El phishing es uno de los ataques de ingeniería social más utilizados por los ciberdelincuentes. Este tipo de ataque consiste en engañar a una persona para que entregue información confidencial como credenciales de acceso, contraseñas o datos personales, mediante páginas falsas que imitan servicios legítimos.
Una de las técnicas más comunes consiste en crear plantillas idénticas a las páginas originales de redes sociales o plataformas populares. De esta manera, cuando la víctima introduce su usuario y contraseña, los datos son enviados directamente al atacante sin que la persona lo note.
Existen herramientas que permiten realizar simulaciones de este tipo de ataques. Un ejemplo conocido es Zphisher, una herramienta que incluye diferentes plantillas de páginas de inicio de sesión de servicios populares como Facebook o PayPal.
Estas herramientas suelen utilizarse en laboratorios de seguridad, investigación o pruebas de concientización, aunque también pueden ser utilizadas por actores maliciosos.
Otra técnica utilizada por los atacantes es el registro de dominios con homoglifos. Estos dominios son direcciones web que se parecen mucho a las originales pero contienen pequeñas variaciones difíciles de notar.
Algunos ejemplos pueden ser:
A simple vista pueden parecer sitios legítimos, lo que aumenta las probabilidades de que la víctima ingrese sus credenciales sin darse cuenta del engaño.
Los ataques de phishing pueden distribuirse por distintos medios:
En muchos casos los mensajes incluyen alertas falsas como "Se detectó un inicio de sesión sospechoso en tu cuenta" o "Debes verificar tu información inmediatamente". Esto provoca que la víctima actúe rápidamente sin verificar si el enlace es legítimo.
Debido a su simplicidad y efectividad, el phishing continúa siendo una de las técnicas más utilizadas para el robo de credenciales. Por esta razón, la educación en ciberseguridad y la concientización de los usuarios son fundamentales para prevenir este tipo de ataques.
En mi canal comparto contenido educativo sobre ciberseguridad, malware, pentesting, OSINT y herramientas utilizadas en el mundo del hacking ético.
Visitar canal