El phishing sigue transformándose en 2024, consolidándose como una amenaza significativa para individuos y empresas por igual. Lo que alguna vez fue un simple correo electrónico mal escrito, ahora se ha convertido en una red compleja de engaños sofisticados que pone en riesgo nuestra seguridad todos los días. Y lo preocupante es que en 2024, los ataques de phishing no solo son más frecuentes, sino también más inteligentes y difíciles de detectar.
Pero, ¿cómo están cambiando exactamente estos ataques? ¿Qué nuevas tácticas están utilizando los ciberdelincuentes para atraparnos? En este artículo, te mostraremos las 10 tendencias de phishing que debes conocer para mantenerte un paso adelante. Si quieres evitar ser víctima, sigue leyendo: la información que vas a descubrir podría marcar la diferencia entre proteger tus datos o perderlo todo en un solo clic.
En los primeros meses de 2024, se detectaron cerca de 964.000 ataques de phishing, con un aumento notable en el uso de “vishing” o phishing de voz. Mientras tanto, las plataformas de redes sociales continúan siendo uno de los blancos preferidos, representando más de un tercio de estos ataques.
A medida que revisamos las tendencias más importantes del phishing este año, es crucial estar un paso adelante de estas amenazas. Los atacantes siguen afinando sus técnicas, incluyendo estafas telefónicas cada vez más sofisticadas.
Durante los primeros meses de este año, se registraron casi 964.000 sitios web de phishing únicos. Aunque esta cifra bajó a 877.000 en el segundo trimestre, el problema sigue siendo persistente. De hecho, los ataques de phishing a nivel global aumentaron en 50.000, alcanzando cerca de 1,9 millones entre mayo de 2023 y abril de 2024.
Esta aparente disminución en la cantidad de sitios web reportados podría ser una señal de que los atacantes están optando por tácticas más sofisticadas y personalizadas. Muchos de estos sitios no solo engañan a los usuarios, sino que también despliegan malware para robar datos que luego se venden o intercambian en la Dark Web. Esto crea un desafío adicional para los equipos de ciberseguridad, que necesitan herramientas más avanzadas para detectar estas amenazas. Con el SOC de TecnetOne, tienes la capacidad de monitorear la Dark Web en tiempo real, detectar posibles filtraciones de datos antes de que se conviertan en un problema y actuar rápidamente para proteger tu información sensible.
Además, muchos de estos sitios están diseñados para parecerse a marcas y servicios confiables, lo que dificulta su identificación. Esto ha llevado a un aumento del 10% en los ataques de fraude basados en URL durante el segundo trimestre de 2024, subrayando el riesgo continuo que representan los sitios de phishing, incluso cuando las cifras globales de ataques parecen estar disminuyendo.
Conoce más sobre: 8 Indicios de Correos Electrónicos Falsos: ¿Cómo Identificarlos?
Los atacantes de phishing no dejan de ajustar sus estrategias, enfocándose en sectores y países específicos. Durante la primera mitad de 2024, las plataformas de redes sociales se mantuvieron como el principal objetivo, representando el 37.6% de los ciberataques en el primer trimestre y un 32.9% en el segundo. A medida que estos números evolucionan, las redes sociales siguen siendo un blanco prioritario para los delincuentes.
Otro sector que ha visto un aumento en estos ataques es el de los servicios de software en la nube (SaaS) y el correo web, que pasaron de ser el 21% de los ataques en el primer trimestre a un 25.6% en el segundo. Las instituciones financieras y los servicios de pago también continúan siendo objetivos clave, sumando más del 17% de los ataques en la primera mitad del año.
En cuanto a los países más afectados, Estados Unidos sigue liderando como el principal blanco de los ataques de phishing, superando con creces a otras regiones. Otras áreas que también reciben mucha atención por parte de los atacantes son el Reino Unido, Brasil, Turquía y Rusia, que se mantienen en el radar de los cibercriminales como puntos críticos para estas campañas maliciosas.
