Phishing

Erro al crear miniatura:

Est és un eixemple d'un intent de phishing. Fent-se passar per un correu electrònic oficial, tracta d'enganyar als clients del banc per a que donen informació sobre la seua conta en un enllaç a la pàgina del phisher.

Phishing o ciberpesca és un terme informàtic que distinguix a un conjunt de tècniques que l'engany a una víctima guanyant-se la seua confiança fent-se passar per una persona, empresa o servici de confiança (suplantació d'identitat de tercer de confiança), per a manipular-la i fer que realise accions que no deuria realisar (per eixemple, revelar informació confidencial o fer clic en un enllaç).

Per a realisar l'engany, habitualment es fa us de l'ingenieria social explotant els instints socials de la gent, com és d'ajudar o ser eficient. També per mig de l'adulació a la víctima, explotant la seua intrínseca vanitat o necessitat de ser reconegut, baixa autoestima, o una persona que busca treball. Per eixemple, enviant correus electrònics o mostrant publicitats a la víctima dient-li que ha guanyat un premi i que seguixca un enllaç per a rebre-ho, sent aquelles promeses falses (un esc). A voltes també es fa us de procediments informàtics que aprofiten vulnerabilitats. Habitualment, l'objectiu és furtar informació, pero atres voltes és instalar malware, sabotejar sistemes, o furtar diners a través de fraus. El phishing està considerada una de les tècniques de robos de contrasenyes més utilisada.

A qui realisa el phishing se li crida phisher.

Donat el creixent número de denúncies d'incidents relacionats en el phishing, es requerixen métodos adicionals de protecció. S'han realisat intents en lleis que castiguen la pràctica i campanyes per a previndre als usuaris en l'aplicació de mides tècniques als programes.

Orige del terme

El terme phishing prové de la paraula anglesa "fishing" (peixca), fent alusió a utilisar un esc i esperar a que les víctimes "mosseguen l'ham". Els escs utilisats poden ser molt variats.

També es diu que el terme phishing és la contracció de password harvesting fishing (collita i peixca de contrasenyas), encara que açò provablement és un acrònim retroactiu, ya que l'escritura ph és comunament utilisada per hackers per a substituir la f, com a raïl de l'antiga forma de hacking telefònic coneguda com phreaking.

La primera menció del terme phishing data de giner de 1996, en el grup de notícies de hackers alt.2600 i va ser usat per a denominar a els qui intentaven "peixcar" contes de membres d'AOL. És possible que el terme ya haguera aparegut anteriorment en l'edició impresa del bolletí de notícies hacker 2600 Magazine.

En el phishing en AOL l'atacant es feya passar com un empleat d'AOL i enviava un mensage instantàneu a una víctima potencial. Per a poder enganyar a la víctima de modo que donara informació confidencial, el mensage podia contindre texts com "verificant conte" o "confirmant informació de factura". Una volta l'usuari enviava la seua contrasenya, l'atacant podia tindre accés al conte de la víctima i utilisar-la per a varis propòsits criminals, incloent el spam.

Tècniques de phishing

Els atacs de phishing es poden classificar segons l'objectiu contra el que es dirigix l'atac, el fi, el mig que s'utilisa o segons el modo d'operació. Un cas concret pot pertànyer a varis tipos al mateix temps. Actualment s'han contant més de 10 000 formes de phishing. Els tipos d'atacs de phising més freqüents són:

• Phishing general, phishing tradicional, Bulk Phishing o Spray and pray. Consistix en l'emissió massiva de correus electrònics a usuaris. Estos correus suplanten a entitats de confiança (eixemple bancs) i perseguixen l'engany de l'usuari i la consecució d'informació. Per eixemple en el mensage s'inclouen enllaços a dominis maliciosos. Per a camuflar estos enllaços és habitual que el text de l'enllaç siga l'URL correcta, pero l'enllaç en sí apunt al lloc maliciós.

• Vishing. És similar al phishing tradicional pero l'engany es produïx a través d'una cridada telefònica. El terme deriva de l'unió de dos paraules en anglés: ‘'voice'’ i ‘'phishing’'. Un eixemple típic d'us d'esta tècnica és quan un ciberdelincuente ha furtat ya informació confidencial a través d'un atac de phising, pero necessita la clau SMS o token digital per a realisar i validar una operació. És en eixe moment el ciberdelincuente crida per teléfon al client identificant-se com a personal del banc i, en mensages particularment alarmistes, intenta que el client revele el número del seu clau SMS o token digital, que són els necessaris per a autorisar la transacció.

