Los ataques de phishing provocan pérdidas y daños significativos a las empresas cada año. Para Google y Facebook, las pérdidas totalizaron más de $100 millones. El banco Creland de Bélgica entregó más de $75 millones a ciberdelincuentes. Y el fabricante austriaco de piezas aeroespaciales FACC perdió $61 millones. ¿Qué está causando este tipo de pérdidas masivas? Cada una de estas organizaciones fue víctima de diferentes (y costosos) tipos de ataques de phishing.
¿Qué es un ataque de phishing?
En general, una estafa de suplantación de identidad (phishing) es un tipo de ataque cibernético que los delincuentes utilizan para que los usuarios realicen algún tipo de acción. Estos correos electrónicos a menudo se envían en masa con el objetivo de engañar a personas confiadas. Piensa en el intento de phishing más popular: el “príncipe nigeriano” que intenta que tomes su dinero para “mantenerlo a salvo”.
Sin embargo, el phishing ha evolucionado significativamente desde entonces. Ahora existen múltiples variantes dirigidas específicamente a empresas. Algunas usan correos electrónicos o sitios web falsos; otras utilizan mensajes de texto o incluso llamadas telefónicas.
El objetivo del atacante suele ser obtener información personal o corporativa, o lograr que la víctima transfiera fondos a cuentas fraudulentas. La industria del ciberdelito ha alcanzado niveles sin precedentes. Cybersecurity Ventures estima que los daños por delitos cibernéticos costarán al mundo 6 billones de dólares al año, con el phishing desempeñando un papel central.
Pero cuando hablamos de phishing, ¿a qué nos referimos exactamente? Existen varios tipos de estafas que afectan a las empresas todos los días.
10 tipos de ataques de phishing que amenazan a tu empresa
A continuación presentamos una lista de los tipos de ataques de phishing más frecuentes. El objetivo es que te familiarices con ellos y entiendas cómo funcionan.
1. Fraude del CEO / Business Email Compromise (BEC)
Este ataque ocurre cuando un ciberdelincuente envía un correo a un empleado —generalmente del área financiera— haciéndose pasar por el CEO, un gerente o un ejecutivo. El objetivo suele ser lograr que la víctima transfiera fondos a una cuenta falsa. En EE. UU., este tipo de ataque es conocido como “Business Email Compromise” y, según el FBI, genera miles de millones de dólares en pérdidas cada año.
2. Clone Phishing
En un ataque de Clone Phishing, el delincuente toma un correo legítimo que la víctima ya ha recibido y crea una versión idéntica pero maliciosa. En el mensaje falso, los enlaces y archivos adjuntos son sustituidos por versiones peligrosas.
El atacante suele justificar el reenvío diciendo que “hubo un problema con el archivo anterior”, logrando que el usuario haga clic sin sospechar. Lamentablemente, este método es extremadamente efectivo.
3. Suplantación de dominio (Domain Spoofing)
La suplantación de dominio ocurre cuando un atacante falsifica el dominio de una empresa para:
- Hacer que sus correos parezcan enviados desde el dominio legítimo.
- Crear un sitio web falso que imite al real, utilizando una URL similar o caracteres Unicode engañosos.
En el caso del correo electrónico, el atacante falsifica los encabezados para que parezca que el mensaje proviene de una dirección oficial. En el caso del sitio web, replica el diseño e interfaz, y utiliza dominios muy parecidos (por ejemplo, apple[.]com vs apple[.]co).
4. Gemelo malvado (Evil Twin)
Aunque su nombre sugiere algo similar a Clone Phishing, este ataque es totalmente distinto: el “gemelo malvado” se basa en puntos de acceso Wi-Fi falsos.
Un atacante crea un punto Wi-Fi que imita a la red real, usando incluso el mismo nombre (SSID). Cuando los usuarios se conectan, el delincuente puede interceptar el tráfico, robar credenciales, contraseñas y archivos adjuntos.
Este ataque es tan común en cafeterías que a menudo se lo llama “la estafa de Starbucks”. (Consejo: usar una VPN protege tus datos incluso en redes Wi-Fi comprometidas).
