Phishing.

Ciclo completo en el ciberdelito

Abstract— Currently, the world of technology is constantly importante a tener en cuenta es que no existen fórmulas
changing and updating, as it advances by leaps and bounds mágicas para contrarrestar este tipo de delitos, ya que el
and everyone in the world is part of it. eslabón más débil de la cadena es el usuario y este es uno de
los más difíciles de educar. El internet y las redes son las
This document clearly demonstrates the basic concepts of herramientas que posibilitan la interconexión de las
social engineering and Phishing, the techniques used by empresas, lo que hace que estas mejoren su productividad y
criminals to attack their victims and a guide to take into sus conexiones nacionales e internacionales.
account and that companies and not be easy targets for Una clave para tener en cuenta es no contar con políticas de
criminals An important factor to keep in mind is that there seguridad claras, lo que desencadena malas prácticas en el
are no magic formulas to counteract this type of crime, since uso de los sistemas informáticos y de la red informáticas, el
the weakest link in the chain is the user and this is one of thecual es uno de los puntos más importantes para que el
most difficult to educate. The internet and networks are the departamento de seguridad de la información tenga en cuenta
tools that enable the interconnection of companies, which a la hora de protegerla.
makes them improve their productivity and their national Un factor importante a tener en cuenta de acuerdo a un
and international connections. estudio realizado por BID, MINTIC y OEA , se observó que,
An important factor to consider is not having clear security de manera general, las organizaciones colombianas que
policies, which triggers bad practices in the use of computer contestaron que se sienten preparadas, de hecho, adoptan
systems and the computer network, which is one of the most más medidas de seguridad que las demás organizaciones.,
important points for the security department of the como por ejemplo, las grandes empresas tienden a adoptar
information keep in mind when protecting it. más medidas de seguridad que una microempresa, así como
An important factor to take into account according to a las entidades públicas nacionales tienen una preocupación
study carried out by the IDB, MINTIC and OAS, the más grande con la seguridad digital que las entidades de
Colombian organizations that responded that they were orden territorial.
prepared, in fact, to adopt more security measures than the Se espera que esta monografía sirva de soporte para darle
other organizations were detected. as for example, the large claridad a las falencias en las empresas en la parte de los
companies affected to adopt more security measures than a ataques de Phishing, utilizados en la ingeniería social, para
microenterprise, as well as national public entities have a obtener las diferentes vulnerabilidades que hay y cómo
greater concern with digital security than territorial entities.generar una solución adecuada de acuerdo a los protocolos de
It is expected that this monograph will serve as a support to seguridad establecidos.
provide clarity to the flaws in the companies in the part of Palabras claves: tecnología, ingeniería, delincuentes, delitos,
the phishing attacks, used in social engineering, to obtain the seguridad.
different vulnerabilities that exist and how to generate an
adequate solution according to the protocols of established INTRODUCCIÓN
security.
Keywords: Technology, engineering, criminals, crimes,
Es importante tener en cuenta que actualmente la informática
security.
crece a pasos agigantados y es allí donde se hace necesario saber
y aprender cómo es la forma en que nos debemos proteger. José
Resumen— Actualmente, el mundo de la tecnología se María Alonso, conocido como Chema Alonso promueve el uso
encuentra en constante cambio y actualización, ya que este correcto y responsable de estas tecnologías que hay actualmente
avanza a pasos agigantados y debemos estar en constante y, también nos informa de que manera estamos siendo blanco
cambio como ejes fundamentales en pro de la globalización fácil para los diferentes delincuentes en la parte de la seguridad
tecnológica. de la información, es decir no estamos protegiendo nuestra
En este documento se podrá evidenciar de forma clara los información vital, como lo es el número de cedula, el nombre y
conceptos básicos de la ingeniería social y el Phishing, las apellido completo, nuestros correos electrónicos, las fotos que
técnicas utilizadas por los delincuentes para atacar sus publicamos en las redes sociales, en donde nos encontramos
víctimas y una guía para tener en cuenta y que las empresas ubicados, etc. Pero hay algo importante que debe incluir y es en la
y no sean blanco fácil para los delincuentes, un factor parte de la información que no se encuentra tan fácil en nuestros
perfiles informáticos como lo es Facebook y demás redes sociales
que hay actualmente. Es la información que a diario como al gobierno.
compartimos con otras personas casi de una forma automática. Por último, se espera que el presente artículo sea de gran ayuda
En los últimos años, se ha evidenciado que este problema para mantener informado a las personas y tengan una serie de
inquietó a las autoridades y, que se están diseñando y precauciones simples, con las cuales se evitaran en su mayoría,
desarrollando diferentes planes de contingencia, para que cada los ataques más comunes de Phishing.
una de las empresas u organizaciones que realicen estas bases de
datos relacionales o no relacionales se hagan responsables de la La Ingeniería social
seguridad de dicha información para los diferentes usuarios, que
sean privados más no públicos, desde luego teniendo en cuenta Actualmente la ingeniería social es conocido como el ataque
de los mismos usuarios si lo quieren publicar a todas las informático más peligroso. Esta técnica se basa
personas en sus redes sociales. fundamentalmente en manipular psicológicamente a las personas,
Además, las diferentes técnicas utilizadas actualmente por los para que de esta manera entreguen información confidencial o
delincuentes informáticos para poder dicha información de sus poder obtener el mismo tipo de información de forma que el
víctimas son innumerables y, por lo tanto, cada día desarrollan usuario no se dé cuenta de ello. Un factor importante a tener en
nuevas técnicas y combinan algunas técnicas clásicas para cuenta es que es una estafa antigua, puesto que no se necesita
desarrollar diferentes tipos ataques informáticos. Para este caso tener conocimientos avanzados en informática para cometer este
las técnicas que nos competen en esta investigación son, la tipo de delitos.
Ingeniería social y el Phishing. Ambas técnicas son vitales para Una frase muy escuchada para definir la ingeniería social es “toda
llevar a cabo diferentes delitos informáticos., el cual podemos cadena se rompe por el eslabón más débil" y este es el usuario del
partir de la base que existe un mundo virtual similar al mundo sistema o las personas del común, una empresa puede tener la
real, pero en este no existen controles adecuados, ni normas, ni seguridad tecnológica más avanzada y actualizada que exista en
leyes como las que hay actualmente que regulan nuestra el mercado, pero si no ha creado conciencia en sus empleados o
convivencia y por supuesto limitan el abuso al indefenso, es por no tiene unas políticas de seguridad claras y socializadas en la
eso que la mayoría del tiempo que nos encontramos en la red, organización, este siempre será su punto débil. Y como lo
estamos por nuestra propia cuenta, y es aquí en donde expresamos anteriormente no se necesita ser técnico experto para
decidimos hasta donde llegar y protegernos de esta misma. Hoy el robo de la información. Se puede decir que es mucho más fácil
en día solo recibimos información de los riesgos existentes que para los ciberdelincuentes conseguir una contraseña que hackear
hay en cada momento que pasa en la sociedad global. un sistema informático, por esto el auge de la ingeniería social.
