Estudio cómo y porqué funciona el #Phishing

El Phishing es sin duda uno de los problemas de seguridad más importantes de los que nos enfrentamos en la red. Es un método de ataque por el cual un pirata informático lanza un cebo para que la víctima pique y puedan robarle su contraseña o datos personales. Ahora bien, ¿Qué perfil de usuarios es el más común que cae en este tipo de trampas?

Nos hacemos eco de un informe "Phishing in Organizations: Findings from a Large-Scale and Long-Term Study" realizado por Department of Computer Science de la Escuela Politécnica Federal de Zurich que nos saca de dudas.

El Phishing no afecta por igual a todos

Este estudio ha analizado a un total de 14.733 participantes durante 15 meses. Ha sido un programa de Phishing simulado, con el objetivo de sacar conclusiones sobre qué perfil de usuarios son los que más suelen caer en la trampa. Una manera más de tener un mayor conocimiento para poder crear mensajes y campañas informativas para evitar problemas de este tipo.

Para poder realizar esta prueba, los investigadores de seguridad han enviado correos electrónicos de Phishing falsos a los participantes anónimos de este estudio. Incluía un botón que permitía informar fácilmente sobre un correo sospechoso. Se centraron en cuatro pilares básicos para el estudio: qué empleados caían más en la trampa, cómo evolucionaba la vulnerabilidad con el paso del tiempo, cómo de efectivas son las advertencias y si los propios empleados podrían hacer algo para ayudar en la detección de estas amenazas.

La primera diferencia se encuentra en la edad. Según el rango al que pertenezca un empleado, la probabilidad de caer en la trampa del Phishing puede ser mayor o menor. En este sentido, aquellos que están en el rango de 18 y 19 años, son los que más caen en este tipo de cebos. A partir de ahí, la probabilidad disminuye considerablemente en el rango de 20 a 29 años, pero empieza a aumentar progresivamente hasta que vuelve a caer en los mayores de 60.

Precisamente los mayores de 60 años son los que menos caen en la trampa del Phishing, con unos resultados muy similares a los del rango de 20 a 29 años. Un hallazgo que contradice los estudios existentes es que el género no se correlaciona con la susceptibilidad al phishing.

También influye bastante el tipo de trabajo que desempeñe un empleado. De esta forma, aquellos que realizan tareas repetitivas con el ordenador y usan programas más específicos tienen más probabilidad de ser víctimas del Phishing. Los que utilizan el equipo informático con menos frecuencia o para tareas más variadas, tienen menor probabilidad.

Se encontró que las advertencias en correos electrónicos sospechosos eran efectivas, pero esta efectividad no aumentó a medida que los mensajes de advertencia se volvieron más detallados, lo cual es un hallazgo nuevo.

Los llamados "clickers repetidos" resaltados en investigaciones anteriores también aparecen aquí con 30.62% de aquellos que abrieron un correo electrónico de phishing simulado, hicieron clic en correos electrónicos adicionales. Además, el 23,91% de los que realizaron una acción peligrosa (habilitar macros, enviar credenciales) lo hizo más de una vez.

Este informe también indica que contar con un servicio de detección de Phishing es algo muy positivo y que ayuda a los empleados en gran medida a evitar el robo de información o contraseñas. No obstante, el Phishing es algo que involucra diferentes factores para realmente estar protegido.

Sin duda lo más importante es el sentido común y el aprendizaje de cada usuario para saber detectar un ataque Phishing. Eso es lo principal para realmente estar protegidos y no caer en la trampa. Si sabemos cuándo un e-mail es falso, por ejemplo, tendremos mucho ganado para evitar que un pirata informático tenga éxito.

Pero también es esencial contar con programas de seguridad y mantener el equipo actualizado. Esto evitará la entrada de malware que pueda comprometer nuestros sistemas y poner en riesgo la seguridad. Debemos mantener las últimas versiones y siempre tener un buen antivirus.

Fuente: Bleeping Computer

Suscríbete a nuestro Boletín