Los ataques de suplantación de identidad móvil aumentan considerablemente


Las organizaciones deben incluir teléfonos inteligentes y tabletas en sus estrategias de mitigación de phishing, sugiere un nuevo informe.

Es posible que las estrategias empresariales para combatir las amenazas de phishing pronto necesiten incluir planes formales para lidiar con campañas de ingeniería social centradas en dispositivos móviles.

El proveedor de seguridad móvil Lookout analizó los datos recopilados el último trimestre de teléfonos inteligentes y tabletas que ejecutan su computer software y descubrió un aumento del 66,3% en la tasa a la que los usuarios corporativos en América del Norte encontraron phishing móvil en comparación con el cuarto trimestre de 2019. A nivel mundial, el aumento fue de alrededor del 37% .

Lookout atribuyó el aumento en el primer trimestre de 2020 en gran medida a la gran cantidad de campañas de phishing centradas en la pandemia de COVID-19. Pero incluso sin ese impulso inmediato, las campañas centradas en dispositivos móviles han estado avanzando constantemente en los últimos trimestres, según muestran los datos de Lookout. El vendedor descubrió que las organizaciones en industrias reguladas como la atención médica, los servicios financieros, los servicios profesionales y la manufactura en unique tienden a ser atacadas con mayor intensidad que las organizaciones de otros sectores.

El phishing móvil es un problema que las organizaciones ya no pueden darse el lujo de ignorar, dijo Lookout en un reporte esta semana resumiendo los resultados de su análisis. «Teniendo en cuenta el crecimiento constante en las campañas de phishing centradas en dispositivos móviles, las tasas de encuentro y las tasas de tap donde el objetivo realmente sigue el enlace, las organizaciones deben comprender el panorama y poner en práctica las medidas adecuadas» para mitigar el riesgo, dijo Lookout. La necesidad de controles es especialmente urgente debido al reciente aumento en el uso de dispositivos móviles por parte de empleados obligados a trabajar desde casa como resultado de la pandemia de COVID-19, según Lookout.

Las violaciones de datos resultantes del phishing móvil pueden costar fácilmente a las organizaciones millones de dólares en daños financieros. La cantidad actual depende de la cantidad de dispositivos móviles, el tipo de sistemas operativos móviles en uso, la cantidad potencial de registros de datos accedidos y si los dispositivos fueron administrados o no, dijo Lookout. Utilizando una herramienta de evaluación de riesgos y un modelo cuantitativo de evaluación de riesgos llamado método Monte Carlo, Lookout determinó que el costo de una violación de datos para una empresa con 10,000 dispositivos móviles es de $ 35 millones.

Hank Schless, gerente senior de soluciones de seguridad en Lookout, dice que los malos actores están empleando una variedad de formas de entregar señuelos de phishing a los teléfonos inteligentes y tabletas empresariales. A diferencia de las amenazas de phishing dirigidas a dispositivos portátiles y de escritorio, aproximadamente el 85% de las campañas de phishing móvil se entregan fuera del correo electrónico, dice. Las tácticas comunes incluyen el uso de mensajes SMS, aplicaciones de juegos y plataformas de mensajería como Facebook Messenger.

Aprovechar la ingeniería social para aparecer como un miembro del equipo ejecutivo o interno es una práctica de phishing común, dice. «Además, hemos observado que los dispositivos con G Suite y Microsoft Office 365 tienen el doble de índice de encuentros con intentos de phishing móvil que aquellos sin estos dos paquetes de productividad».

Incluso si los atacantes no están seguros de cuál de estas dos suites podría estar usando una organización, saben que existe una alta probabilidad de que use algún tipo de plataforma de colaboración. Un atacante puede suplantar las credenciales corporativas de un objetivo simplemente adjuntando un enlace o documento a un correo electrónico que se parece a un documento protegido de Google o Microsoft Term proveniente de un miembro interno del equipo, dice Schless.

Alta tasa de éxito
Según Lookout, la tasa a la que los usuarios móviles hacen clic en los enlaces en los mensajes de phishing móvil es más alta que las tasas en las computadoras portátiles y de escritorio. Una razón importante es que las estafas de phishing centradas en dispositivos móviles son más difíciles de detectar. Los signos reveladores de un correo electrónico de phishing que muchos usuarios pueden reconocer en la pantalla de una computadora portátil son más difíciles de detectar en teléfonos inteligentes y tabletas debido a los factores de forma más pequeños.

La velocidad a la que la mayoría de los usuarios operan con sus dispositivos móviles y el hecho de que la mayoría de los usuarios no saben cómo obtener una vista previa de un enlace en un dispositivo móvil antes de hacer clic en él son otras preocupaciones importantes. Muchos señuelos de phishing en el entorno móvil, como los que pueden falsificar una página de inicio de sesión de cuenta bancaria o un portal de inicio de sesión de empleados, también tienen un aspecto muy auténtico y son capaces de engañar a un usuario de dispositivo móvil con menos alerta.

La aceptación cada vez mayor de dispositivos personales para fines relacionados con el trabajo es otro problema. En los próximos dos años, unos tres de cada cuatro dispositivos móviles utilizados en empresas serán de propiedad own, dijo Lookout, citando a la firma de analistas Gartner. El cambio expondrá a las organizaciones a mayores riesgos por el manejo descuidado de datos y por configuraciones de acceso a aplicaciones excesivamente permisivas.

«Descubrir señuelos de phishing es difícil», dice Schless. «En la era de las redes sociales y las plataformas de mensajería, no es difícil para un actor malicioso crear un perfil falso y compartir enlaces».

Al igual que con los correos electrónicos de phishing, cualquier comunicación móvil de una fuente desconocida con una solicitud para seguir un enlace o abrir un documento debe tratarse con sospecha. «Si el mensaje parece provenir de alguien que reconoce pero parece una pregunta extraña o lo lleva a un sitio extraño, póngase en contacto directamente con esa persona y valide la comunicación», dice. «En un momento de trabajo remoto, es aún más importante validar cualquier tipo de comunicación extraña».

Contenido relacionado:

Aprenda de los expertos de la industria en un entorno propicio para la interacción y la conversación sobre cómo prepararse para eso «realmente mal día «en ciberseguridad. Haga clic para más información y para registrarse.

Jai Vijayan es un experimentado reportero de tecnología con más de 20 años de experiencia en periodismo comercial de TI. Recientemente fue editor sénior en Computerworld, donde cubrió temas de seguridad de la información y privacidad de datos para la publicación. En el transcurso de sus 20 años … Ver biografía completa

Lectura recomendada:

Más thoughts





Enlace a la noticia authentic