• Qrishing: phishing a través de còdics QR el qual consistix en la manipulació de còdics QR i el posterior engany a les víctimes per mig de la suplantanción de la pàgina web o aplicació a la que s'accedix en escanejar el còdic el qual dirigix a l'usuari a un enllaç fraudulent utilisat en la finalitat d'obtindre informació privada de les víctimes.

• Smishing. És similar al phishing tradicional pero l'engany es produïx a través mensages de text ya siguen per SMS o mensageria instantànea (com WhatsApp). Un eixemple típic d'esta tècnica és quan el client rep un mensage de text, a on l'emissor es fa passar pel banc, i li informen que s'ha realisat una compra sospitosa en la seua targeta de crèdit. A la seua volta, el text solicita que es comunique en la banca per teléfon de l'entitat financera i li brinda un número fals. El client torna la cridada i és ahí quan el ciberdelincuente, fent-se passar pel banc, solicita informació confidencial per a supostament cancelar la compra. En una variant d'esta modalitat el mensage també podria incloure un enllaç a una ‘web’ fraudulenta per a solicitar informació sensible.

• URL Phishing. Es tracta d'enganyar a l'usuari fent que una URL d'un lloc maliciós semble la d'un lloc confiable. A elles a voltes s'accedix de forma inadvertida en escriure noms de domini mal escrits que estan molt prop del domini llegítim, o seguint un enllaç maliciós que sembla correcte, o per enganys en usar caràcters unicode semblats difícilment detectables, especialment en dispositius mòvils, en pantalles més chicotetes i generalment una resolució de pantalla inferior. Per eixemple caràcters llatins en un punt baix o la lletra grega ómicron, "ο". Una atra forma de disfrassar enllaços és utilisar direccions que continguen el caràcter arrova: ', per a posteriorment preguntar el nom d'usuari i contrasenya (contrari als estàndarts). Per eixemple, l'enllaç http://www. google. com@members. tripod. com/ pot enganyar a un observador casual i fer-ho creure que l'enllaç va a obrir en la pàgina de www. google. com, quan realment l'enllaç envia al navegador a la pàgina de members. tripod. com (i en intentar entrar en el nom d'usuari de www. google. com, si no existix tal usuari, la pàgina obrirà normalment). Este método ha segut erradicat des de llavors en els navegadors de Mozilla i Internet Explorer.

• Whaling. Es diferencia dels atres tipos d'intents de phishing que l'objectiu són persones importants com per eixemple eixecutius d'alt ranc. Les solicituts d'informació contingudes en l'atac estan més adaptades a la persona concreta. Per eixemple, l'informació presentada pot incloure solicituts de citacions, queixes de clients, solicituts de transferència bancària o atres solicituts relacionades en transaccions financeres concretes. La persona objectiu desprevenida pot vore's atret a revelar informació confidencial del sistema o atres senyes valioses als que solament uns pocs individus tenen accés.
• Business Email Compromise (BEC) o estafes Man-in-the-Email. Consistixen en usar el correu electrònic per a desplegar tàctiques d'ingenieria social i conseguir enganyar a empleats desprevenidos. Els formes concretes més habituals d'este tipo d'atacs són:

• • CEO Fraud. Consistix en fer-se passar per un CEO o un atre eixecutiu d'alt ranc que es comunica en un usuari final de nivell inferior per a persuadir-ho de realisar certes accions. Per a realisar este tipo d'atac poden extraure prèviament informació rellevant per a que la solicitut semble lo més llegítima possible. Per lo tant, l'atacant pot combinar les diverses tècniques de phishing i ingenieria social.

Compromís del conte. El conte de correu electrònic d'un eixecutiu o empleat és piratejada i utilisada per a solicitar pagaments de factures a proveïdors que figuren en els seus contactes de correu electrònic. Els pagaments s'envien a contes bancaris fraudulents. Suplantació d'identitat dels advocats. Els atacants fingixen ser un advocat o algú de la firma d'advocats supostament a càrrec d'assunts crucials i confidencials. Normalment, tals solicituts falses es realisen per correu electrònic o per teléfon, i durant el final del dia hàbil.

El fals esquema de factures (Bogus Invoice Scheme). L'atacant fingix ser un proveïdor que solicita transferències de fondos per a pagaments a un conte que controla l'atacant. És típic de les empreses en proveïdors estrangers. Robo de senyes. El seu objectiu són els empleats de nivell baix de Recursos humans i contabilitat i l'objectiu és obtindre'ls informació d'identificació personal o declaracions d'imposts d'empleats i eixecutius. Dits senyes poden usar-se per a futurs atacs.