En la actualidad es muy común ver en centros comerciales, Los delincuentes informáticos envían mensajes o links al azar
escuelas o parques públicos, a personas utilizando sus para que de esta forma los usuarios la compartan siendo
dispositivos móviles para consultar su correo electrónico, inconscientes de lo que están publicando. Un factor importante a
realizar pagos bancarios por medio de la banca móvil o tener en cuenta es que la información no solo se encuentra en
actualizando sus perfiles en las distintas redes sociales; esto solo dispositivos tecnológicos también podemos acceder a esta desde
por citar algunos ejemplos de una infinidad de operaciones que bases de datos obtenidas en internet o compradas de forma virtual
se pueden realizar gracias al avance de tecnologías de o física, otra fuente de información son los diferentes elementos
comunicación y el desarrollo de dispositivos móviles. de correo físico como cartas, facturas, documentos bancarios etc.
En estos días, donde empresas y personas dependen tanto de la Es fundamental tener en cuenta que la ingeniería social también
tecnología, el término de “valor de la información” y la tiene categorías de ataques a los usuarios; Ataques técnicos, al
“seguridad informática” han tomado gran importancia sobre ego, de simpatía y de intimidación.
todo empresas que buscan cuidar sus activos de información. La En el ámbito del cibercrimen, la ingeniera social es descrita como
seguridad informática se encarga de proteger los sistemas un método no técnico utilizado por los delincuentes cibernéticos
computacionales y todo lo que se relaciona al sistema (como para obtener información y de esta manera realizar fraudes u
información almacenada, bases de datos, software, hardware, obtener acceso ilegal en los equipos de las víctimas.
etc.) por medio de la creación e implementación de estándares, La Ingeniería Social se basa en la interacción humana y está
protocolos y herramientas de seguridad además de ampararse impulsada por personas que usan el engaño con el fin de violar
con las leyes propias de cada país con respecto a la protección los procedimientos de seguridad que normalmente deberían haber
de datos personales. seguido.
También el factor humano es una parte esencial del juego de Categorías de ataques en la ingeniería social.
seguridad. No existe un sistema informático que no dependa de Cuando hablamos de ingeniería social inmediatamente pensamos
algún dato ingresado por un operador humano. Esto significa en robo de información, pero también debemos tener en cuenta
que esta debilidad de seguridad es universal, independiente de que existen diferentes categorías en las cuales podemos
plataforma, el software, red o edad de equipo. Existe una frase posicionar los diferentes ciberataques como son estos dos grupos:
popular que dice que la única computadora segura es la que se a) Hunting: Son los estos tipos de ataques son los que buscan
encuentra apagada y desenchufada. obtener información específica del objetivo o las victimas con la
Sin embargo, como se ha repetido a lo largo de la historia, con menor exposición directa posible. O en pocas palabras con el
el desarrollo de nuevas herramientas de tecnología y de menor contacto. Obtienen la información de sus víctimas y
comunicación, surgen personas que buscan explotar las desaparecen. En la práctica hablamos de ataques de ingeniería
vulnerabilidades de estas nuevas tecnologías, pero sobre todo se social enfocados a obtener X dato (normalmente credenciales de
enfocan en engañar al eslabón más débil de una cadena de acceso a un servicio o cuenta, activación o desactivación de
seguridad: el usuario. alguna configuración que puede complicar el objetivo final o
Es importante conocer que organismos protegen la integridad de como apoyo a un ataque mayor, dirigido y persistente), de forma
nuestros datos personales que se entregan tanto a particulares que el atacante se pone en contacto de alguna manera con la
víctima, y la insta a realizar una acción cuyo desenlace es el
pretendido inicialmente. Este término utilizado frecuentemente como un tipo de ingeniería
b) Farming: El objetivo es mantener el engaño el mayor tiempo social, phishing proviene de la palabra inglesa "fishing" (pesca),
posible, para exprimir al máximo el conocimiento, recursos o lo que traduce en el español hacer que los usuarios "muerdan el
posición de la víctima. Para ello, se suele recurrir a granjas de anzuelo", y la persona que realiza el ataque se le denomina
identidades, que por lo general han sido robadas con Phisher o delincuente.
anterioridad. La primera mención del término phishing se remonta a principios
Aspectos claves en la ingeniería social. de enero de 1996. “(Se dio en el grupo de noticias de hackers
Según Kevin Mitnick, el éxito de los ataques de ingeniería alt.2600, aunque es posible que el término ya hubiera aparecido
social, se debe a cuatro principios básicos y comunes a todas las anteriormente en la edición impresa del boletín de noticias hacker
personas: 2600 Magazine. El término phishing fue adoptado por quienes
• Todos queremos ayudar. intentaban "pescar" cuentas de miembros de AOL. Utilizando
• El primer movimiento es siempre de confianza hacia el otro. algoritmos que generaban números de tarjetas de crédito
• No nos gusta decir “No”. aleatorios, estas cuentas podían durar semanas o meses antes de
• A todos nos gusta que nos alaben. que una nueva fuera requerida. Posteriormente, AOL tomó
medidas tardíamente en 1995 para prevenir esto, de modo que los
crackers recurrieron al PHISHING para obtener cuentas legítimas
en AOL)”.

¿Qué es el Phishing?
Phishing o suplantación de identidad es una técnica de ingeniería
social, la cual es utilizada por ciberdelincuentes para obtener
información de las víctimas de manera fraudulenta. En el
phishing la herramienta por preferencia es el correo electrónico
ya que de esta manera los ciberdelincuentes envían
comunicaciones oficiales al azar y obtienen información sensible
de los usuarios que ingenuamente responden encuestas o
formularios otorgando de esta manera sus datos personales en
De acuerdo a lo anterior la ingeniería social tiene dos puntos bandeja de plata. Es importante aclarar que estas herramientas son
clave en los que se basa el ciberdelincuente para realizar el la base de cualquier delito informático puesto que de ellas se
ataque, ellos son la psicología (ya que por medio de halagos etc. obtiene información materia prima para la ejecución de
pueden acceder a nosotros) y la interacción social ya que actividades ilícitas.
mediante las redes o la interacción con intrusos se logra el
Tipos de Phishing.
