Què és el Phishing en Informàtica i com evitar-ho?

El phishing és una amenaça que està més a prop del que creus; sovint s’amaga en el teu Spam i, en altres ocasions, es cola també en el teu safata d’entrada. Tanmateix, com veurem, no només està a l’aguait a través del correu electrònic, sinó també en altres canals online. En Linkia FP t’expliquem què és el phishing en informàtica, quins tipus hi ha i com prevenir-lo.

Què és el phishing en informàtica? 

Anteriorment, hem abordat què és un ciberatac. Però per comprendre millor què és el phishing en informàtica, podem traduir literalment aquest terme anglès: significa “suplantació de la identitat”. Casualitat o no, phishing sona igual que fishing, és a dir, ‘pescar’ … I això és precisament el que pretén aconseguir un suplantador d’identitat: capturar, mitjançant un esquer, les dades de l’estafat.

Per entendre més exactament què és el phishing en informàtica, recorrem a la definició que ofereix una autoritat en la matèria: l’Institut Nacional de Ciberseguretat (INCIBE). Per a aquest organisme, es tracta de l’estafa comesa “a través de mitjans telemàtics” per aconseguir “informació confidencial […] de manera fraudulenta”. Aquesta informació pot tractar-se de contrasenyes, números de targetes de crèdit, comptes bancaris o dades de caràcter similar.

Tipus de phishing que existeixen 

Els tipus de phishing existents es poden classificar en base a dos paràmetres principals: el canal o vector de què es valen i l’estratègia a seguir per aconseguir el seu objectiu. Vegem-ho.

Tipus de phishing segons el canal o vector

En aquest cas, el canal és el sistema de comunicació que utilitza l’estafador per aconseguir a la seva víctima, mentre que el vector és l’agent que transporta l’amenaça.

1. Correu electrònic 

El servei de correu electrònic és, sens dubte, el canal favorit dels phishers. I el vector pot ser un enllaç introduït en un correu electrònic específic o bé un arxiu adjunt en el mateix.

2. Llo web

Si tornem a la definició aportada pel INCIBE, llegim un important matís: en ella es parla de “mitjans telemàtics” i no només de sistemes de correu electrònic, ja que aquesta amenaça també aguaita a través d’altres canals, camuflats en altres vectors. Per exemple, un lloc web, el disseny pot tractar-se d’una falsificació de l’original. D’aquesta manera, els enllaços o formularis poden ser el parany en què l’usuari podria caure.

3. SMS 

En aquest sistema de missatgeria mòbil, l’usuari sol mostrar-se més confiat i baixar la guàrdia. Això potser es degui al seu caràcter de pagament, a diferència de la resta, que són gratuïts. Però la veritat és que poden incloure enllaços maliciosos amb la mateixa finalitat.

4. Vishing 

Encara que menys freqüent, el ‘voice phishing’ és una realitat, i es realitza a través de trucades VoIP, el sistema de telefonia per Internet que pot valer-se de mètodes molt sofisticats per al robatori d’identitat.

5. Xarxes sociales 

En aquest cas, l’amenaça pot arribar des de perfils falsos, que no tenen a una persona real darrere, o bé a través de perfils hackejats que utilitzen aquesta estratagema per disseminar enllaços fraudulents.

Tipus de phishing segons l’estratègia

En aquest cas, els tipus de pesca són molt més nombrosos i estan en contínua reinvenció, i adoptar les estratègies més variades i creatives per enganyar l’usuari. Aquesta és una llista amb algunes d’elles:

• Manipulació d’enllaços, introduint petits canvis ortogràfics que poden passar desapercebuts.
• Clonació de correus electrònics, amb la diferència de la destinació a què apunten els enllaços.
• Whaling, que es podria traduir com l’atac a ‘peixos grossos’, és a dir, organitzacions i empreses, o bé directius de les mateixes.
• Frau de CEO: si l’anterior estratègia fa efecte, pot derivar en aquest altre atac en què l’estafador es dirigeix als subordinats d’un directiu per recaptar les seves dades confidencials, valent-se precisament de l’obediència que els deuen.
• Phishing personalitzat: tot i que la majoria d’atacs es realitzen a gran escala i de manera indiscriminada, també hi ha la possibilitat que els estafadors es dirigeixin personalment a les seves víctimes, després d’estudiar el seu perfil i activitat.

Com prevenir i solucionar el phishing? 

A l’igual que els tipus de pesca, hi ha diferents formes de solucionar-ho. Però en aquest cas, perquè el remei sigui efectiu, s’han de posar en pràctica totes alhora, sense excepció. Aquesta és una llista amb els principals consells sobre com prevenir el phishing:

• Fes servir la teva intuïció: desconfia de correus i missatges que no semblin naturals i que resultin excessivament positius (premis, recompenses, felicitacions, etc.) o negatius (multes, descoberts en compte, etc.),
• Mantingues el dispositiu actualitzat, ja que sovint els phishers es valen de bretxes en la seguretat ja resoltes però que segueixen vigents en sistemes operatius desactualitzats.
• Tingues instal·lat un bon antivirus que no només es dediqui a escanejar els arxius instal·lats, sinó també la qualitat dels enllaços o la reputació dels llocs web.
• Confia només en llocs oficials i protegits. Per a això, fixa’t a la barra d’adreces del navegador: si té instal·lat un certificat SSL vàlid, es mostrarà un cadenat o una icona similar, la qual cosa vol dir que compleix amb els requisits de seguretat. Si no els compleix, no proporcions dades sensibles a través dels seus formularis.
• Desenvolupar una estratègia anti-phishing, implementada per professionals en la matèria, en la qual s’aborden tasques com el manteniment de servidors i programari o l’anàlisi periòdic de les debilitats de la xarxa privada.
• Recórrer als serveis d’un hacker ètic, amb coneixements, experiència i intuïció suficient per detectar amenaces. En aquest post t’expliquem què és un hacker ètic.

Per tant, estar protegit enfront de l’phishing no és només una obstinació dels usuaris particulars, sinó també de professionals, empreses i organitzacions, a qui van dirigits els dos últims punts de l’anterior llista. I és per això que la titulació de Grau Superior en Ciberseguretat a distància gaudeix de gran popularitat, com recolzen les dades de l’INCIBE: el 99% dels experts en aquesta matèria estan en actiu actualment. Si aquesta també és la teva aspiració, confia en l’fp a distància per formar-te de la millor manera.