• Spear Phishing. L'objectiu a enganyar és una persona o empleat específic d'una companyia en concret. Per a això els cibercriminals recopilen meticulosament informació sobre la víctima per a conseguir la seua confiaza. Un correu maliciós de spear phishing ben elaborat (típicament en enllaç a lloc maliciós o en document adjunt maliciós) és molt complicat de distinguir d'un llegítim, per lo que acaba sent més fàcil caçar a l'assut. El spear phishing és una ferramenta típica usada en atacs a empreses, bancs o persones influents i és el método d'infecció més utilisat en campanyes d'APT. Els objectius d'este tipo d'atac són tant els alts càrrecs en accés a informació potencial, com els departaments el treball dels quals consistix en obrir numerosos documents provinents d'atres fonts.

• Search Engine phishing. En este tipo d'atac els estafadores creen el seu propi lloc maliciós i ho indexen els motors de busca llegítims. És habitual que estos llocs maliciosos oferixquen productes barat, oportunitats d'ocupació o inclús llancen alertes de virus per als que és necessari adquirir el seu antivirus. Els compradors en llínea trobaran estos llocs apareixent en una pàgina típica de resultats de Google, i pot ser molt difícil notar la diferència en un lloc llegítim. El lloc maliciós encoraja als usuaris a entregar la seua informació personal, com el número del document d'identificació o el seu número bancària per a poder realisar la compra. Estes senyes es poden usar per a furtar-li, seqüestrar la seua identitat o destruir la seua reputació.
• Phising en evasió de filtres. Els mecanismes 'Anti-Phishing' i 'Anti-malware' disponen de mecanismes per a detectar atacs. Per eixemple:

• • Coneixen les paraules clau que deuen buscar en correus electrònics per a detectar atacs de phishing. Per a evadir eixos filtres els atacants usen tècniques de per a evadir eixos filtres. Per a evitar-ho es poden usar images que contenen text de phishing incrustat per a evitar filtres anti-phishing basats en l'anàlisis de cadenes de text.
  • Analisen els fichers adjunts per a detectar atacs. Per a evitar-ho es poden afegir fichers adjunts protegits en contrasenya. Esta tècnica al mateix temps que evita l'anàlisis de detecció, crea una falsa sensació de seguritat.

• Nigerian phishing. És la transposició a Internet de la clàssica estafa que utilisa el gancho d'hereues/viudes/secretàries/advocats de millonaris fallits/dictadors en desgràcia/negocis segurs etcétera, que necessiten una chicoteta cantitat de diners per a certa gestió que els recompensarà generosament. Les històries s'han adaptat als nous temps i estan ampliant el seu objectiu a empreses sent freqüent habitual la compra de bases de senyes de direccions electròniques corporatives en el mercat negre. No obstant la base és la mateixa, aprofitar-se de l'avarícia i la credulidad de les seues víctimes. Pot creure's irrellevant este tipo d'atacs, pero el FBI estima que entre octubre de 2013 i maig de 2016 es varen estafar més de 3 mil millons de dólars.

• Pharming o DNS-Based Phishing. L'engany consistix en redirigir a l'usuari a una lloc fals aprofitant per a això vulnerabilitats en el procés de conversió de la seqüència de lletres que componen una URL en una direcció IP. L'atac, pot ser dirigit contra l'ordenador de l'usuari o aprofitar vulnerabilitat del servidor DNS. El terme "pharming" és una paraula composta pels térmens "phishing" i "farming".

• Addline Phishing. Consistix en accedir de forma fraudulenta al dispositiu de la víctima en l'intenció de furtar informació dels contes personals (correus, PayPal, Amazon, Bitcoin, contes bancaris,...), típicament usant servicis Wifi gratuïts maliciosos. Estos contes furtats, són utilisades per a cometre o realisar operacions fraudulentes com si fora la persona ama del conte. D'esta forma es dificulta la detecció del delinqüent ya que són fetes en nom d'una atra persona. Els montos de diners obtinguts pel Addline Phishing solen ser baixos (menors a $50.000) per lo que els bancs dediquen poca atenció i respal a la víctima. Segons un estudi de l'Universitat de Nova York, el 74% de les víctimes del Addline Phishing són turistes conectats a rets WiFi d'hotels