objetivo.[1] Este delito informático también cuenta con diferentes formas de
operar, por esto es importante tener en cuenta como son:
Existen tres fases, que son relevantes a la hora de realizar un • Phishing de clonado o de redireccionamiento: Es un tipo de
ataque de ingeniería social, no es relevante el tipo ingeniería engaño de campaña, en donde se buscan aquellas víctimas para
social que se está aplicando estas son: que estas estén interesadas en la publicidad engañosa e inserten
• Fase de acercamiento: Esta es la primera etapa, pues consiste los datos correspondientes en un formulario controlado por el
en hacer el primer acercamiento a la víctima para de esta manera atacante. Además, en este tipo de campañas engañosas, envían
tratar de ganar su confianza. Normalmente, el ciberdelincuente enlaces masivos por email, haciéndose pasar por alguien
se vale de técnicas de ingeniería social lo que permite al conocido o también en alguna marca que goce con el respeto de
objetivo dominar la comunicación porque de esta manera las víctimas, pidiéndole a esta que accedan lo antes posible,
detecta sus debilidades primarias para poder ser explotadas. dándoles ciertas recompensas (en el que no se puede permitir que
• Fase de alerta: Posteriormente de la etapa de acercamiento se la víctima se tome su tiempo para pensar) para beneficiarse de
encuentra la fase de alerta, en donde se plantean diferentes una oferta, como puede ser, en un concurso, una rifa, descarga
opciones a la víctima y de esta manera medir y así observar su gratuita de contenido de pago., y el de obtener información
velocidad de respuesta bajo presión. En esta fase, el grado de importante, como también en un mensaje enviado o para
interacción cambia y de repente se empieza a ser más activo: el solucionar un problema grave (tu cuenta bancaria ha sido
atacante lanza propuestas sueltas; generalmente todas para bloqueada hasta que se demuestre ser el titular de la cuenta., otro
afianzar la confianza inicialmente establecida. Con esto se ejemplo es, no has pagado la última factura y estás a un paso en
logrará que el objetivo revele más información de la que está estar en lista de morosos.
dispuesta a entregar. • Phishing de timo: Este es otro tipo de ataque, que es
• Fase de distracción: En esta fase; el atacante ya ha obtenido considerado tradicional., en donde los vectores de ataque
gran parte de la confianza que se necesita para conseguir que la provienen del email, de las redes sociales y de los servicios de
víctima entregue los datos que desea obtener. “La victima ya se mensajería, pero, además, hay dos principales diferencias con el
siente a gusto en la comunicación y baja sus defensas a niveles anterior ataque: No suelen ser tan masivos como el phishing de
penetrables. En paralelo, el atacante domina prácticamente la clonado: el cual su funcionamiento (más manual), no puede
comunicación; si bien no llega al punto de agobiar al objetivo abarcar a tantísimo target, en el que parte de la fase inicial, de la
para evitar que éste levante sus alarmas”.[2] toma de contacto y por otro lado su objetivo no es robarnos
credenciales, sino realizar algún tipo de timo más tradicional:
El phishing para este caso, no habrá ninguna página web fraudulenta al final
del ataque, en el que genera una especie de espiral de engaños, en
Historia del Phishing (Origen del término)
el que se busca aprovechar nuestras debilidades que nos acabará convincente ante los ojos de los objetivos. Sin embargo, son
obligando a seguir en contacto con el atacante. Un ejemplo, para fáciles de detectar en la mayoría de ocasiones y no llegan a entrar
este caso, es cuando una persona extranjera o de otro en la bandeja de entrada. Además, los ciberdelincuentes están
departamento, se hace conocer por medio de las redes sociales, prefiriendo nuevas técnicas, en el que se introducen correos más
y le da inicio a la conversación, dándole un me gusta a una foto sofisticados, es decir, más personalizados., en el que buscan la
o un mensaje de texto, etc., y después de analizarlo varios días, suplantación de identidad, pero con un mensaje que la víctima
te empieza a pedir dinero para viajar a tu país o departamento, y confié., como, por ejemplo, introduciendo un emisor de un
conocerlo personalmente, pasándose por esa persona que dice nombre reconocible para la víctima.
ser, sin decencia que casualmente te ha elegido a ti entre todo el En la actualidad hay nuevos ciberataques por email, en el que
resto de personas del mundo para dejarte el dinero o de pedirte ahora existe un tipo de ataque de fraude del CEO, en el que
tu dinero, siempre y cuando puedas hacer frente a las continuas básicamente se basa en que el atacante, suplanta la identidad del
retenciones de aduanas/cambios de divisas/impuestos, o el jefe de una empresa, y pide a un trabajador de la propia empresa,
tráfico de fotos comprometidas que has compartido en el que normalmente es el que se encarga de la contabilidad, el
aparentemente con una persona de su edad o en el caso de niños cual se transfiere de una manera urgente a una determinada
y niñas que caen en trampas de estas. cantidad de dinero para cerrar un acuerdo.
• Spear Phishing: Este tipo de ataque se trata de un phishing Ahora, podemos detectar los diferentes tipos de ataques, en el
dirigido a la consecución de un objetivo específico en una cual FireEye ha publicado algunas tenencias destacadas de los
víctima especifica., en el que se realiza un estudio OSINT diferentes tipos de ataques por email analizados., para este caso,
avanzado inicial, en el que permite conocer de antemano qué los ataques con malware eran muy comunes tanto los lunes como
debilidades podría tener, para enfocar el ataque a que sea lo más los miércoles, sin embargo, los ataques de suplantación de
creíble posible. Si el objetivo es atacar a una empresa, lo identidad se daban los viernes, ideal para hacer la “estafa del
habitual es de buscar a alguien del área administrativa y CEO”, ya que, si hicieran esto mismo cualquier otro día, es muy
directivo de la empresa (usuario con acceso al sistema y que no posible que el propio CEO estuviera en la empresa. [3]
suelen tener muchos conocimientos informáticos), y una vez
que lo identifiquen y lo engañen, se ira accediendo y
ascendiendo en la cadena hasta el equipo de IT, que suelen tener Tipos de ataques relacionados con el phishing
acceso a todo el material que se quiere obtener. ¿Los vectores de
ataque? Para este caso también es por email o correo Deceptive Phishing: Este es una de las modalidades más
electrónico, pero también cada vez más redes sociales, en comunes, en el cual, consiste en el envío de un correo electrónico
especial las profesionales como Linkedln, por lo tanto, es difícil engañoso, en el que se suplanta a una empresa, organización,
defenderse en este tipo de ataque, ya que el delincuente va a tiro entidad bancaria o gubernamental. Ahora, en la parte del receptor
fijo y con la información publicada, puede saber mucho de pulsará en el enlace contenido en el mensaje, en el que desvía de
nosotros como víctimas. manera inconsciente a un sitio fraudulento para la víctima en el
• Smishing o SMS phishing: Para este tipo de ataque, el correo ataque.
