Todavía hay quien piensa que el phishing está pasado de moda. Pero según los informes del Anti-Phishing Working Group (APWG)[1] el número de ataques de este tipo volvió a repuntar en 2014, alcanzando máximos históricos (un caso nuevo cada dos minutos, en total casi 250.000 al año), y el de dominios de páginas web dedicadas a robarnos credenciales también creció un 7% mientras que el número total de dominios en el mundo lo hizo a un ritmo del 3%. Los ataques de phishing en redes sociales experimentan todavía un crecimiento del 125% anual.
El peligro real para la sociedad es que el phishing ha derivado a spearphishing o ataques dirigidos a una persona o grupo dentro de una organización. Estos ataques crecen a un ritmo del 8% anual y causan unas pérdidas medias de 75.000€. Consisten en mensajes muy concretos, aparentemente provenientes de personas conocidas o compañeros de trabajo, con temas y contenidos “calcados†de mensajes habituales de esa persona.
En el último informe publicado por APWG sobre las actividades y tendencias de phishing y ciber crimen en general, se indica que durante el último trimestre de 2014:
– Un total de 549 corporaciones fueron atacadas mediante phishing, casi un 4% más que el trimestre anterior.
– Cada tres meses se registran alrededor de 100.000 ataques de phishing únicos, con una cierta estacionalidad, ya que al principio del año (cuesta de enero, año nuevo chino) hay menos ataques, y al final del año (campañas navideñas, Black-Friday, etc.) se registran más. Este número sigue creciendo, después de la caída que se produjo en 2009. Así, PayPal recibe casi 100 ataques diarios, y Apple fue la que más registró, con una media de más de 120 ataques al día.
– Las actividades relacionadas con transacciones económicas acumulan más del 70% de todos los ataques: el comercio electrónico a la cabeza (32,4%), y después las entidades financieras (25,7%) e intermediarios de pago (12,8%).
– Solo un 1,7% de los nombres de dominio usados para robar información tenían una denominación parecida a la de una marca comercial conocida. Por tanto, si mirásemos las URL que vamos a visitar evitaríamos más del 98% de ataques.
– Cada día se registran una media de casi 230.000 nuevas formas o variantes de malware.
Otras fuentes indican que sólo en EEUU en 2014 se habían desvelado 621 incidentes importantes de este tipo, resultando en el robo de 77.890.487 de registros de usuario. Los sectores financiero, de crédito y bancario sufrieron e informaron de 24 incidentes importantes durante ese año, los cuales comprometieron 1.172.320 registros de clientes.
En Europa, el robo de datos personales está creciendo a un ritmo del 25% anual, según el informe de ENISA (ENISA Threat Landscape 2014), tendiendo a concentrarse en datos con impacto financiero en las víctimas. El 80% de los ciberataques se realizan gracias a contraseñas “blandasâ€.
El 29% de los incidentes de seguridad han estado relacionados de alguna forma con redes sociales, con unas pérdidas medias de 20.000 a 80.000€ por ataque. Estafas basadas en el robo de identidad o datos de contactos o amigos en redes sociales generan pérdidas superiores a los 10.000 millones de euros, que son las pérdidas estimadas usando el denominado Timo del Nigeriano.
El ciber crimen sigue creciendo y nosotros seguimos luchando contra él. Estos días se está celebrando en Barcelona el I Symposium on Electronic Crime Research (eCrime 2015) organizado por la APWG en el que participo como presidente del Comité Organizador. En este congreso analizamos cómo podemos afrontar los nuevos retos con los que nos desafía el ciber crimen a nivel global, y estudiaremos cómo los últimos trabajos de investigación responden a las técnicas de ciber delito más actuales.
A un nivel más divulgativo, pero en la misma línea, hoy presentamos en Barcelona el libro Cibercrimen, en la Librería HispanoAmericana, (Gran Vía 594). De una manera sencilla para cualquier usuario de la red, aprenderemos a movernos por el ciberespacio sin exponernos al ciber crimen, a través de útiles técnicas de autoprotección.
Estáis invitados.
Dr. Manel Medina
Catedrático de la Universidad Politècnica de Catalunya (UPC), Coordinador científico del capítulo europeo de APWG (APWG.EU), miembro del consejo asesor de ISMS Forum Spain (2013), y fundador y director de esCERT (integrado en inLab FIB, miembro de CIT UPC).