• Malware-based phishing. Es referix a aquells atacs de phishing que impliquen l'eixecució d'un software maliciós en els ordenadors de la víctima. Per eixemple, en un correu electrònic que suplanta l'identitat d'una marca s'inclou com a adjunt, o és accessible a través d'un enllaç, un document PDF que en obrir-se infecta el dispositiu de la víctima
• Content-Injection phishing. En este tipo d'atac els atacants reemplacen part del contingut d'un lloc llegítim en contingut maliciós dissenyat per a obtindre informació confidencial de l'usuari.
• Man-in-the-Middle Phishing. L'atacant es posiciona entre l'ordenador de l'usuari i el servidor, gravant aixina, l'informació que es transmet entre abdós

• Watering Hole Phishing, watering hole attack o atac d'abrevadero. L'atacant infecta en malware llocs web de tercers molt utilisats pels usuaris de l'organisació. D'esta forma quan els usuaris de l'organisació accedixen a eixe sitie web queden infectats. L'atac és altament efectiu ya que en l'infecció d'un sol lloc, es pot conseguir que mils de víctimes descarreguen l'amenaça. L'èxit s'incrementa si s'usa vulnerabilitats 0-Day, no conegudes encara públicament i que no han segut solucionades pel fabricant. El seu nom prové de la forma en que alguns depredadors del món animal esperen la seua oportunitat per a atacar al seu assut prop dels pous d'aigua que servixen d'abrevadero.

• Evil Twin. Es tracta de crear un Punt d'Accés maliciós a una ret Wireless, en apariència de llegítim, per a que els víctimes puguen conectar-se i aixina capturar informació confidencial. Per eixemple redirigint a llocs maliciosos que capturen les nostres credencials.
• Social Network Phishing. Són atacs de phishing en els que estan involucrades les rets socials. Per eixemple:
• Phishing d'injecció de contingut en rets socials consistix en insertar contingut maliciós en les rets socials. Per eixemple, publicació de post falsos publicats per usuaris els contes dels quals es varen vore afectades en aplicacions no autorisades.

Man-in-the-middle social network attack també conegut com a social network session hijacking attack. És una forma de phishing en la que l'atacant es posiciona entre l'usuari i el lloc web d'una ret social llegítima. L'informació que es mana a la ret social passa a través de l'atacant el qual la llig, la processa i inclús pot afegir contingut. La forma en que l'atacant se situa entre l'usuari i la ret social poden ser variades, per eixemple es pot aprofitar d'una vulnerabilitat de la ret social, o atraure a la víctima a un lloc de phishing (per eixemple, una pàgina d'inici de sessió falsa de Facebook) a on la víctima ingressa el seu nom d'usuari i contrasenya que el servidor de phisher utilisa per a ingressar al sitie web llegítim de la ret social i actualisar i llegir en la ret social llegítima.

Basat en malware. En este tipo d'atac es realisa la propagació de mensages de phishing per mig de l'us de malware. Per eixemple, el conte de Facebook d'una víctima que va instalar una aplicació de Facebook no autorisada, envia automàticament mensages a tots els amics de la víctima. Dits mensages a sovint contenen enllaços que permeten als receptors dels mensages instalar l'aplicació maliciosa de Facebook en les seues computadores o dispositius mòvils.

• Deceptive phishing. En un escenari típic, un phisher crea un conte que fingix ser el conte de la víctima. A continuació, el phisher envia solicituts d'amistat als amics de la víctima, aixina com un mensage com «He abandonat el meu conte de Facebook anterior. D'ara en avant, comunique's en mi solament a través d'este conte». A continuació, el phisher comença a enviar mensages als amics de la víctima que exigixen que el destinatari faça clic en un enllaç. Per eixemple una factura fictícia que es pot cancelar fent clic en un enllaç que solicita a l'usuari que proporcione la seua informació personal.

• Tabnabbing. Este tipo de phishing es basa en el fet de que molts acostumen a tindre vàries pestanyes del navegador obertes. L'atac es basa que mentres la víctima revisa els continguts d'atres pestanyes, el lloc maliciós canvia la seua apariència per a semblar que es tracta d'un atre lloc. Si no es dona conte de que este nou lloc no és el que estava utilisant, pot capturar l'informació. Per eixemple el lloc maliciós pot simular que s'ha perdut la conexió a una web de correu electrònic i demanar-li a la víctima les credencials. Quan les introduïx, li redirigix a la pàgina original a on havia iniciat sessió anteriorment i li fa creure que el seu ingrés de senyes va tindre èxit.