electrónico o email sigue siendo el canal principal para las Malware-Based Phishing: En este tipo de ataque se refiere a la
comunicaciones importantes, pero con la caída del SMS, y su variante del delito, en el que implica una o varias ejecuciones de
paulatino uso para notificaciones importantes o segundos uno o también de varios tipos de software malicioso en una
factores de autenticación, el mensaje de texto empieza a verse computadora. En este caso el usuario deberá realizar alguna
como una herramienta fiable para lanzar campañas de phishing. ejecución que permite la ejecución de este malware en el
El smishing no es más que un phishing vía SMS, que ordenador, como el de abrir un archivo, visitar un sitio web,
habitualmente tiene como cometido que envíes un mensaje a un descargar un archivo, ver un video, entre otras.
número de tarificación especial (concursos fail, mayormente), la Keyloggers y Screenloggers: Este es una variedad de
suscripción a servicios premium (esto es, pagos recurrentes) o la particularidades de malware, en donde los keyloggers son
multicanalidad con vista a una campaña de phishing avanzada programas que registran las pulsaciones del teclado cuando la
(después de que el supuesto departamento de seguridad de computadora infectada acceda a una web registrada o también
Microsoft te contacte por mail para avisarte que te va a mandar cuando tenga acceso a la red, en donde es enviada las capturas de
ahora un SMS y debes confirmarles la clave, harás teclado a un correo electrónico que se encuentra dentro del
sencillamente todo lo que ellos te pidan). programa del keylogger, y los Screenloggers tienen la misma
• Vishing o Voice Phishing: “Si el smishing es un tipo de función, pero este tipo de programa lo que realiza es de capturar
phishing vía SMS, el vishing es lo mismo, pero vía centralita de imágenes de la pantalla.
telefónia (o VoIP). Y opera exactamente igual que el anterior. O Web Trojans: Estos son programas que aparecen en las ventanas
bien por separado (“Oiga, le llamamos de su operadora, ¿puede emergentes de validación de páginas web legitimas., en el que el
confirmarnos que la clave de su router es 1234?”), o bien como usuario cree que está introduciendo los datos personales a un sitio
apoyo para un ataque de spear phishing más efectivo”. web legítimo, que puede ser de una entidad gubernamental,
Hoy en día, el phishing ha sido una de las principales amenazas bancaria, empresa u organización.
que llegan a través del correo electrónico., aunque los System Reconfiguration Attacks: Este tipo de ataque se efectúa
cibercriminales cada día están buscando nuevas técnicas, por lo modificando los parámetros de configuración de la computadora
que buscan que dichos correos electrónicos tengan una mayor de la víctima, como, por ejemplo, a modificación del nombre de
tasa de éxito. Se intenta buscar que la víctima los abra e dominio.
interactúe con estos. Los correos electrónicos de phishing son Data Theft: Este se trata de varios códigos maliciosos, en el que
fáciles de implementar. No requieren una gran preparación del tiene como función el de recabar toda la información confidencial
atacante más que la elaboración de un correo que sea almacenada en esa computadora.
DNS-Based Phishing (“Pharming”): Este tipo de delito se basa abriendo una nueva que contiene la URL ilegítima.
en la interferencia en la parte de los procesos de búsqueda de un En otro método actualmente usado en las técnicas de phishing es
nombre de dominio, esto quiere decir, que es de modificar de que el phisher utiliza contra la víctima el propio código de
forma fraudulenta la resolución del nombre de dominio, en el programa del banco o servicio por el cual se hace pasar. Este tipo
que se enviaba al usuario a una dirección IP distinta. de ataque resulta particularmente grave, ya que dirige al usuario a
Hosts File Poisoning: Para este caso es la transformación de los iniciar sesión en la propia página del banco o servicio, donde la
ficheros de hosts que se encuentran en los servidores DNS. URL y los certificados de seguridad parecen correctos. En este
Content-Injection Phishing: Esta es una modalidad, en el que método de ataque (conocido como Cross Site Scripting) los
consiste en el de introducir contenido fraudulento dentro de un usuarios reciben un mensaje diciendo que tienen que "verificar"
sitio web legítimo. sus cuentas, seguido por un enlace que parece la página web
Man-in-the-Middle Phishing: Para este caso, el ciberatacante auténtica; en realidad, el enlace está modificado para realizar este
se posiciona entre la computadora de la víctima y el servidor, en ataque, además es muy difícil de detectar si no se tienen los
el que se filtra en este espacio, y que puede realizar conocimientos necesarios.
modificaciones, el de leer la información. Otro problema con las URL “es el relacionado con el manejo de
Search Engine Phishing: “Los Phishing crean buscadores para Nombre de dominio internacionalizado (IDN) en los navegadores,
re direccionarte a los sitios fraudulentos”.[3] puesto que puede ser que direcciones que resulten idénticas a la
vista puedan conducir a diferentes sitios (por ejemplo
Técnicas de ataque phising dominio.com se ve similar a dοminiο.com, aunque en el segundo
Un factor importante en las técnicas de phishing es que siempre las letras "o" hayan sido reemplazadas por la correspondiente
tienen un objetivo final sin importar la modalidad que adopte el letra griega ómicron, "ο"). Al usar esta técnica es posible dirigir a
atacante y esta es engañar al usuario de dos formas una es para los usuarios a páginas web con malas intenciones. A pesar de la
sacar dinero (transferencias) y la segunda es para que divulgue publicidad que se ha dado acerca de este defecto, conocido como
información confidencial lo que con lleva a un ataque posterior IDN spoofing o ataques homógrafos, ningún ataque conocido de
(obtener contraseñas). phishing lo ha utilizado”.
¿Qué necesitan del usuario?:
En la mayoría de los casos, necesitan que se realice una de dos
acciones: clickar en un link o abrir un fichero adjunto.
Cualquiera de estas acciones abrirá una puerta a la siguiente del
ataque del hacker.
¿Cómo atacan?:
Utilizan el factor humano, que es el eslabón más débil en la
cadena de seguridad. El 95% de los incidentes relacionados con
la seguridad, incluyen algún tipo de error humano.
Generalmente, como lo mencionamos anteriormente un ataque
de Phishing comienza con un correo electrónico y sólo con que
una de las víctimas ejecute la acción sugerida en el correo, los
ciberdelincuentes tendrán la forma de actuar ante los objetivos y
pasar a una segunda parte del ataque, que incluye entre otros
ataques de denegación de servicio, bloqueo de sistemas, robo de
información, e infecciones de malware.
