El smishing y el phishing son ataques de ingeniería social que engañan a las víctimas para que revelen información confidencial.
El phishing implica el envío de correos electrónicos con enlaces o archivos adjuntos maliciosos. Por otro lado, el smishing, que es una combinación de SMS y phishing, implica el envío de mensajes de texto con enlaces maliciosos o un número de teléfono en el que se insta a la víctima a hacer clic o llamar, respectivamente.
Tanto en los ataques de smishing como de phishing, los delincuentes amenazan a sus víctimas potenciales con graves consecuencias a menos que respondan de inmediato. Las víctimas que responden a las amenazas pueden terminar revelando información confidencial, como contraseñas o detalles de cuentas bancarias.
Ataques de phishing robo de datos Imagen Pixabay
Antes de ver las similitudes y diferencias entre los ataques de smishing y phishing, aprendamos qué significa cada término.
Tabla de contenido
¿Qué es Smishing?
El smishing es un ataque en el que los delincuentes envían mensajes de texto con enlaces maliciosos o números de teléfono falsos a posibles usuarios de teléfonos móviles. Incluye el uso de mensajes de texto manipuladores en un lenguaje convincente para engañar al usuario del teléfono para que responda.
El atacante puede utilizar la urgencia, como la necesidad de pagar rápidamente un paquete en tránsito o confirmar una transacción financiera, pagar urgentemente una factura pendiente, etc.
¿Qué es el phishing?
El phishing es el envío de correos electrónicos fraudulentos que contienen enlaces o archivos adjuntos maliciosos que dirigen al usuario al servidor controlado por el atacante o instalan malware que puede robar información confidencial.
En el phishing, el sitio del atacante puede parecerse a un sitio web legítimo, pero tendrá un nombre de dominio mal escrito. Sin embargo, puede contener un campo de inicio de sesión que les permite robar el nombre de usuario y las contraseñas a medida que la víctima los escribe, creyendo que está accediendo a un sitio web seguro.
Ataques de smishing y phishing: similitudes
Los ataques de smishing y phishing utilizan tácticas de ingeniería social para engañar a usuarios desprevenidos para que revelen información sensible o confidencial. Los dos métodos de ataque tienen las siguientes similitudes.
- Cada uno utiliza un lenguaje persuasivo para advertir a sus víctimas de peligros potenciales si no responden de inmediato. Por ejemplo, advierten que se cancelará la cuenta bancaria o la tarjeta de crédito, se cortará el servicio de electricidad o teléfono y otras amenazas a menos que la víctima tome la acción solicitada, como hacer clic en un enlace proporcionado.
- Contiene enlaces maliciosos controlados por los atacantes y con el potencial de robar credenciales de inicio de sesión u otra información confidencial, instalar malware o virus o comprometer el dispositivo del usuario.
Ataques de smishing versus phishing Imagen Pixabay
- Urgencia: Cada uno de los ataques crea una sensación de urgencia y puede utilizar amenazas o advertir a la víctima potencial sobre las consecuencias negativas si no actúa o responde de inmediato.
- Engañar: Ambos ataques utilizan prácticas de ingeniería social para engañar y manipular a sus víctimas. Los atacantes de smishing y phishing a menudo se hacen pasar por empresas conocidas y legítimas como Microsoft, Amazon, Google y otras marcas conocidas. Esto hace que las potenciales víctimas ganen confianza, respondan o brinden la información solicitada, creyendo que están tratando con dicha organización o autoridad.
- Mismo objetivo: el objetivo principal de lanzar ataques de smishing o phishing es engañar a la víctima para que divulgue información confidencial de la empresa o de un individuo, como credenciales de inicio de sesión, tarjetas de crédito o datos bancarios, etc.
Ataques de smishing y phishing: diferencias
La siguiente tabla destaca las principales diferencias entre los ataques de smishing y phishing.
