#Phishing dirigido, malware y la importancia de la concientización

Hace dos días recibí en mi mail profesional un par de mensajes de Phishing, nada del otro mundo, pero quería aprovecharlos para contarles sobre los mismos y sobre todo mostrar la importancia de la concientización en materia de ciberseguridad en las empresas.

El primero hacia referencia a una entrega de DHL, enviado desde una cuenta de mail genérica (info@) de un pequeño ayuntamiento de España, a quienes se advirtió del abuso a una cuenta diferente. El remitente era  identificado como "Gerente de carga de DHL", con un texto indicando que enviaba documentos sobre servicios y se adjuntaba un archivo comprimido con malware.

El segundo era un poco mas elaborado, proveniente de una cuenta abusada de una empresa de Brasil, el que enviaba el mail se identificaba como "Antonio Arroyo", nuevo contador de esa empresa y que había descubierto que tenían pagos atrasados con mi empresa y me enviaba la documentación (otro archivo adjunto con malware) para que confirme la factura y los datos bancarios y poder continuar con los pagos correspondientes.

A día de hoy, ninguno de esos dominios figuran en lista de SPAM, por lo que no se han enviado masivamente muchos correos. Si prestamos un poco de atención, unos han sido dirigidos al área de logística de las empresas a las que se dirigió  el correo y, el otro, al área de administración, con lo cual podríamos deducir que fueron ataques con cierto grado de especialización y dirigidos a áreas específicas.

Acá entra en juego la necesidad que tienen las empresas de concientizar a TODO su personal en materia de ciberseguridad, no solo al área de sistemas o tecnología. El usuario final SIEMPRE es el eslabón mas débil de la cadena y el punto de entrada de los delincuentes que, si tienen éxito en su ataque,     pueden llegar a robar información personal, corporativa, lanzar un ataque de ransomware o cualquier cosa que su imaginación les permita.

Es sumamente importante que todas las empresas, sin importar el tamaño, tengan un plan de capacitación en ciberseguridad para sus empleados y que este no sea "solo para cumplimiento".

Un empleado capacitado puede detectar e informar a quien corresponda sobre un ataque y ser el primer punto de defensa de la empresa; un empleado que no esta entrenado ni siquiera se va a enterar que fue víctima de un ataque.

Adolfo Fioranelli para Segu-Info

Suscríbete a nuestro Boletín