• Man in the Browser (MITB). Combina l'us de tècniques de phishing per a instalar un troià en el navegador de l'usuari, per a capturar, modificar i/o insertar informació adicional en les pàgines sense el coneiximent de l'usuari. Una tècnica habitual per a realisar este tipo d'atac és l'instalació d'una extensió maliciosa en el navegador. L'instalació d'esta extensió maliciosa pot ser realisada per un software maliciós o per la pròpia víctima pensant que es tracta d'una extensió fiable. El malware instalat en el navegador analisarà el tràfic i quan es carregue una pàgina d'una llista de llocs objectius realisarà les accions per a les que està programat

• Phishing 2.0. Consistix en utilisar un proxy invers transparent per a montar un atac man-in-the-middle contra usuaris. Este intermediari fa que en temps real, sense que l'usuari siga conscient, cada paquet provinent del navegador de la víctima, siga interceptat, i despuix enviat al sitie web real. Análogamente en temps real cada paquet provinent del sitie web real serà interceptat, abans de ser enviat al navegador. En l'interceptació, el proxy invers analisa el contingut del paquet, almagasenant lo que considere útil (per eixemple, l'identificador d'usuari, contrasenya o cookies de sessió) i podent inclús modificar el contingut del paquet. Per a poder usar estes tècniques en servidors web que usen https, és necessari que el servidor proxy tinga instalat un certificat https vàlit d'una URL falsa que suplante a la URl del sitie web real. Este tipo d'atac, en tindre un control total del tràfic entre el navegador i el servidor, permet atacar sessions en autenticació multifactor. Ferramentes especialisades per a automatisar este tipo d'atacs són Evilginx2 i Modlishka

• Phishing mòvil. Són atacs de phishing especialment orientats als dispositius mòvils. Per eixemple:

Aprofitar mensages de SMS o d'aplicacions de mensageria instantànea, per eixemple WhatsApp, per a manar enllaços falsos. Aprofitar aplicacions mòvils malicioses per a recopilar informació personal. Les senyes poden ser introduïts per l'usuari o obtinguts directament per l'app, per eixemple accedint als fichers del dispositiu o usant l'informació de geolocalisació. Obtindre informació personal com on vivim o on estem en un precís moment, a partir d'aplicacions de venda d'objectes de segona mà com Vibbo o Wallapop

• • Aprofitar informació de valoracions de restaurants i atres llocs d'interés turístic per a averiguar on està la víctima o per a tindre informació sobre ella. Esta informació pot ser usada, per eixemple, per a un primer contacte de tal manera que semblen persones de confiança
• Hishing o “hardware phishing”. Consistix en distribuir malware ocultant-ho en equips que van a ser venuts, ya siguen estos nous o usats. Estos còdics maliciosos poden ocultar-se en teléfons mòvils, equips MP3, etc.

Phishing com a servici

El Phishing com a servici o PHaaS (de l'anglés Phishing-as-a-Service) consistix en oferir, previ pagament, una plataforma que proporciona varis servicis de phishing. D'esta forma s'establix un mercat per a comprar i vendre dits servicis.

És habitual que el sistema oferixca una série de plantilles (de rets socials, banca, comercie minorista, telecomunicacions, servicis públics, jocs, plataformes de cites,...) per a que l'usuari elegixca la que usa i la configure d'acort a l'atac de phishing que vullga utilisar. Ademés, el sistema proporciona un panel que permetrà a l'usuari seguir els detalls de la campanya de phishing i obtindre les credencials furtades en èxit. A partir d'ací ya l'usuari pot explotar estes credencials per al seu propi benefici o vendre-les a compradors interessats en el mercat.

A voltes s'oferixen subscripcions debades que permeten vore tutorials i s'assessora sobre com utilisar el phishing per a guanyar diners fàcils.

Un eixemple d'este tipo de plataformes és Hackshit

Fases

• En la primera fase, la ret d'estafadores es nutrix d'usuaris de chat, fòrums o correus electrònics, a través de mensages d'ofertes d'ocupació en una gran rendabilitat o disposició de diners (hoax o scam). En el cas de que caiguen en la trampa, els presunts intermediaris de l'estafa, deuen reblir determinats camps, tals com: Senyes personals i número bancària.
• Es comet el phishing, ya siga l'enviament global de millons de correus electrònics baix l'apariència d'entitats bancàries, solicitant les claus del conte bancari (phishing) o en atacs específics.
• El tercer pas consistix que els estafadores comencen a retirar sumes importants de diners, les quals són transmeses als contes dels intermediaris (muleros).
• Els intermediaris realisen el traspàs als contes dels estafadores, duent-se estos les cantitats de diners i aquells —els intermediaris— el percentage de la comissió.