Un reciente informe de ESET revela que los ataques de phishing afectan al 73% de las empresas latinas mediante manipulación social.
Según los alarmantes datos revelados en el último informe de seguridad elaborado por la firma ESET, una enorme proporción de las organizaciones en América Latina continúan siendo víctimas de ciberdelincuentes, comprobando que el 73% de las compañías afirman haber sido el objetivo directo de constantes ataques de phishing durante el presente año.
Esta preocupante estadística demuestra que la ingeniería social sigue siendo el vector de vulneración más explotado en la región, superando ampliamente al malware tradicional o los accesos no autorizados, ya que su efectividad no radica en romper complejos sistemas criptográficos, sino en manipular psicológicamente a las personas explotando la confianza, la prisa y el conocimiento limitado de las víctimas.
Al analizar detalladamente las industrias más afectadas, el reporte señala que el sector manufacturero y el ámbito de la educación lideran las cifras al registrar un preocupante 81,4% de intentos de fraude, lo cual se explica por la combinación de infraestructuras antiguas y ciclos de actualización lentos. Muy de cerca le sigue el rubro de la banca y finanzas con un 79,6%, mientras que las instituciones de gobierno y salud mantienen cifras igualmente altas.
Sobre esta crítica situación regional, David Gonzalez, investigador de seguridad informática de ESET Latinoamérica, comenta:
“El phishing no es un ataque sofisticado porque utilice tecnología avanzada. Es sofisticado porque explota el elemento más débil de cualquier sistema de seguridad: el ser humano. Además, los sectores con datos sensibles o acceso a recursos críticos son una prioridad para los delincuentes. Y no es casualidad que precisamente las industrias con menor capacidad defensiva terminen siendo las más atacadas”.
David Gonzalez, Investigador de seguridad informática de ESET Latinoamérica
A nivel global, las tácticas de los delincuentes han evolucionado drásticamente, dejando en el pasado aquellos correos electrónicos evidentes repletos de errores ortográficos, para dar paso a campañas sumamente personalizadas que suplantan dominios oficiales e integran archivos SVG o códigos QR que logran evadir los filtros de seguridad tradicionales. Al respecto, el experto agrega:
“El phishing funciona porque es sencillo de realizar, demasiado efectivo y, en la mayoría de los casos, la víctima no sabe que ha sido objetivo hasta mucho más tarde. El phishing de hoy no es el correo obvio con errores tipográficos y enlaces extraños. Es demasiado sofisticado para ser fácil de detectar. Los delincuentes están utilizando varias técnicas nuevas”.
Para combatir esta silenciosa amenaza, resulta fundamental comprender que la capacitación constante marca la diferencia entre una organización que filtra datos y una que no. Gonzalez aconseja:
“En resumen, si algo parece urgente y llega por correo electrónico, es una señal de alarma, mejor comunícate con el remitente por una vía oficial. La seguridad contra el phishing no es solo responsabilidad de la empresa. Se comparte entre la organización y cada persona que utiliza el correo corporativo. Para las empresas, el primer paso de seguridad según ESET es la visibilidad. Si no se puede detectar un ataque, no hay posibilidad de responder. El firewall, el EDR y los sistemas de respaldo son defensas básicas que deben estar en su lugar y, lo que es más importante, deben ser monitorizadas. Y por supuesto, fortalecer las políticas de autenticación, mantener los sistemas actualizados”.
La formación en seguridad no es una actividad anual aburrida, es lo que diferencia a las empresas que filtran datos de las que no lo hacen. El phishing sigue activo porque realmente funciona y cumple su objetivo. Los criminales no cambian de arma cuando el arma traspasa las defensas corporativas. La seguridad solo cambia cuando las organizaciones entienden que la invisibilidad es el verdadero problema, no la falta de herramientas. Y cuando cada persona entiende que un clic equivocado no es un error personal, es exactamente lo que el criminal planeó.
Si recibes un mensaje inusual que exige una acción inmediata, solicita descargar un archivo extraño o pide ingresar credenciales corporativas, lo primero que debes hacer es mantener la calma y evitar hacer clic en cualquier enlace adjunto, ya que esta simple acción es la que activa la trampa del ciberdelincuente.
En lugar de interactuar con el contenido, debes verificar la legitimidad de la solicitud contactando directamente al supuesto remitente a través de una llamada telefónica o un canal oficial de la empresa, reportando la situación a la brevedad al departamento de soporte informático para que puedan aislar la amenaza y alertar oportunamente al resto de tus compañeros, evitando así que los sistemas de tu equipo queden comprometidos.
