Callback phishing: qué es y cómo esta táctica pone en riesgo a las empresas

Las tácticas de ingeniería social continúan evolucionando, combinando diferentes técnicas para hacer los ataques más convincentes y efectivos. Un ejemplo es el callback phishing, también conocido como “phishing híbrido”, que combina correos electrónicos de phishing tradicionales con estafas por voz (vishing) para manipular a las víctimas y obtener acceso no autorizado.

Primero, la víctima recibe un mensaje en su e-mail comercial que, aparentemente, pertenece a una empresa, institución o a determinada persona. En general, la entidad personificada es un proveedor de alguna solución que la empresa ya utiliza o en la que pueda tener interés, como herramientas de ciberseguridad, por ejemplo. 

El tono en el que están escritos los mensajes suele ser bastante profesional, por lo que pueden convencer al colaborador, por ejemplo, de que ha habido algún problema con la solución de seguridad adoptada por la empresa y de que los técnicos responsables necesitan verificar el problema urgentemente de manera remota.

A esto le sigue la etapa telefónica. Para obtener más credibilidad y no ser bloqueados por los filtros antispam, los estafadores no incluyen ni adjuntos ni enlaces: le piden al colaborador que llame inmediatamente a un supuesto centro de atención de llamadas para recibir instrucciones. 

Si el empleado lo hace, lo atenderá un estafador sumamente cordial, que lo orientará a entrar a una página maliciosa mediante la cual, además de robarle datos personales (incluyendo las credenciales para sistemas internos de la empresa), el malhechor podrá diseminar malwares.

¿Qué daños puede causar este tipo de estafa?

La mayoría de las veces, el callback phishing se utiliza para instalar troyanos de acceso remoto (remote access trojans o RATs, en inglés) en la computadora de la víctima, que no son otra cosa que virus diseñados para espiar la máquina afectada. Suelen tener la habilidad de replicarse por toda la red de la empresa mediante movimiento lateral, lo que significa que, si la máquina de un único colaborador es afectada, es posible que, en poco tiempo, toda la oficina esté comprometida, si no hay una segmentación adecuada en la infraestructura.

Claro, aunque los RAT sean comunes, nada impide que se use el phishing híbrido para otras finalidades. Algunos investigadores han identificado el uso de esa táctica para distribuir los tan temidos ransomwares. En este caso, el único objetivo de los ciberdelincuentes es ganar dinero rápido cifrando datos importantes y exigiendo un rescate inmediato, generalmente por medio de criptomonedas.

Lo que más ha impresionado a la comunidad de ciberseguridad es cuán convincentes son los mensajes de callback phishing, a diferencia de los e-mails maliciosos convencionales. De forma dirigida, los estafadores realmente elaboran un comunicado muy bien escrito, en un tono altamente formal, usando la identidad visual de empresas famosas e incluso argumentando que el equipo de TI de la empresa de la víctima tiene conocimiento del contacto.

Técnicas de evasión

Como cualquier otra estafa de ingeniería social, la concienciación es la clave para evitar caer en la trampa de un callback phishing. Al recibir un e-mail sospechoso, piénsalo dos veces antes de tomar cualquier actitud: acciona inmediatamente al equipo de seguridad o de tecnología de la información para verificar si el mensaje es real y si el supuesto proveedor es, de hecho, aquel con el cual trabaja la corporación, por ejemplo.