Phishing: educación, finanzas y salud, las industrias más afectadas

No importa cuántos informes sobre ciberdelito leamos, los que apuntan a usuarios comunes y corrientes o los que toman como objeto las empresas: el phishing sigue siendo, hoy por hoy, la modalidad de ciberdelito más común.

En la gran mayoría de casos, los datos para estos reportes surgen de los que recogen las propias empresas que los realizan mientras protegen de ataques a sus clientes. El ThreatLabz 2023 Phishing Report de Zscaler, compañía que se dedica a brindar seguridad en entornos de la nube, no es la excepción. A través del análisis de 280.000 millones de transacciones diarias y 8.000 millones de ataques bloqueados por día en el transcurso de 2022, Zscaler observó un aumento del 47,2% en los intentos de phishing en relación a 2021, una tendencia al alza que se espera que continúe en 2023.

Aunque estos informes suelen ser similares, el dato más interesante en este informe tiene que ver con las industrias más afectadas por esta modalidad de ciberdelito en 2022.

La industria de la educación experimentó un aumento del 576% en los intentos de phishing en 2022, lo que hizo que pasara del 8° puesto en 2021 al 1° el año pasado en los más de 20 países analizados. Esto se debió más que nada al aprovechamiento de dos factores: los procesos para el pago de préstamos estudiantiles (sobre todo en Estados Unidos) y las vulnerabilidades propias del aprendizaje remoto, un aspecto de esta modalidad no resuelto del todo. Por otro lado, las finanzas y el sector de los seguros también vieron un aumento en los intentos de phishing cercano al 273% en 2022.

Los intentos en la industria de la salud también aumentaron exponencialmente: pasaron de algo menos de 31 millones en 2021 a más de 114 millones en 2022. Este aumento se debe al hecho de que muchas personas retomaron sus chequeos de rutina tras la pandemia, sin saber que del otro lado acechaba un ciberdelincuente y no su centro de atención médica. A eso se suma que los atacantes de ransomware (otra modalidad muy popular en estos días) están aprovechando las tácticas de phishing para hacerse con los datos de las organizaciones de atención médica.

A pesar de todo, hubo dos industrias a las que el ciberdelito les dio un respiro en 2022. Se trata del comercio minorista y mayorista, que experimentó una caída del 67% en ataques de phishing, y el sector de los servicios, que bajó 38%. Para Zscaler, la disminución de los ataques a mayoristas y minoristas se debe a un cambio en el comportamiento de los consumidores, que quitaron el pie del acelerador después de las enormes compras online y gastos en bienes de 2020 y 2021.

¿Por qué sigue prevaleciendo el phishing, a pesar de todos los millones, los cursos y las recomendaciones que los usuarios y las empresas reciben a diario? Zscaler toma en consideración dos factores que son claves: la disponibilidad en aumento de kits de phishing que se venden en el mercado negro y los chatbots de inteligencia artificial, como el famoso ChatGPT, que permiten que los atacanes desarrollen rápidamente campañas de phishing más específicas. Esta mejora está simplificando el proceso de manipular a los usuarios para que realicen acciones que comprometan sus contraseñas y perfiles, dejándolos a ellos y a sus organizaciones en un estado de vulnerabilidad.

¿Qué hacer entonces frente a este avance que parece imparable y que aprovecha todo lo que encuentra a su paso para su propio beneficio? En el caso de las empresas, que además de perder dinero pueden perder datos, lo peor que pueden hacer es descansar ciegamente en sus infraestructuras de ciberseguridad. Aunque contar con esa protección es importante, las estructuras deben volver a ser examinadas bajo la luz de las nuevas tendencias, donde un enfoque de confianza cero sigue siendo la mejor protección.