Aunque existen diferentes tipos de phishing los cuales hablamos
anteriormente, existe un modus operandi generalizado para este
tipo de ataques como lo son:
La mayoría de las técnicas que utiliza el phishing utilizan la Un aspecto claro a tener en cuenta es que las empresas toman
manipulación en el diseño del correo electrónico para lograr que medidas para contrarrestar los ataques de phishing una vez ya han
el enlace o mensaje parezca legítimo de la empresa u ocurrido, actualmente las medianas y pequeñas empresas son las
organización gubernamental por la cual se hace pasar el que más sufren a la hora de hablar de ciberataques ya que estas no
ciberdelincuente. tienen el presupuesto económico necesario para la protección,
Las URL ilegitimas o el uso de subdominios, son los trucos que herramientas tanto de software como hardware y personal
generalmente utilizan los phishers para realizar sus ataques calificado para estos ataques.
como podemos visualizar en el siguiente ejemplo De acuerdo al informe de seguridad cibernética para Empresas
http://www.nombredetubanco.com/ejemplo, en la cual el texto presentado por Cisco, que estudia los datos de 1,816 encuestados
mostrado en la pantalla no corresponde con la dirección real a la de Empresas en 26 países, ofrece un análisis del panorama que
cual conduce. enfrentan las organizaciones más pequeñas en el tema de
Otro ejemplo para encubrir enlaces es el de utilizar direcciones seguridad, y qué recomendaciones o acciones deben seguir estas
que contengan el carácter arroba: @, para posteriormente organizaciones para atenderlo de una manera más efectiva.
preguntar el nombre de usuario y contraseña (contrario a los
estándares).
Otros intentos de phishing utilizan comandos en JavaScripts
para alterar la barra de direcciones. Esto se hace poniendo una
imagen de la URL de la entidad legal sobre la barra de
direcciones, o cerrando la barra de direcciones original y
 complementos, mostrar ventanas emergentes, como también en el
redirigir a cualquier URL. Además, también pueden hacer que las
víctimas descarguen algún tipo de malware o cualquier programa
malicioso.
• HashCat: Hashcat puede crackear casi cualquier tipo de hash.
Tiene dos variantes con dos algoritmos diferentes, uno es el
craqueo de CPU, otro es el craqueo de GPU. Algoritmo de
craqueo de GPU, OclHashCat es más rápido que el crackeo de la
CPU tradicional porque la GPU tiene demasiados números de
núcleos. OclHashcat utiliza multi-core para crackear miles de
hash en menos de un segundo. Esta poderosa herramienta para
Un dato relevante del informe es que el 53% de los encuestados descifrar hash puede ser muy útil cuando la usas con una lista de
experimentó un ataque. Esto a menudo tienen un impacto palabras personalizada o un ataque de fuerza bruta.
financiero duradero en una empresa, así como los gastos
asociados para limpiar o eliminar los daños ocasionados. otro de • BetterCap: Es una de las herramientas más poderosas para
los datos arrojados por el informe es que los móviles son los poder realizar varios tipos de ataques Man-In-The-Middle., en el
más atacados, pero en controversia son los más difíciles de cual se puede manipular el tráfico HTTP, HTTPS y TCP en
proteger. tiempo real, como también el de buscar credenciales, entre otros.
Las empresas actualmente están considerando la adopción de Se puede decir que esta herramienta BetterCap es la versión
servicios de almacenamiento en la nube, ya que esto ha tenido mejorada de la otra herramienta que es llamada Ettercap, el cual
es otra herramienta muy popular para los ataques MIME.
un aumento significativo en los últimos años.[4]
Además, la herramienta BetterCap tiene la capacidad de descifrar
Ataque phishing SSL/TLS, HSTS, HSTS precargados. También utiliza SSLstrip+
y el servidor DNS (dns2proxy) para poder implementar la
Identificación de las herramientas y los procesos en un ataque derivación parcial de HSTS. Las conexiones SSL/TLS están
phishing terminadas., pero hay ciertas problemáticas, el cual la conexión
A continuación, se identificará la siguiente herramienta llamada descendente entre el cliente y el hacker no usa el cifrado
Black Eye, el cual es una herramienta gratuita para hackear con SSL/TLS y permanece descifrada.
phishing y es una de las más completas hasta ahora, el cual
contiene 37 plantillas web+1 personalizables, con la función de A continuación, encontramos algunos pasos para evitar un ataque
recopilar información de IP y ubicación simplemente haciendo
de phishing, los cuales son:
clic en el enlace. Además, admite las versiones móviles, y
también admite plantillas de algunos sitios web que son un poco
• Observar de forma detallada las URL en los enlaces de correo
complicados de clonar, no obstante, no es compatible con electrónico: Para este primer paso, se debe revisar los correos
algunas herramientas.
electrónicos que son enviados de otras personas a la bandeja de
Otra herramienta interesante es la Social Engineer Toolkit: esta entrada, el cual hay momentos que se adjuntan enlaces, pero antes
herramienta está diseñada para realizar ataques avanzados
de acceder, se debe pasar el cursor por encima, con el objetivo de
contra las vulnerabilidades de una persona. Los métodos ver la URL completa y el de poder saber si es auténtico o no lo es.
integrados en el kit de herramientas están diseñados para ser
Además, se debe tener en cuenta que al ver un candado al inicio o
diferentes ataques que están dirigidos y enfocados contra una el protocolo “HTPPS” no es garantía de autenticidad. Si uno
persona (víctima), una empresa u organización utilizada durante
como usuario no está seguro de esto, lo que se debe hacer es
una prueba de penetración, en el que incluye phishing, eliminar el enlace y el de acceder al sitio web capturando por
recopilación de información, clonación de datos, entre otras.
completo el enlace en el navegador de preferencia.
Algunas de las herramientas SET más populares son los • Typosquatting: Este se refiere al uso de dominios parecidos al
siguientes:
servicio legítimo a los que dicen pertenecer, pero que a la vez
• Ataque Man in the Middle. tiene intensiones maliciosas. Ya que por lo general los hackers de
• Spear-Phisihing Attack Vector.
sombrero negro, grises y algunos crackers, como también algunos
• Java Applet Attack Vector ingenieros sociales utilizan la URL de una empresa importante, y
• Metasploit Browser Exploit Method.
solo le cambian una letra o un número, con el objetivo de engañar
• Credencial Harvester Attack Method. a la mayoría de los usuarios. Es recomendable revisar la
• Método de ataque Tabnabbing.
ortografía de las URLs.
