Phishing como empresa: la comercialización del delito cibernético y el peligro para su organización
Publicado: 2022-01-19
El movimiento de software como servicio (SaaS) ha transformado por completo la forma en que trabajamos y cómo interactuamos en nuestra vida individual. Podemos incorporar nuevos vendedores y escalar las soluciones de la empresa a una fracción de las tarifas y escalas de tiempo anteriores a SaaS. También ha sido probable que decenas de millones de personas trabajen de forma remota durante la pandemia de COVID-19 gracias a este cambio en el suministro de soporte. Y fuera del trabajo, interactuamos con aplicaciones SaaS día a día, transmitiendo en Spotify y Netflix, solicitando viajes en Uber y Lyft, y manteniéndose al día con amigos y familiares a través de Zoom.
No impide allí. SaaSification ahora está transformando la forma en que se comportan los ciberdelincuentes, lo que lleva a un cambio en la forma en que aprovisionan y comienzan sus ataques.
Con absolutamente todo el mundo accediendo al correo electrónico (y, por lo general, privado) a través de computadoras portátiles y unidades móviles conectadas a la red de su organización, es necesario darse cuenta de lo que significa para usted la comercialización del delito cibernético.
¿Qué es el phishing como soporte (PhaaS)?
PhaaS permite a los ciberdelincuentes interactuar en interacciones de "proveedor" y "comprador", lo que hace posible adquirir todos los aspectos esenciales para un ataque de phishing.
Los llamados 'kits de phishing' son compilados por ciberdelincuentes informados y organizados, y luego se crean disponibles para pedidos en línea. Estos kits normalmente incluyen todo lo que el comprador necesita para iniciar un ataque de phishing, como plantillas de correo electrónico y páginas web, malware y direcciones de correo electrónico de posibles objetivos. También pueden contener instrucciones de instalación paso a paso para el comprador, haciéndolo lo más rápido posible de seguir para comenzar sus ataques.
¿Por qué PhaaS es un problema?
PhaaS reduce los límites financieros y especializados de entrada para el phishing.
La investigación reciente publicada por Egress encontró ejemplos de kits de phishing disponibles desde tan solo $ 40. También descubrimos soluciones de suscripción, como una persona que comercializó un servicio de membresía de alta calidad que cuesta $ 499 por adelantado y una tarifa mensual de $ 199. Con su membresía, los posibles compradores pueden acceder a un sistema en línea con más de 20 kits de phishing precargados que se dirigen a bancos y marcas de compradores, así como obtener 15 nuevos kits de phishing adicionales cada mes.
Al igual que el uso de aplicaciones SaaS evitará que las empresas genuinas produzcan su propio paquete de software, PhaaS indica que un ciberdelincuente puede iniciar más ataques dentro de un período de tiempo determinado y sin tener personalmente todas las habilidades necesarias. Por ejemplo, puede hacer que sea significativamente más sencillo para una persona con poca o ninguna experiencia en HTML tener en sus manos un correo electrónico y una página web de phishing muy bien elaborados y convincentes. Si bien es posible que su propio trabajo no haya engañado a su gente, posiblemente debido a errores de formato, ortografía y gramática muy deficientes, e ilustraciones o fotos de baja calidad, estas personas menos competentes ahora pueden aprovechar la oportunidad. trabajo hecho por criminales más refinados y comenzar ataques realmente convincentes.
¿Cuál es la oportunidad para su empresa?
Cada ser humano que trabaja en cada empresa está calificado por correos electrónicos de phishing. En estos tiempos, los correos electrónicos de phishing son, lamentablemente, solo un precio más para hacer negocios. Y estos ataques eluden las defensas perimetrales comunes de las puertas de enlace seguras de correo electrónico (SEG) y aterrizan en las bandejas de entrada de las personas. La siguiente sección también es lamentablemente inevitable. La exploración moderna de Egress reveló que el 73% de las empresas han sido víctimas de prósperos ataques de phishing en los últimos 12 meses.
Simplemente no podemos culpar a las personas por volverse humanos. La conciencia de la seguridad cibernética ha mejorado dramáticamente en los últimos años y las personas hoy en día realmente están descubriendo mucho mejor el reconocimiento del correo electrónico de phishing. Pero no son ideales y no podemos depender de las personas para detectar cada correo electrónico de phishing individual cada vez, y eso es lo que requiere, principalmente porque una persona se equivoca al hacer clic en una URL destructiva o abrir un archivo adjunto destructivo. , y eso es todo lo que exige un hacker para comprometer su negocio.
El efecto de PhaaS es una cantidad amplificada de ataques de phishing específicos dirigidos a sus hombres y mujeres, lo que a su vez aumenta el riesgo y la probabilidad de que solo un hombre o una mujer en particular caigan como objetivo. Significa que su organización quiere protegerse contra una mayor cantidad de ataques sutiles, que para muchos, tendrá que tener un cambio en su solución a sus defensas anti-phishing y conciencia de protección.
