Kaspersky ha emitido una alerta crítica a las empresas sobre una nueva y avanzada campaña de phishing. Ciberdelincuentes están suplantando a los departamentos de Recursos Humanos con correos electrónicos y documentos personalizados para robar credenciales corporativas, lo que representa una grave amenaza para la seguridad de las organizaciones.
Tácticas de los atacantes: personalización y evasión
Esta campaña destaca por su alto nivel de personalización, que va más allá del cuerpo del correo electrónico para incluir archivos adjuntos modificados individualmente para cada destinatario. Los atacantes parecen haber investigado los nombres de los empleados para hacer sus mensajes más convincentes.
Los correos fraudulentos incluyen:
Una insignia falsa de «remitente verificado» para generar confianza.
El nombre del destinatario.
Una invitación a abrir un archivo adjunto para revisar supuestos protocolos de trabajo remoto, administración de beneficios o estándares de seguridad.
Una táctica clave para evadir los filtros de seguridad es que todo el cuerpo del correo electrónico es una imagen, no texto real.
El archivo adjunto, disfrazado de una versión actualizada del «Manual del Empleado», no contiene información real. En su lugar, presenta una portada, una tabla de contenido con elementos supuestamente resaltados en rojo, y una página con un código QR que, al ser escaneado, redirige a una página fraudulenta para robar las credenciales corporativas del usuario. El documento también menciona varias veces el nombre de la víctima para reforzar la sensación de legitimidad.
¿Por qué es tan peligrosa esta campaña?
Daniela Álvarez de Lugo, gerente general para la región norte de América Latina en Kaspersky, explica: «Esta campaña nos muestra cómo los cibercriminales están llevando el phishing a una nueva etapa, donde cada mensaje parece hecho a medida para el destinatario. Este nivel de personalización, sumado a técnicas diseñadas para evadir filtros de seguridad, representa un desafío serio para las empresas.»
La preocupación es aún mayor si se considera que, según un estudio reciente de Kaspersky, el 20% de los latinoamericanos no son capaces de reconocer un correo electrónico falso.
Proteja a su empresa: recomendaciones clave de Kaspersky
Para mitigar este riesgo, Kaspersky insta a las empresas a implementar una combinación de tecnología avanzada y capacitación continua:
Fomente la verificación consciente: Enseña a tus empleados a identificar señales de phishing, como texto incrustado en imágenes, títulos inconsistentes o códigos QR sospechosos. Anímalos a contactar directamente a Recursos Humanos si una solicitud les parece dudosa.
Proteja su correo corporativo: Implementa soluciones de seguridad en el servidor de correo que ofrezcan análisis en tiempo real y verificación de la reputación del remitente para detectar y bloquear intentos de phishing.
Garantice protección integral en todos los dispositivos: Asegúrese de que todos los equipos conectados a la red cuenten con un software de protección robusto, actualizado y con capacidades antiphishing y antimalware.
Fortalezca la conciencia en ciberseguridad: El factor humano es crucial. Impulsa una cultura de prevención con entrenamientos continuos y simulaciones de vulnerabilidades para desarrollar las habilidades de ciberseguridad de tus empleados. Herramientas como Kaspersky Automated Security Awareness Platform pueden ser de gran ayuda.
Fuente: Kaspersky
