Últimamente se han detectado varios ataques de spear phishing hacia las empresas proveedoras del Servicio de Salud de las Islas Baleares. Estos ataques de ingeniería social son bastante difíciles de identificar porque van dirigidos directamente contra las empresas proveedoras y, como norma general, no pasan por nuestros sistemas. Por ello, solo nos damos cuenta si la empresa nos reporta el incidente.
¿Qué es el spear phishing y cómo funciona?
El spear phishing es una estafa por correo electrónico que tiene como finalidad robar información confidencial, como las credenciales de una cuenta o información financiera de la víctima. Esto se logra por medio de la adquisición de datos personales de la víctima, como sus amigos, redes sociales, lugares que frecuenta o llamadas telefónicas. Básicamente, los atacantes suplantan la identidad de un amigo o entidad confiable para obtener información confidencial, generalmente por medio del correo electrónico.
Los ataques de spear phishing se dirigen a una víctima determinada y los correos electrónicos se modifican para dirigirse específicamente a esa víctima. Supuestamente provienen de una entidad con la que la víctima está familiarizada y contienen información personal o financiera. Uno de los pilares del spear phishing, a diferencia del phishing, es que los atacantes intentan recopilar tanta información personal sobre sus víctimas como sea posible para que los correos electrónicos que envían parezcan legítimos y así aumentar sus posibilidades de engañar a los destinatarios para que hagan clic sobre un enlace o descarguen algún archivo adjunto. La señal de advertencia más obvia y en la primera que hay que fijarse es una dirección de correo electrónico falsa o una que se parezca a la de nuestra entidad con faltas ortográficas.
Normalmente, los correos electrónicos de spear phishing se caracterizan por contener explicaciones urgentes para que el destinatario actúe con rapidez. Por ejemplo, informan de que nuestra cuenta bancaria está bloqueada, que tenemos una factura pendiente de pago, que nuestra contraseña está caducada o que nuestro ordenador necesita una actualización urgente para poder seguir funcionando. El objetivo final es inculcar un sentido de urgencia para hacer una tarea usando un lenguaje familiar para que el destinatario dude lo menos posible.
¿Cómo puedo protegerme del spear phishing?
- Si recibe un correo electrónico inesperado y de origen desconocido, desconfíe y no lo abra.
- Analice detalladamente el correo para intentar identificar cualquier aspecto sospechoso y especialmente verificar que los dominios de los correos (@ibsalut.es, @ssib.es, @hsll.es, @hgmo, @hcin, @hman…) son correctos.
- Si, aun así, ya ha abierto un correo sospechoso, nunca haga clic en los enlaces que contenga ni abra ningún fichero adjunto.
- No responda a ningún correo sospechoso, no facilite nunca datos personales ni información sobre sus cuentas ni haga ninguna acción si ha recibido algún tipo de coacción por medio de ese correo.
- Debe saber que los servicios de informática NUNCA solicitan que se faciliten contraseñas.
- No introduzca las credenciales de Servicio de Salud en webs no corporativas.
- Utilice credenciales robustas. Preferiblemente deben contener una mayúscula, una minúscula, un número y un carácter especial.
- Las entidades legítimas nunca le solicitarán información personal o compartir su contraseña.
- Para comprobar que un enlace es legítimo, puede pasar el ratón sobre el enlace (sin clicar) para verificar que realmente le va a redirigir a una dirección legítima.
- Si teletrabaja, asegúrese de que su ordenador personal dispone de un antivirus actualizado y tiene las últimas actualizaciones instaladas.
Cabe recordar que, si detecta un correo sospechoso, debe notificarlo inmediatamente llamando al CAU o escribiendo a la dirección Esta dirección de correo electrónico está siendo protegida contra los robots de spam. Necesita tener JavaScript habilitado para poder verlo.. Por último, y como siempre le trasladamos, tenga en cuenta que la seguridad de la información es cosa de todos y empieza por cada uno de nosotros.
Muchas gracias por colaborar.
Servicio de Seguridad de la Información de la Subdirección de Tecnología de la Información.