• Infectious Media Generator. • Utilizar contraseñas seguras: En este paso, es recomendable
para los usuarios el de crear, utilizar contraseñas complicadas,
Browser Exploitation Framework (BeEF): ante todo, en los como, por ejemplo: mAriA1987@#&/87.
sitios web hay ciertas vulnerabilidades, como lo son: XSS, el • No abrir emails que no se haya solicitado: Antes de abrir un
cual es una de las vulnerabilidades más comunes en las correo electrónico, se debe verificar si hay alguna alerta sobre
diferentes aplicaciones web. BeEF (Framework de explotación algún ataque de phishing de la empresa u organización que lo
del navegador) se utiliza para poder explotar una vulnerabilidad envía. Si desconfías, solo debes llamar a la empresa y el de
XSS y, además, se centra en los ataques del lado del cliente – realizar las preguntas correspondientes.
usuario. Una vez realizado la explotación con esta herramienta • No hagas clic en los enlaces de los emails: Por lo general un
en un sitio web, los usuarios de ese sitio web se convierten en ataque de phishing descarga varios tipos de malware a través de
víctimas y el navegador de las víctimas, el cual pueden ser enlaces que se han adjuntado al correo electrónico del usuario,
controlados por el BeEF. Un hacker puede instalar
como también en los enlaces de mensajes de redes sociales, empresa u organización ya configurado, a partir de instalaciones
mensajes de WhatsApp, etc. limpias pero que también se puedan usarse en equipos con datos
• No descargar ficheros adjuntos: Al igual que en los enlaces, ya incluidos, a fin de realizar las diferentes recuperaciones de
se deberá tener mucha preocupación al descargar los ficheros forma más rápida y sencilla en un caso de daño en la
adjuntos en las redes sociales, en los emails, y en el WhatsApp. computadora. Además, los sistemas operativos como Windows 7,
Windows 8, 8.1 y Windows 10, incluyen herramientas para la
• Contar con un programa de formación antiphishing: Este elaboración de este tipo de respaldo.
paso es en la parte donde se aplica a las medianas y grandes f). Cifrado de particiones: realizar un cifrado de particiones para
empresas, en donde se crea conciencia en los trabajadores sobre hacer ilegible la información contenida en estas, por medio de
seguridad informática, en la parte de ingeniería social y sus algunos algoritmos matemáticos simétricos, asimétricos o
consecuencias. también híbridos, es recomendable hacerlo en todos los equipos
• Cambia su contraseña de inmediato: Sí en el caso de que portátiles y de escritorio de la empresa.
caigas en un ataque de phishing no dudes en cambiar tu g). Autenticación: el departamento de informática debe crear
contraseña, si en tal caso de que te hackearon en tu cuenta de usuarios y contraseñas seguras, no solo para el acceso a los
ahorros, debes comunicarte con tu entidad bancaria, para que sistemas operativos, si no, a las redes de datos, sistemas de
realicen las acciones correspondientes.[5] información a la BIOS de cada computador de la empresa. Se
debe tener en cuenta la longitud de las contraseñas estas deben ser
alfanuméricas, caducidad (asignarles límites de tiempo) y la
Como prevenir la ingeniería social (phishing) complejidad de las contraseñas de acceso atendiendo a las
recomendaciones que para ello existen en normas o guías
Es importante tener en cuenta que para las técnicas de ataques internacionales de seguridad de la información.[6]
phishing no existe una solución eficaz que logre eliminar por
completo este tipo de amenaza, lo que se puede hacer es tomar Es importante tener claro la concientización de los usuarios en el
medidas de seguridad que ayudan a mitigar el impacto de este uso de las tecnologías de información, como responsables del
ante las empresas. departamento de informática y, aún más en la parte de realizar las
Existen medidas de hardware, software y una de las que nos diferentes campañas de capacitación y concientización acerca de
parece más importante es de implementar políticas de seguridad todos los temas de actualidad de TI y de la seguridad informática.
para este tipo de amenazas, además de realizar capacitaciones al
personal y simulacros para evitar estos ataques.[5] a). Crear contraseñas complejas, ya que generalmente los
usuarios utilizan el número de identificación, deben ser
Medidas para contrarrestar el phishing en los sectores alfanuméricas y se deben cambiar periódicamente, como, por
empresariales: ejemplo: Fer1995@#$@27.
• Cambia las contraseñas cada tres o seis meses
Estas medidas son para los técnicos de las empresas, los cuales • Utilizar contraseñas diferentes para cada plataforma online que
son los encargados del funcionamiento del departamento de se utilice.
tecnología de información. • Evita contraseñas fáciles de adivinar (Esta página te puede
a). Implementar herramientas de software para proteger las ayudar a generar contraseñas de alta seguridad:
redes con antivirus, anti-phishing, antispyware, sistemas de https://lastpass.com).
protección total, antispam con funcionalidades de sandboxing
(se crea un entorno seguro, no permite instalar software b). Aprender a identificar los correos electrónicos de phishing, el
malicioso). Con estas herramientas se crean capas de seguridad, cual existen algunas pautas a tener en cuenta para poder
que evitan que esta amenaza llegue a nuestros trabajadores. identificarlos. Muchos intentos y estudios se han realizado para
b). Implementar herramientas de hardware como lo son firewall hacer frente a ataques de phishing y se han creado muchas
UTM, routers y proxy, con una implementación de buenas soluciones diferentes para la detección de ellos, como el sello de
políticas, con el objetivo de garantizar la detección de vínculos inicio de sesión , sheeram desarrollo de un sistema experto
maliciosos. basado en las características de las páginas web para detectar
c). Realizar simulacros con los trabajadores de la compañía, sitios web de phishing, algoritmo genético basado en técnicas
simulado un ataque ficticio de phishing y luego hacer anti-phishing Chen, detección de ataques de phishing basado en la
retroalimentación en el simulacro realizado, teniendo en cuenta categorización de enlaces Atighetchi & Pal, prevención de
los puntos vulnerables y corroborar los demás puntos. ataques de phishing basada en atributos Dunlop et al, contenido
d). Recomendaciones a los trabajadores en agregar a favoritos basado en antiphishing Mishra & Gaurav, confrontación a los
los sitios web de confianza que son utilizados a diario, como ataques de phishing por la identificación de dos etapas Liu et al,
también de hacer seguimiento a las personas que se acaban de detección de páginas phishing basada en relaciones asociadas
conocer en las redes sociales, como, también afuera de sus Reddy et al, uso de algoritmos de minería de datos. Todas las
oficinas y dentro de estas mismas, de realizarles un seguimiento técnicas mencionadas se centran en detectar y contrarrestar
sin entrar a su privacidad. Pero, además, en esa investigación ataques de phishing. Al mismo tiempo, para la identificación y
que se puede realizar a las personas y a los sitios web, se puede prevención de ataques de phishing es necesario conocer su
obtener información confidencial de con quien se va relacionar periodicidad para llevar a cabo el análisis detallado de este tipo de
o a que sitio web va a ingresar y así con el objetivo de evitar ataques.
fugas de información privada dentro y fuera de la empresa. Existen sitios antiphishing que analizan en “tiempo real”
e). Imagen del sistema: es recomendable realizar réplicas cualquier URL solicitado por los usuarios, para comprobar los
exactas de los discos duros de los equipos de cómputo de la riesgos de phishing usando cientos de las “funciones” del sitio.