¿Cómo puede proteger a sus hombres y mujeres y su empresa de PhaaS?
Las tecnologías son la mejor manera de reducir la posibilidad de un ataque de phishing exitoso.
“Pero, ¿qué pasa con la instrucción de reconocimiento de estabilidad?” ¡Te escucho llorar! Mantenga las aplicaciones de las personas en ejecución, pero reconozca que tienen un techo. Nos comprometemos con la enseñanza de reconocimiento de seguridad en Egress para administrar nuestras acreditaciones de cumplimiento y ayudar a enseñar a nuestra gente hoy.
Todas y cada una de las aplicaciones escolares, sin embargo, tienen sus límites. Debe tener a sus individuos para estar encendidos y aprendiendo activamente en el instante, y luego ser capaces de recordar claramente lo que se les ha enseñado días, meses o meses después cuando se encuentran en una situación de phishing de estilo de vida real. Y sabemos que los ciberdelincuentes diseñan socialmente sus ataques para sacar a las personas de estilos de pensamiento razonables, cuando pueden recordar y llevar a cabo sus estudios, hacia la construcción de conclusiones psicológicas e irracionales.
Es entonces cuando necesitan tecnologías para moverse y ayudarlos a operar de manera segura.
Hemos mencionado brevemente los SEG anteriormente. Estas son las defensas de seguridad clásicas implementadas en el perímetro de una organización para analizar el correo electrónico entrante y poner en cuarentena las amenazas. Cuando son excelentes para filtrar spam y escanear en busca de virus considerados, hay una alta proporción de ataques de phishing que eluden el SEG y llegan a las bandejas de entrada de las personas. En primer lugar, los SEG solo pueden descubrir amenazas reconocidas y no ataques emergentes. Usan un conocimiento estático que no sabe lo que no sabe y lo deja expuesto a nuevos ataques y prácticas. Y los ciberdelincuentes inteligentes lo saben, por lo que están diseñando sus ataques para evitar la detección de SEG. Los SEG buscan cepas de contenido de ataques conocidos. Los ciberdelincuentes dejan las cepas de contenido en blanco. Los SEG escanean en busca de URL destructivas reconocidas. Los ciberdelincuentes están utilizando sus enlaces entrantes como armas para el envío y la entrega de artículos. La lista de verificación continúa.
Por lo tanto, las empresas deberán recurrir a soluciones inteligentes de seguridad de correo electrónico en la nube integradas que puedan detectar el día laboral cero y los ataques en aumento, y que puedan implementarse inmediatamente en los buzones de correo de las personas para mantenerlos seguros.
¿Qué debería buscar realmente en una solución inteligente anti-phishing?
El primer componente es cómo interactúa con sus personas. Hay momentos de aprendizaje en tiempo real en el día de todos, que incluyen cuando un correo electrónico de phishing llega a la bandeja de entrada de una persona.
Al proporcionar un riesgo neutralizado a un personal y presentar una aclaración clara de por qué es un correo electrónico de phishing, pueden ver las amenazas por sí mismos. Esto activará su entrenamiento de conciencia de estabilidad todos los días, haciéndolo mucho más efectivo para la frase más larga. Poner en cuarentena los correos electrónicos en la puerta de enlace y bajo ninguna circunstancia mostrárselos a sus objetivos sugiere que cuando alguien se enfrenta a una amenaza cibernética en la vida diaria seria (por ejemplo, un correo electrónico de phishing enviado a su correo electrónico personal al que está accediendo en un operar una computadora portátil), no sabrán qué buscar y podrían caer como víctimas.
El segundo es el método adoptado para adquirir la aplicación. Para que una opción antiphishing sea definitivamente productiva, debe construirse utilizando una solución de confianza cero, de modo que examine cada correo electrónico entrante para confirmar si es un riesgo. La respuesta debe usar tecnologías de detección de dispositivos y de procesamiento de lenguaje normal para permitirle comprender el contexto y el contenido al llegar a su decisión final. La respuesta tampoco debería usar la innovación tecnológica de gráficos sociales o actualizar sus algoritmos basándose principalmente en los comentarios de las personas, lo que indica que los gurús que no son cibernéticos simplemente no pueden envenenar sus capacidades de detección.
Esta estrategia permite que la opción antiphishing detecte los ataques más sutiles y crecientes, incluidos todos aquellos que se lanzan y utilizan cuentas de cadena de suministro comprometidas en las que se ha confiado anteriormente.
Los hombres y las mujeres son solo humanos: crearán problemas y se deslizarán por ataques de phishing, pero con las defensas de seguridad de correo electrónico correctas, no solo puede proteger a su grupo, sino también transformar completamente a su gente hoy en su primera línea de protección.
Tony Pepper, cofundador de Egress Computer software Technologies