En 2021 se registró pico histórico en la cantidad de sitios de phishing

El grupo APWG, una organización internacional conformada por más de 2200 instituciones de la industria de la seguridad, organizaciones gubernamentales y no gubernamentales, que desde hace ya un tiempo publica reportes sobre el panorama del phishing a nivel global, recientemente publicó un informe en el que analizó la actividad del phishing durante el primer trimestre de 2021.

El documento destaca que luego de un 2020 en el que se duplicó la cantidad de ataques de phishing, en enero de este año se alcanzó un pico histórico según los registros de APWG, con 245.771 sitios de phishing únicos detectados en un mismo mes. Si bien en febrero decayó la cantidad, en marzo volvió la curva ascendente y superó los 200.000 sitios maliciosos. Vale la pena destacar que desde abril de 2020 hasta marzo de 2021 se mantiene una curva ascendente y continua en la actividad del phishing.

El sector más apuntado por los ataques de phishing sigue siendo la industria financiera, que registró el 24.9% de los intentos de phishing durante el primer trimestre, seguido por las redes sociales con el 23.6% y los proveedores de servicios de correo a través de sitios web con el 19.6%.

Otro elemento que creció fue la cantidad correo electrónicos que registraron textos únicos en el campo asunto de los correos, con un total de 172.793 asuntos diferentes en un mismo mes. En este caso después del pico de enero, la cantidad de asuntos únicos cayó a menos de 50.000 en marzo.

Por otra parte, la cantidad organizaciones cuya imagen fue utilizada en estos ataques de ingeniería social superó las 400 en cada uno de los meses del primer cuarto de 2021, llegando a 465 la cantidad de marcas utilizadas en campañas de phishing en marzo.

Los ataques de phishing apuntando a usuarios de redes sociales pasó de 11.8% en el último cuarto de 2020 a 23.6% durante los primeros tres meses de 2021, con cibercriminales lanzando ataques con el objetivo de secuestrar cuentas de redes sociales para probablemente comercializar los accesos en mercados de la dark web.

Más abajo porcentualmente, pero que vale la pena mencionar, el 7.6% de los ataques apuntaron al comercio electrónico y 5.8% a servicios de logística o envío de paquetería.

Se confirma algo que hemos mencionado en varias campañas de phishing analizadas en el último tiempo en cuanto a que ya no basta con verificar si un sitio es seguro o no analizando si cuenta con HTTPS, ya que el 83% de los sitios detectados utilizaban este protocolo.

Por otra parte, las estafas conocidas como BEC (del inglés Business Email Compromise), que son engaños que apuntan los departamentos de finanzas de las organizaciones y que utilizan el correo electrónico para generalmente suplantar la identidad de una persona confiable, como un empleado de la propia organización o de una compañía socia, para y solicitar el envío de una transferencia de dinero.

Según el reporte de APWG, el monto promedio de las transferencias solicitadas en el marco de este tipo de engaños conocidos como BEC en el primer trimestre de 2021 fue de 85.000 dólares, lo cual representa un nuevo pico histórico. El monto promedio en el último trimestre de 2020 había sido de 75.000 dólares.

Por último, mencionar que los ataques de ingeniería social, principalmente de phishing, son responsables del 20% de los incidentes de seguridad que registraron las empresas de América Latina durante 2020, según datos del ESET Security Report 2021.