Estas funciones evalúan el contenido de la página, la etc.
información de reputación del dominio, además de muchos
otros factores. El aprendizaje mecanizado por inteligencia d). No hacer click a los enlaces que llegan al correo electrónico
artificial determina cuáles son las funciones significativas para como adjunto.
cada URL revisada y el peso que se debe aplicar a cada una de • Teclea directamente la dirección web en tu navegador o utiliza
ellas en la clasificación. marcadores/favoritos si quieres ir más rápido.
Un mecanismo que se ha propuesto para reducir los correos de • Tener en cuenta las extensiones de dominio diferentes. o
phishing en tiempo real es el método denominado IBC Verificar exhaustivamente la apariencia del sitio web, logotipos,
(Intelligent Based Classification), el cual utiliza un algoritmo de errores ortográficos, entre otros.
filtrado y clasificación inteligente que detecta los correos
electrónicos de phishing por sus propias características. El e). Introducir los datos confidenciales únicamente en las webs
algoritmo de clasificación detecta ataques de phishing y protege seguras.
a los usuarios de los enlaces poco fiables, mensajes instantáneos • Han de empezar por ‘https://’ y debe aparecer en tu navegador
y páginas web, además, puede detectar hasta un 96% de los el icono de un pequeño candado cerrado.
ataques de phishing en tiempo real. f). No descargar archivos adjuntos pueden tener malware o
Otra alternativa en la investigación de los ataques de phishing es programas para robarnos información.
la aplicación de la teoría del caos. La metodología dada ha
encontrado amplia aplicación en la investigación de los g). Revisa periódicamente las cuentas del banco, ya que podemos
contenidos de información relacionada con datos sobre el tráfico ser blanco de un robo sin darnos cuenta.
de las redes informáticas. Pero, como se ha dicho antes, el
análisis y la investigación de los ataques de phishing se h). Evitar publicar nuestros datos personales en sitios públicos, en
complican por dos motivos: primero, la escasa información foros, redes etc.
acerca de tales ataques, y segundo, la complejidad en la
recepción de la correspondiente información sobre phishing. Sin i). Infórmate constantemente acerca de los tipos de ataques
embargo, desde el punto de vista de la investigación de los actuales y el modus operandi de los delincuentes.
ataques de phishing, como regla general, hay datos que
caracterizan a la cantidad diaria de ataques padecidos o j). No confíes de los constantes anuncios de Google.
identificados. Tales datos, al menos, permiten juzgar la
capacidad de ataques a partir de su recálculo diario a durante un k). No compartir información con todo el mundo: no es
periodo de tiempo. Por lo tanto, en su conjunto, es posible recomendable compartir la información confidencial con
identificar el cambio de la capacidad de ataques de phishing en cualquier persona que se les cruce en el camino, si se está
un periodo de tiempo que permite asignar valores de incidencia trabajando en una empresa solo se debe compartir la información
o intensidad de estos ataques en ciertos intervalos, o su confidencial con los directivos o jefes de la empresa, a si se logra
uniformidad. De esta manera, tales conclusiones pueden ser que la información esté más protegida y así la empresa sea menos
útiles para la posterior predicción vulnerable a los diferentes tipos de ataques informáticos.
• Utilizan nombres y adoptan la imagen de empresas reales o
Llevan como remitente el nombre de la empresa o el de un l). No tener miedo de amenazas: las personas no debemos
empleado real de la empresa. dejarnos intimidar por amenazas recibidas ya sea a través de redes
• Incluyen webs que visualmente son iguales a las de empresas sociales o personalmente. Muchos delincuentes informáticos
reales o Como gancho utilizan regalos o la perdida de la propia utilizan ciertos elementos o información confidencial robada, para
cuenta existente. asustar a sus víctimas y llevarlas a hacer algo en contra de su
• Existe una solicitud de información personal o de la empresa, voluntad, donde las personas terminan haciéndolo solo por temor.
tal como números de identificación, información financiera, Si se siente atemorizado por alguna amenaza, pida ayuda a las
claves usuarios entre otras., además, es importante tener en autoridades policiales o cuéntele a alguna persona de confianza
cuenta que las comunicaciones oficiales por lo general, no para que este le ayude.[6]
solicitan información personal del usuario en forma de un
correo electrónico. o El mensaje es inesperado y no solicitado.
Si en algún momento recibe un correo electrónico de una
entidad o de una persona que rara vez trata, considera la
posibilidad de esta sospechosa de correo electrónico.
CONCLUSIONES
Al realizar este artículo de revisión acerca de los diferentes tipos
c). Verificar la fuente de información de los correos entrantes.
de ataques de ingeniería social que se han dado en los últimos
• La dirección del remitente no coincide con la firma en el
años a nivel internacional, se pudo observar y visibilizar que
mensaje en Sí.
existen muchas falencias que hay frente al tema de la seguridad
• Hay varios destinatarios y son direcciones aleatorias.
informática y de la información, el cual suelen escatimar en los
Normalmente se envían mensajes corporativos directamente a
diferentes gastos y la ausencia de ciertas actualizaciones en la
los destinatarios individuales. o En el saludo del mensaje el
parte de la seguridad.
nombre se encuentra extraído de la dirección de correo.
De esta forma se logra establecer que el ser humano es uno de los
• Pueden llegar mensajes en diferentes idiomas.
eslabones más débiles que hay a la hora de ejecutar un ataque de
• El mensaje o los datos adjuntos piden que habilitar macros,
ingeniería social, por medio de algunas técnicas y metodologías,
ajustar la configuración de seguridad, o instalar aplicaciones.
en el cual se puede realizar la suplantación de identidad por
• El mensaje contiene errores. De tipo ortográfico, gramatical
medio de llamadas telefónicas, como también espionaje,
espionaje por encima del hombro, y observar las rutinas de las
personas, sus gustos, entre otras. • Correos electrónicos: Usuarios atraídos por una serie de
Por medio de este documento se dio a conocer las diferentes engaños muy simples para ingresar en diversos sitios y obtener su
técnicas de ataque phishing que existen actualmente y de cómo información personal.
realizar un ataque con ingeniería social, identificando quienes
son los más vulnerables a estos tipos de ataques, como también • Suplantación de páginas Web: Se basa en comprar el dominio
quienes son los que ejecutan los diferentes métodos de de una página web que se parezca mucho a la página oficial y de
ingeniería social, para poder lograr identificar las diferentes esta forma cuando la gente intente acceder a este servicio la
vulnerabilidades en una empresa, como también en identificar y información se le proporcionara al administrador de esta página.
describir cuales son los objetivos de los ingenieros sociales, sus
métodos, y de cómo ganarse la confianza de sus víctimas, ya • Instalación de malware: Al acceder a una página o descargar un
que no solo mediante el correo electrónico podemos suministrar archivo el equipo se infecta con un programa llamado keylogger
información valiosa de las compañías, si no directamente con este graba todo lo que hace el usuario con el teclado y lo envía al
las víctimas. La ingeniería social tiene como objetivo el de correo de la persona que lo programo.
obtener la información de terceros, sin que las víctimas se den
cuenta, de una forma no convencional para poder obtener la • Familiarity Exploit: Basado en la familiaridad y la confianza
información deseada de una manera más eficaz y algo que las personas tenemos al reaccionar a peticiones de individuos
complicado, pero más seguro. Ya que estos ataques suelen que nos son relativamente conocidos.
realizarlos algunos grupos de hackers de sombrero negro,
espías, ciberdelincuentes, entre otros, en el que tienen varias • Trashing: Revisar los desperdicios y la basura nos puede
personas con diferentes conocimientos y cualidades en el área proporcionar información de los usuarios.
de la seguridad informática.
