Qué es el ‘spear phishing’, una variante de estafa más personalizada

Los ciberdelincuentes perfeccionan cada vez más sus técnicas para hacerlas más creíbles, como demuestra el llamado spear phishing o phishing dirigido. 

¿Qué es el spear phishing? Se trata de una variante personalizada del phishing tradicional en la cual los atacantes “investigan al objetivo en busca de información que puedan utilizar para hacerse pasar por alguien cercano a él, es decir, una persona u organización en la que el objetivo confía, o alguien a quien debe rendir cuentas”, según explica la multinacional tecnológica IBM en su página web. 

El Instituto Nacional de Ciberseguridad (Incibe) explica que, mediante búsquedas a través de Internet, filtraciones de datos o redes sociales, los ciberdelincuentes recopilan información de la persona a estafar, con la que crean un mensaje personalizado para enviarle. 

• Para llevar a cabo esta estafa, usan técnicas de ingeniería social para hacer que los correos electrónicos parezcan reales y así aumente su efectividad. 

Diferencia con el phishing al uso. El Incibe aclara en un vídeo que en lugar de distribuir una comunicación de manera masiva como en el phishing al uso, con el spear phishing los ciberdelincuentes seleccionan su grupo receptor de forma más precisa y se dirigen a personas o empresas concretas. 

El phishing clásico es una técnica que consiste en el envío masivo de comunicaciones por parte de los ciberdelincuentes que simulan ser una institución o entidad con el objetivo de robar información privada, realizar un cargo económico o infectar un dispositivo.

• El Incibe destaca que en el spear phishing, los “correos suelen pedir datos urgentes o incluyen enlaces a sitios fraudulentos que imitan los reales”. 

[‘Phishing’: qué es y cuáles son las modalidades más comunes]

Las personas potencialmente víctimas del spear phishing suelen ser empleados con acceso a información confidencial, como directivos o personal de recursos humanos, sectores financieros o de salud. Aunque el Incibe añade que cualquier usuario podría ser víctima. 

• Con este tipo de ataques, además de robar datos personales, se pueden llegar a materializar estafas económicas, espionaje o robo de información sensible. 

Consejos para evitar esta estafa. Algunas de las recomendaciones que ofrece el Incibe son evitar clicar en enlaces de correos electrónicos o mensajes sospechosos, mantener el software actualizado, usar contraseñas robustas y únicas para cada sitio y limitar la información que se comparte en línea.