¿Qué Son los Ataques de Phishing?

Hay varias cosas que puede hacer para protegerse a sí mismo. La primera y la más importante es tener cuidado.

• Inspeccione los correos cuidadosamente antes de hacer click. Pose el cursor sobre la dirección de correo o el link en el que quieren que haga click. Esto puede revelar información que indica que es un email de phishing.
• Antes de teclear datos sensibles en un sitio web mire dos veces el URL al tope de la página. ¿Es el sitio web real? ¿Hay letras extra en la dirección? ¿Se han cambiando letras por números, como una O por un 0? Puede llegar a ser difícil darse cuenta de la diferencia.
• Piense antes de hacer click en las publicaciones de sus amigos. Si parece que algo es demasiado bueno para ser verdad, probablemente lo es.
• Piense antes de responder a una publicación que dice que su amigo está en problemas y necesita dinero. ¿Así es como le contactarían?
• Piense antes de hacer click en un pop-up o un pop-under.
• Piense antes de abrir un archivo adjunto en los correos. ¿Estaba esperando un archivo adjunto de esa persona? Si no, pregunte.
• Piense antes de responder a mensajes de texto (SMS). Es poco probable que su compañía telefónica, banco, etc., lo contacte por este medio.
• No dé sus datos personales a menos de que esté seguro de que está hablando con alguien de confianza.
   

Lo segundo que debe hacer es proteger sus cuentas. Las contraseñas deben tener cerca de o más de 20 caracteres. No es necesario tener las cuatro opciones de texto (minúsculas, mayúsculas, números y símbolos) en su contraseña. Dos o tres es suficiente, pero cambie las cosas cuando cree nuevas contraseñas. Mucha gente tiene problemas para recordar todas sus contraseñas. Cree una contraseña larga que pueda recordar. Bloquee el resto con un administrador de contraseñas como LastPass o Password Safe.

Entonces, lo más importante, habilite la autenticación de dos factores (2FA) en todas sus cuentas. Si la única opción que ofrece un sitio es usar su teléfono para recibir un mensaje de texto con una contraseña temporal, sería mejor que solamente usar una contraseña para el acceso.

El National Institute of Standards and Technology (NIST) ha retirado su soporte por las contraseñas de un solo uso por SMS. Una mejor solución sería crear una contraseña temporal por medio de una herramienta como Google Authenticator, Microsoft Authenticator, o LastPass Authenticator. Busque estas opciones en las configuraciones de sus cuentas.

Use las herramientas de software para ayudarle a vigilar cosas que podría pasar por alto. Use firewalls y herramientas de anti-virus, anti-malware y anti-phishing. Elija sabiamente su navegador. ¿El que usa lo protege de intentos de phishing? ¿Es posible agregar un plug-in? Si la respuesta es no, elija otro navegador.

Además de las recomendaciones para el personal descritas arriba, una organización debería hacer lo siguiente:

• Use un gateway de correo para bloquear emails de spam y eliminar correos que contengan links o archivos adjuntos sospechosos.
• Instale un filtro de spam y de phishing para eliminar emails de remitentes desconocidos y correos que contengan contenido sospechoso.
• Use una herramienta DMARC (domain-based message authentication, reporting, and conformance) de autenticación de correos para detener a los criminales que falsifican una dirección en un correo.
• Use métodos de filtración con inteligencia artificial (AI) para identificar y detener correos de business email compromise (BEC). Los criminales envían emails de BEC haciéndose pasar por miembros del equipo administrativo de una organización, típicamente pidiéndole a los empleados que transfieran fondos hacia la cuenta bancaria de un hacker.
• Use una solución de seguridad con servicios integrados para proteger contra ataques de phishing que puedan venir desde dentro de su organización.
• Incluya a sus empleados en regulaciones y capacitaciones constantes para que tomen consciencia de los peligros de los ataques de phishing.