La mayoría de las empresas que han sufrido estos tipos de • Robo de información de cuentas bancarias: Se obtiene la
ataques (ingeniería social) en los últimos años, son aquellas en información como la clave del usuario y con diversos métodos se
las que pertenecen a las entidades bancarias, el cual tienen obtiene la tarjeta de crédito de la víctima o se clona esta misma
muchos seguidores por la parte del manejo de recursos después se vacía la cuenta.
económicos que se dan en estas mismas entidades. Además, los
ciberdelincuentes utilizan el método de phishing para el robo de A base del articulo también podemos proveer que el siguiente
información confidencial, el cual este método consiste en enviar blanco para los hacker son los dispositivos móviles,
correo electrónicos falsos a las diferentes cuentas de las posibles primeramente porque nadie espera un ataque en su Smartphone o
víctimas, en el que se les solicita a los usuarios en registrarse en en su Tablet pero sobre todo que no existen herramientas tan
esa página por un cambio en la base de datos de la entidad o que desarrolladas para la seguridad de dispositivos móviles que para
su clave debe ser cambiada, ya que lleva mucho tiempo el de no computadoras personales, viendo esa deficiencia es importante
cambiarla, entre otras, para poder obtener los datos que ellos aplicar buenas prácticas de seguridad en estos dispositivos y no
quieren. dejar todo el cargo de la responsabilidad a los programas
Con base en los objetivos planteados al principio del presente automáticos. También se observa que mientras más avanzan las
artículo se observa la importancia que tiene la Ingeniería Social tecnologías de comunicación, la gente descuida más su
y el impacto de esta, es de suma importancia tener conocimiento información, esto se debe a que los usuarios dejan toda la
de este tipo de prácticas ya que la información es vital para responsabilidad de seguridad a herramientas dedicadas a este fin,
todos, por este motivo es necesario que las personas tomen una sin embargo, como se comprobó, un pequeño descuido por parte
serie de precauciones para evitar este tipo de ataques, ya que la del usuario es una puerta abierta para el criminal.
desinformación es la principal herramienta que usan los
Ingenieros Sociales para sus prácticas. Lo anterior da un amplio enfoque, permitiendo entender y
La Ingeniería Social cambia constantemente adaptándose a los correlacionar conceptos que no parecieran tener una relación en
medios que existan, pero si se estudia detenidamente el primera instancia, los usuarios deben de poner atención sobre a
principio del ataque es el mismo, esta investigación servirá para quién proporcionan cierta información personal y en revisar que
atacar el fenómeno actual y también predecir el comportamiento se hace con esta misma.
que tendrá en el futuro con el nacimiento de nuevas tecnologías. Por medio de la guía que se especificó en el artículo, existen
La definición de Ingeniería Social se confunde con facilidad con diferentes alternativas que deben tener en cuenta los profesionales
el término utilizado por las ciencias políticas el cual nos habla en TI y los usuarios para tratar de contrarrestar este tipo de
de los esfuerzos y las acciones de los ingenieros por la sociedad, ataques, puesto que De acuerdo a las cifras publicadas por el
sin embargo, el término informático es totalmente distinto CaiVirtual se ha visto un alto incremento en el robo de
indicándonos que es la práctica de obtener información personal información por medio de la técnica de ataque phishing, el cual se
a través de la manipulación. pudo corroborar que casi el 80% de la protección de la
Phishing es el principal delito de estafa a través de la red en la información está en la capacitación de los usuarios, de los
actualidad, esta se realiza al momento de obtener información administradores y gerentes en el área de la informática, ya que
de algún usuario y suplantar su identidad en diversos medios como nos dimos cuenta a lo largo de este articulo son el eslabón
como son entidades bancarias en línea, servicios de pagos a más débil. Además de que en las empresas deben de implementar
través de la red, acceder a diversos tipos de redes sociales, etc. un CCTV propio y que adicionalmente de contar con el CCTV de
Es fácil caer en este tipo de prácticas esto debido a que existe una empresa de vigilancia, ya que debe estar monitorizado todos
una gran desinformación sobre este tipo de delito y la forma de los puntos de una empresa.
operar de las atacantes algunas de estas son:
Es necesario crear de material como lo es el siguiente articulo, https://stadium.unad.edu.co/preview/UNAD.php?
url=/bitstream/10596/27050/1/jpgiraldoma.pdf
que permita a los estudiantes mantenerse al día con las nuevas [2] Guedez, A. (27 de Febrero de 2018). https://www.gb-advisors.com.
tecnologías existentes en materia de seguridad, así como el Obtenido de https://www.gb-advisors.com/es/riesgos-y-amenazas-de-la-
proveer conocimiento para el uso responsable de la información ingenieria-social/
que esté a su cargo durante su vida profesional. [3] Iglesias, P. F. (13 de Junio de 2017). https://www.pabloyglesias.com.
Obtenido de https://www.pabloyglesias.com/mundohacker-ingenieria-
social/
RECONOCIMIENTOS [4] Welivesecurity. (6 de Junio de 2016). https://www.welivesecurity.com.
Lic. Alberto Manuel Paternina Leon Obtenido de https://www.welivesecurity.com/la-es/2016/01/06/5-cosas-
Lic. Oscar Efraín Tuiran Polo sobre-ingenieria-social/
[5] Zabala, J. A. (20 de Agosto de 2017). https://repository.ucatolica.edu.co.
REFERENCIAS Obtenido de https://repository.ucatolica.edu.co/handle/10983/14943
[6] Reddy, V., Radha, V. & Jindal, M. (2011). Client Side protection from
[1] Giraldo, J. P., & Duarte, I. G. (23 de Noviembre de 2018). Phishing attack. International Journal of Advanced Engineering Sciences
https://stadium.unad.edu.co. Obtenido de and Technologies, 3(1), 39-45.