El 90% de las empresas sufrió un ataque de phishing exitoso el año pasado según Proofpoint

Proofpoint, la empresa de ciberseguridad y cumplimiento normativo, ha dado a conocer las claves de su noveno informe anual State of the Phish, a través del cual revela el aumento de los cibertataques hacia las organizaciones españolas. En este sentido, y a los ya consolidados eficientes ataques de phishing, se suman otros de nueva creación que ponen en jaque la estructura de seguridad de las compañías y que incrementan las pérdidas financieras, con respecto al año anterior, en un 9%.

De hecho, el informe concluye que el 90% de las organizaciones consultadas en España sufrió, al menos, un ataque de phishing por correo electrónico durante 2022, y de éstas, una cuarta parte (el 24%) asegura que tuvo importantes pérdidas económicas a raíz de ello.

El vicepresidente ejecutivo de estrategia de ciberseguridad de Proofpoint, Ryan Kalember, asegura que además del éxito del phishing convencional se están empleando otras nuevas tácticas como el phishing AitM o de adversario que evitan la autenticación multifactorial. Además, señala, el phishing se ha ido sofisticando y extendiéndose en el tiempo, acometiendo sus ataques a largo plazo.

Los ataques preferidos por los hackers continúan siendo el ransomware, las amenazas internas y los BEC (Busines Email Compromise). Esta última táctica ha evolucionado hasta tal punto que se detectaron 18 millones de correos electrónicos notificados por los usuarios y 135 millones de simulaciones a lo largo del año.

De igual modo, el estudio saca a la luz la necesidad de que las empresas se conciencien sobre la importancia de la ciberhigiene, algo detectado tras analizar las respuestas ofrecidas a los ciberataques por parte de 7.500 profesionales y 1.500 expertos en ciberseguridad de hasta 15 países, entre ellos, España.

Business Email Compromise

Los ataques de este tipo han representado el 90% de los sufridos por las empresas españolas encuestadas, un 13% más que en 2021. Todo ello es debido a que la técnica se está perfeccionando, y en lugar de escribirse en ingles, los emails se están empezando a enviar en otros idiomas como el español.

Proofpoint también ha detectado que estos ataques de phishing por email se han producido especialmente a través de Microsoft, con la cual se han enviado más de 30 millones de mensajes en nombre de la empresa o refiriéndose a Office o a OneDrive. En algunos casos, se mostraba al usuario una página de inicio de sesión de Microsoft365, Google, Amazon, DHL, Adobe o DocuSign que utilizaban como gancho.

Dicho esto, se concluye que casi la mitad de los empleados españoles (47%) cree que un email es seguro si hace referencia a una marca conocida y el 71% considera que la dirección de correo siempre se corresponde con el sitio web de la marca. Por ello es tan importante realizar a los usuarios simulaciones de phishing, en muchos casos, relacionados con la suplantación de la marca, lo cual conduce a una elevada tasa de error.

Los mensajes de phishing se han ido perfeccionado, siendo los más reiterados los phishing TOAD (telephone-oriented attack delivery) y de elusión de autenticación multifactor (AMF). Diariamente se registraron 600 ataques TOAD, es decir, correos electrónicos que animaban a mantener conversaciones con los atacantes por teléfono a través de falsos centros de atención telefónica. El otro método es incluir herramientas de AiTM en sus kits de phishing para eludir la seguridad.

Amenazas internas

La incorporación del teletrabajo como tónica habitual hace más compleja la protección de datos para las organizaciones españolas. El informe demuestra que un 65% tuvo pérdidas debido a errores de acción interna, y es que el 18% de los profesionales consultados cambió de trabajo en el último año, de los cuales el 35% admitió haberse llevado información confidencial consigo.

El éxito de la ciberextorsión

Proofpoint concluye que el 89% de las empresas españolas sufrió un intento de ataque de ransomware en 2022, del cual el 72% triunfó. No obstante, solo la mitad de las empresas damnificadas lograron recuperar sus datos después de realizar un pago inicial.

La gran mayoría de las empresas infectadas por ransomware pagaron a los atacantes, pues el 95% de éstas contaban con una póliza de ciberseguro. Gran parte de las aseguradoras estuvieron dispuestas a pagar el rescate, ya fuese de manera parcial o total (el 84%). Y es que el 64% de las consultadas pagó, al menos, un rescate.

La mejor respuesta

El informe de Proofpoint demuestra la perfección de los ciberdelincuentes en sus ataques, de tal modo que resulta necesario concienciar a los empleados sobre cuestiones como seguridad y algunas amenazas básicas como malware, phishing o ransomware. Y es que apenas el 46% de las empresas consultadas incluye formación a sus empleados y solo el 48% realiza simulaciones de phishing.

En este sentido, el country manager de Proofpoint, Fernando Anaya, asegura que la concienciación es fundamental, ya que el correo electrónico sigue siendo el método de ataque preferido por los ciberdelincuentes. Además ve esencial crear urgentemente una cultura de seguridad en toda la organización.

 

La entrada El 90% de las empresas sufrió un ataque de phishing exitoso el año pasado según Proofpoint es original de MuySeguridad. Seguridad informática.