Los ataques de compromiso de correo electrónico empresarial (BEC) siguen siendo una de las tácticas más peligrosas en el mundo del phishing. Estos ataques explotan la confianza dentro de las organizaciones, ya sea haciéndose pasar por ejecutivos de alto nivel o por proveedores de confianza, con el objetivo de robar información confidencial o solicitar transferencias de dinero urgentes.
Los ataques BEC suelen comenzar con el robo de credenciales a través de campañas de phishing, que luego se venden en la Dark Web. Esto permite a los delincuentes suplantar a altos directivos de manera más creíble, haciendo que sus solicitudes fraudulentas parezcan legítimas.
En los primeros meses de 2024, el monto promedio solicitado en ataques BEC relacionados con transferencias bancarias fue de $84,059, cifra que aumentó a $89,520 en el segundo trimestre. Aunque el número total de ataques ha disminuido ligeramente, el impacto financiero sigue creciendo. De hecho, estos ataques causaron pérdidas de $2.9 mil millones en los EE. UU. solo en 2023.
Además de las transferencias bancarias, siguen siendo comunes las estafas con tarjetas de regalo, los fraudes con pagos anticipados y el desvío de nóminas, lo que muestra lo diversificados que pueden ser los métodos de los atacantes en estos esquemas.
Durante el segundo trimestre de 2024, la mayoría de los ataques de compromiso de correo electrónico empresarial (BEC) se llevaron a cabo utilizando dominios de correo electrónico gratuitos. De hecho, el 72% de estos ataques fueron lanzados desde cuentas creadas en servicios de correo gratuitos, mientras que el 28% restante usó una mezcla de dominios registrados de manera maliciosa y cuentas de correo electrónico previamente comprometidas.
Entre los proveedores de correo web, Gmail de Google fue el más utilizado, representando el 72.4% de los ataques BEC. Microsoft, por su parte, ocupó el segundo lugar, con sus servicios de correo web utilizados en el 16.3% de los casos.
El uso tan extendido de estas plataformas resalta lo sencillo que es para los atacantes crear y aprovechar cuentas de correo gratuitas para ejecutar esquemas de phishing, ya que estos servicios son accesibles y fáciles de configurar, lo que facilita a los estafadores pasar desapercibidos.
Te podrá interesar leer: Advanced Email Security de Acronis: Seguridad de Correo Electrónico
En los primeros seis meses de 2024, las campañas de phishing por correo electrónico experimentaron cambios notables en su frecuencia. En enero, se detectaron más de 50,000 campañas únicas, pero esa cifra cayó bruscamente a unas 24,000 en febrero, antes de volver a subir en marzo a más de 41,000. Ya en el segundo trimestre, la actividad de phishing volvió a repuntar, alcanzando su punto máximo en mayo con casi 34,000 campañas.
Lo que está claro es que los atacantes están perfeccionando constantemente sus métodos. Ajustan los asuntos y contenidos de sus correos electrónicos para evitar ser detectados por los filtros de seguridad, lo que hace que el panorama sea más impredecible y desafiante. Aunque el volumen de ataques fluctúa, la sofisticación de estas campañas sigue aumentando, lo que significa que los operadores de phishing están diversificando sus tácticas para seguir eludiendo las defensas.
Con este nivel de evolución en los ataques, las organizaciones necesitan implementar estrategias de detección más avanzadas y adaptables para mantenerse un paso adelante en la lucha contra el phishing.
El phishing por teléfono, conocido como vishing, ha mostrado un claro aumento en 2024, con más del 20% de los casos de fraude relacionados con números de teléfono. Cada trimestre, este número sigue creciendo, ya que los estafadores recurren cada vez más a este método para engañar a sus víctimas de manera directa.
En los ataques de vishing, los delincuentes suelen hacerse pasar por instituciones de confianza para convencer a las personas de que revelen información personal o realicen transferencias de dinero. Una táctica común es el phishing híbrido, en el que la víctima recibe un correo electrónico falso con un recibo y se le pide que llame a un número de soporte. Al llamar, el estafador aprovecha para extraer datos confidenciales o persuadir a la persona de que envíe dinero.
