de los encuestados en la misma consulta dijeron que sus empresas habían sido objeto de phishing con éxito en el último año.

Además, la suplantación de identidad y la suplantación de marca pueden ser especialmente difíciles de detectar para los empleados. Esos mensajes suelen ser muy sofisticados , y eso es una mala noticia para las empresas: el  97 % de los empleados  no pueden reconocer amenazas de phishing sofisticadas. Parte de esa falta de habilidad se puede atribuir a la falta de capacitación en concientización sobre seguridad que deja a los empleados inseguros de sí mismos cuando se enfrentan a un posible correo electrónico de phishing o incluso ajenos a la amenaza que representa un mensaje de phishing. Otra razón es la ingeniería social. Muchos empleados temen perderse un mensaje importante o dar un paso en falso al proporcionar información a un cliente o a un superior, lo que podría crear problemas a sus empleadores.

Fuente: ID Agent