phishing
Las soluciones de seguridad para empresas están en constante mejora, lo que obliga a los cibercriminales a invertir más tiempo y dinero para entrar a las redes corporativas; y, cada vez más, dependen de la ingeniería social. Si explotan el factor humano y utilizan la información de contacto que ya está disponible (como para el personal de HR y PR), los criminales pueden extraer credenciales de inicio de sesión de empleados despistados sin tener que preocuparse por las soluciones de ciberseguridad siempre en mejora.
Desafortunadamente, no hay una cura mágica para proteger a las empresas contra el phishing; el problema requiere medidas organizacionales y técnicas. Te decimos cómo poner en práctica esta protección.
Protege tu servidor de correo
Los navegadores y algunos clientes de correo electrónico tienen sus propios filtros de seguridad, pero los cibercriminales tienen muchas técnicas para evadirlos. Algunos, por ejemplo, utilizan servicios de marketing por correo electrónico.
Evitar que los correos electrónicos de phishing lleguen a las casillas de correo de los empleados es un fuerte punto de partida. Utilizar una solución de seguridad a nivel del mail gateway como Kaspersky Security for Mail Server que no solo verifica los enlaces en los correos entrantes, sino que también detecta amenazas en los archivos enviados.
Protege los servicios de Microsoft Office 365
En esto días, en lugar de implementar sus propios servidores de correo, muchas empresas utilizan servicios de nube, principalmente MS Office 365. Los datos de cuenta de Microsoft Office, que potencialmente dan acceso a los atacantes a servicios como OneDrive y SharePoint que pudieran almacenar información confidencial y detalles de contacto, es un objetivo frecuente y esperado de los ataques de phishing. Incluso si un empleado sabe en teoría que necesita revisar los mensajes con cuidado, aún podría ser que hiciera clic en un enlace o reenviara un mensaje a los colegas si tenía prisa.
Microsoft tiene sus propias tecnologías de seguridad imperfectas, las cuales puedes (y debes) fortalecer con capas adicionales de protección. Por ejemplo, Kaspersky Security for Microsoft Office 365 evita la dispersión de amenazas mediante los servicios de Office, los protege contra spam y phishing, y elimina los archivos adjuntos maliciosos.
Capacita a los empleados
El saco de trucos de los cibercriminales de hoy incluye enlaces maliciosos ocultos en los correos electrónicos, troyanos adjuntos disfrazados de documentos, mensajes de texto engañosos y llamadas telefónicas, entre otras cosas. Los mensajes de phishing pueden incluso provenir de un proveedor de hosting o una empresa afiliada si la cuenta de alguno de sus empleados ha sido comprometida. Los empleados deben estar al tanto de estos esquemas y poder detectar los correos electrónicos sospechosos.
La capacitación en concienciación de ciberseguridad puede venir de tu propio departamento de TI o de expertos externos. Además, las herramientas en línea como Kaspersky Automated Security Awareness Platform ayudan a los empleados a aprender en un formato conveniente y práctico.
Envía correos electrónicos de phishing de prueba
Probar a los empleados al enviarles correos electrónicos de phishing relevantes permite (o los obliga) que los empleados pongan su conocimiento en práctica y se preparen para incidentes reales. Probarlos también resalta a las personas y las áreas que necesiten mejorar.
Proporciona información de contacto para quien pueda ayudar con correos electrónicos sospechosos
Después de la capacitación básica en ciberseguridad, los empleados podrán detectar la mayoría de los correos electrónicos de phishing mediante pistas visuales como una dirección desconocida del remitente, logotipo de empresa erróneo y errores tipográficos. Sin embargo, en algunos casos, determinar si un mensaje es seguro puede requerir ayuda de un experto. Incluye el mejor contacto de tu empresa para evaluar mensajes sospechosos en la guía de inducción y de manera prominente en el portal corporativo.
Protege las estaciones de trabajo
Incluso los empleados con experiencia y observadores cometen errores. Los enlaces de phishing pueden aparecer en el correo personal de un empleado o llegar mediante una aplicación de mensajería, canales que tus sistemas de seguridad no controlan. Por lo tanto, instalar una solución de seguridad en cada estación de trabajo conectada a Internet es crucial. De esta manera, incluso si un enlace de phishing llega al objetivo y este hace clic, se bloqueará el redireccionamiento.
Protege los dispositivos móviles
Los empleados utilizan smartphones para visualizar correos electrónicos y documentos financieros, y pueden chatear en las aplicaciones de mensajería. Los dispositivos móviles siempre han sido un amenaza a la seguridad corporativa, e incluso todavía más en esta era de teletrabajo. Para frustrar los ataques de phishing en los dispositivos móviles, protege también esos dispositivos, con Kaspersky Endpoint Security for Business, el cual protege tanto las estaciones de trabajo como los teléfonos móviles.
Ve un paso adelante de los criminales
Quienes envían phishing todo el tiempo crean nuevas estrategias, de manera que incluso el profesional con más destreza un día podría, sin darse cuenta, entregar las claves de su correo electrónico u otra cuenta. Con algunos requisitos de sentido común, puedes garantizar que los criminales obtengan la menor cantidad de información confidencial que sea posible.
Activa la autenticación de dos factores
Enciende la autenticación de dos factores para todos los servicios corporativos. Con la 2FA activada, incluso los atacantes descubren las credenciales para una cuenta corporativa o una contraseña de correo electrónico, no podrán ingresar.
Solicita contraseñas únicas
Indica a los empleados que utilicen contraseñas únicas para cada servicio o dispositivo de trabajo. Entonces, incluso si quienes envían phishing obtienen una contraseña, el resto de los recursos no estará en riesgo.
Apégate al principio del mínimo privilegio
Si los empleados tienen derechos de acceso solo a los servidores, al almacenamiento en nube y a otros bienes de valor que verdaderamente necesitan, los cibercriminales no podrán causar mucho daño, incluso si obtienen el control de una cuenta corporativa.
Plan de acción
Al seguir estos sencillos consejos, puedes proteger a tus empleados, y, por tanto, a tu empresa, de las amenazas del phishing. En resumen:
- Protege tu servidor de correo.
- Protege tus servicios de Microsoft Office.
- Capacita a los empleados.
- Simula ataques de phishing para reforzar la capacitación.
- Proporciona al personal un contacto que pueda ayudarles a verificar correos electrónicos sospechosos.
- Protege las estaciones de trabajo.
- Protege los dispositivos móviles.
- Activa la autenticación de dos factores siempre que sea posible.
- Utiliza soluciones de seguridad de confianza.