CaracterísticasSmishingPhishingAttack Vector Utiliza mensajes de texto SMS con URL maliciosas acortadas o un número de teléfono falso.Utiliza correo electrónico con enlaces o archivos adjuntos maliciosos.MedioTeléfono o dispositivo móvilComputadora o dispositivo móvil que accede al correo electrónico.Alcance e impacto Se enviaron un promedio de 2,65 mil millones de mensajes de texto spam y recibido por semana en abril de 2022. La tasa de clics en los enlaces en los mensajes de texto es mayor que en los correos electrónicos. Es probable que más usuarios se vean comprometidos mediante el smishing en comparación con el phishing. Cada día se envían alrededor de 3.400 millones de mensajes de correo electrónico de phishing. Sin embargo, la tasa de clics es menor que la del smishing. Mecanismo de entrega Mensajes de texto a un teléfono móvil Mensajes de correo electrónico a dispositivos informáticos Conciencia del usuario Un promedio de 2,65 mil millones de mensajes de texto spam se enviaron y recibieron por semana en abril de 2022. La tasa de clics en los enlaces en los mensajes de texto es mayor que en los correos electrónicos. Es probable que más usuarios se vean comprometidos usando smishing en comparación con phishing. La mayoría de los usuarios de correo electrónico están al tanto de los ataques de phishing. Enlaces Enlaces maliciosos acortados y números falsos Enlaces y archivos adjuntos maliciosos Explotación del dispositivo Alrededor del 60% de los usuarios de teléfonos móviles no son conscientes de los ataques de smishing y es probable que sean víctimas. Puede robar información confidencial de una computadora. Los atacantes también pueden usar el dispositivo comprometido para distribuir malware o virus a computadoras en la misma red. Urgencia Usar un mensaje más urgente y convincente que solicite una respuesta inmediata. Correo electrónico urgente pero menos que el smishing.
¿Cómo protegerse?
A continuación se detallan algunas de las prácticas para protegerse contra el smishing y el phishing.
- Uso de una sólida solución de seguridad del correo electrónico: instale soluciones de seguridad eficaces, como software antivirus, cortafuegos potentes, filtros de spam, utilidades de análisis de enlaces, software antiphishing y otras herramientas. Estos ayudan a detectar y prevenir la entrega de mensajes de correo electrónico de phishing a los usuarios.
- Utilice la autenticación multifactor (MFA): la implementación de una MFA agrega una capa de protección adicional al requerir que el usuario proporcione otra autenticación además de la contraseña. Las soluciones MFA típicas requieren que el usuario proporcione el nombre de usuario y la contraseña, así como otra forma de autenticación, como un código enviado a un dispositivo como un teléfono móvil.
- Actualice y parchee periódicamente los sistemas operativos y las aplicaciones de software: actualizar el sistema operativo, las aplicaciones y las soluciones de seguridad garantiza que estén actualizados y que ejecuten parches recientes que abordan la mayoría de las vulnerabilidades y fallas que los delincuentes pueden explotar.
- Observe prácticas de seguridad seguras: si bien la instalación de un antivirus y otras soluciones de seguridad en su computadora o dispositivo móvil ayuda a detectarlo y protegerlo contra posibles ataques, aún necesita practicar actividades seguras en línea. Conocer los trucos nuevos y existentes que utilizan los atacantes le ayudará a mantenerse a salvo. Además, aprenda a buscar señales de alerta de ingeniería social, como errores ortográficos, urgencia, nombres de dominio incorrectos, remitentes desconocidos, etc.
Detener los ataques de phishing Imagen: Pixabay
- Crear conciencia sobre la seguridad: las organizaciones deben brindar a su personal una capacitación adecuada y periódica sobre phishing, smishing y otros ciberataques. Además, deberían utilizar herramientas de simulación de phishing para probar el conocimiento e identificar y abordar las deficiencias. Los usuarios individuales también deben educar a sus familiares y amigos sobre los mensajes de spam y cómo actuar y mantenerse seguros.
- Informar el intento de ataque: Informar el caso a una entidad como un banco u otra institución para que puedan asegurar la cuenta. Además, puede informar a la institución de prevención de fraude de su país para que puedan investigar más a fondo.
- Pruebe el conocimiento mediante intentos de phishing simulados: las pruebas simuladas permiten a los administradores determinar el conocimiento de los empleados y cómo responderían a intentos de phishing reales. El software de simulación generalmente envía correos electrónicos de phishing similares a los que enviarían los atacantes, pero sin enlaces ni archivos adjuntos dañinos. Permite a la organización establecer si la capacitación en concientización está funcionando y si hay brechas que deben abordarse.