Este tipo de ataque ha ganado popularidad porque, a diferencia del correo electrónico, las llamadas telefónicas no pueden ser filtradas o bloqueadas tan fácilmente. Además, el contacto telefónico ofrece a los estafadores una vía más personal para manipular a las víctimas, ya sea generando confianza o creando una sensación de urgencia o pánico.
Te podría interesar leer: Phishing Intelligence: Escudo Defensivo contra Ciberataques
Los ataques de phishing a menudo aprovechan grandes eventos como torneos deportivos, el Black Friday, conciertos o incluso elecciones para engañar a las víctimas. Estos momentos de alto perfil son el escenario perfecto para que los estafadores se hagan pasar por vendedores o representantes oficiales, ofreciendo productos o servicios falsos.
Una táctica común es la creación de sitios web fraudulentos que venden entradas para eventos populares. Por ejemplo, durante el Black Friday, es común ver correos electrónicos de phishing con ofertas que parecen demasiado buenas para ser verdad, y durante eventos deportivos como los Juegos Olímpicos, los estafadores se enfocan en la venta de entradas falsas.
Un caso reciente, conocido como "Ticket Heist", se centró en la venta de entradas fraudulentas para los Juegos Olímpicos de Verano 2024 en París. Los estafadores utilizaron más de 700 dominios falsos para atraer a víctimas desprevenidas que intentaban comprar entradas. Además, esta operación se expandió a otros eventos importantes, como la Eurocopa de la UEFA y conciertos de gran magnitud. Los atacantes registraban nuevos dominios de forma constante para seguir con el fraude.
Estos esquemas de phishing continúan evolucionando, utilizando eventos populares y oficiales para captar a las víctimas, por lo que es crucial estar atentos y desconfiar de ofertas demasiado buenas o correos electrónicos inesperados relacionados con entradas y ofertas especiales.
El uso de herramientas de inteligencia artificial generativa ha revolucionado los ataques de phishing, haciendo que sean más efectivos y peligrosos. Los ciberdelincuentes ahora pueden crear correos electrónicos de phishing altamente convincentes y generar código malicioso en tiempo récord, lo que les permite escalar sus operaciones de manera masiva. Plataformas como ChatGPT han jugado un papel clave en este cambio, ayudando a los atacantes a perfeccionar sus tácticas y lanzar campañas mucho más sofisticadas.
Desde el lanzamiento de ChatGPT a fines de 2022, se ha registrado un aumento dramático en los correos electrónicos maliciosos vinculados al uso de IA. Las estadísticas hablan por sí solas: se ha visto un aumento del 4151% en los correos de phishing generados con herramientas de IA. En 2024, la situación sigue empeorando, con un aumento del 856% en correos de phishing en comparación con años anteriores. La inteligencia artificial ha permitido que estos ataques evolucionen de ser estafas simples y fáciles de detectar a campañas mucho más pulidas y difíciles de identificar.
Con el phishing volviéndose cada vez más sofisticado, las organizaciones deben reforzar sus defensas y estar más vigilantes que nunca frente a estas nuevas y crecientes amenazas.
Conoce más sobre: Nueva Era de Ciberataques: IA y el Phishing como Protagonistas
El phishing sigue siendo una de las principales amenazas de ciberseguridad en 2024. Desde el aumento de ataques BEC y las estafas que aprovechan grandes eventos, hasta el uso cada vez más sofisticado de vishing y herramientas de inteligencia artificial, los cibercriminales están evolucionando y refinando sus tácticas.
Sectores clave como redes sociales, finanzas y comercio minorista son los blancos más frecuentes, y servicios de correo web como Gmail y Microsoft suelen ser aprovechados por los atacantes. Aquí te dejamos algunas recomendaciones para mantenerte protegido frente a estas amenazas:
Mantenerse informado, capacitado y apoyado por soluciones de seguridad efectivas como TecnetProtect es esencial para evitar caer en las cada vez más sofisticadas tácticas de phishing.