- Proteja la información confidencial: además de utilizar antivirus y cifrado para proteger los datos confidenciales, es una buena práctica limitar quién tiene acceso a los datos y qué puede hacer con ellos. Lo ideal es otorgar a los usuarios el privilegio mínimo que les permita acceder solo a los datos y recursos que necesitan para realizar sus tareas. Incluso si un atacante obtiene acceso no autorizado, no puede causar mucho daño.
- Ignore o elimine cualquier texto o correo electrónico sospechoso. Evite hacer clic en mensajes, archivos adjuntos o enlaces sospechosos. Además, no responda a mensajes que requieran que envíe información personal, como detalles de su tarjeta de crédito o cuenta bancaria.
¿Qué hacer después de un ataque?
A pesar de los esfuerzos por detectar y bloquear los mensajes de smishing y phishing para que no lleguen a sus víctimas previstas, millones de mensajes falsos aún logran eludir el spam y otros filtros de seguridad todos los días.
Desafortunadamente, la mayoría de los usuarios, incluso aquellos que conocen las estafas, aún pueden ser engañados y hacer clic en enlaces maliciosos. Si bien la mejor estrategia es ignorar y evitar responder a SMS y mensajes de correo electrónico falsos, también es bueno saber qué hacer cuando se produce un ataque.
#1. Establecer cómo ocurrió el ataque.
Descubra por qué ocurrió el ataque y si su solución de seguridad requiere mejoras para evitar ataques similares en el futuro.
#2. Comprueba el efecto del ataque.
Investigue el correo electrónico de phishing para descubrir su intención, los datos a los que se dirigía el atacante y su propósito. También puede utilizar el firewall o registros similares para buscar direcciones IP y URL sospechosas. Consulta las cuentas y datos que podrían haberse visto comprometidos. Además, supervise de cerca sus cuentas o transacciones bancarias y en línea para detectar actividades sospechosas, como intentos de inicio de sesión desde ubicaciones inusuales, transferencias de fondos, etc.
#3. Informar a la organización implicada
Lo mejor es ponerse en contacto con la empresa legítima implicada y hacerle saber que los atacantes están utilizando el nombre de la empresa para engañar a los usuarios. La información permite a la organización advertir a sus clientes sobre las estafas.
#4. Aislar el dispositivo de la red
Si su teléfono o computadora está infectado, desconéctelo de la red para evitar que el malware u otro software instalado cargue sus datos confidenciales. También ayuda a proteger otras máquinas en la red.
Además de evitar que el malware se propague a otras máquinas de la red, la desconexión garantiza que el dispositivo no robe ni cargue datos confidenciales en Internet o en la máquina del atacante.
#5. Limpiar el dispositivo
Utilice una herramienta confiable para limpiar el dispositivo infectado y asegúrese de volver a conectarlo solo cuando no pueda causar ningún daño. Puede considerar restaurar el sistema a un buen estado anterior, como una semana antes del ataque. Además, cambie las contraseñas y PIN de las cuentas comprometidas.
Conclusión
Cada individuo y organización que utiliza dispositivos móviles y computadoras es vulnerable a ataques de smishing y phishing. Los ataques de smishing suelen estar dirigidos a usuarios de teléfonos móviles, mientras que el phishing se centra en los usuarios de correo electrónico.
De cualquier manera, los spammers utilizan técnicas de ingeniería social para engañar a los usuarios para que revelen contraseñas, datos bancarios y otra información confidencial. La mayoría de los correos electrónicos y mensajes de texto SMS de phishing y smishing pueden eludir los filtros de spam y otras soluciones de seguridad. En consecuencia, estos pueden hacer que los usuarios piensen que los mensajes son legítimos y limpios.
Estar atento y conocer las mejores prácticas de ciberseguridad puede ayudar en la prevención del robo de datos e identidad. La mejor manera de prevenir ataques es que los usuarios aprendan a buscar signos de ataques de smishing versus phishing, como urgencia, remitentes desconocidos, solicitudes para revelar información confidencial y más. Una vez que sospeches de un ataque, ignora el mensaje y confirma si la organización mencionada te envió el mensaje.
A continuación, ¿qué son los ataques de spooling y cómo mantenerse a salvo de ellos?