Fraude del CEO (Whaling Phishing)
El whaling, también conocido como fraude del CEO, es una estafa dirigida a los altos cargos, o a quienes reciben instrucciones de ellos, pensada para conseguir que se haga un pago o que se entregue información confidencial.
El fraude del CEO, también llamado whaling, es una forma de estafa dirigida en la que unos delincuentes van específicamente a por las personas con más responsabilidad de una empresa, el director general, el director financiero, quienes autorizan pagos, con el objetivo de conseguir que se transfieran fondos o que se entregue información confidencial.
Funciona a base de suplantación y de presión: convencer a la víctima de que está tratando con un compañero de confianza o con un socio comercial legítimo.
Cuando sale bien provoca pérdidas económicas serias, y un daño reputacional que dura más que la pérdida.
Los métodos
Las técnicas se repiten de un caso a otro. Correo falsificado que parece venir de una dirección interna legítima, o un dominio parecido que se diferencia en un solo carácter. Ingeniería social construida sobre información recopilada de antemano, para que el mensaje mencione una operación real, un proveedor real o un viaje real. Y un lenguaje diseñado para crear urgencia, de modo que quien lo recibe actúe deprisa y no compruebe nada.
La presión es el mecanismo. El mensaje es casi siempre urgente, confidencial, y viene de alguien a quien el destinatario no quiere hacer esperar.
Qué lo reduce de verdad
La prevención necesita a la vez controles técnicos y un procedimiento que la gente tenga permiso para seguir.
En lo técnico: autenticación multifactor en los buzones, y autenticación de correo mediante DMARC para que los dominios de remitente falsificados se rechacen en lugar de entregarse con un aviso que nadie lee.
En lo procedimental, el control que funciona es una regla de verificación por otro canal para los cambios de datos de pago y para las transferencias fuera de lo habitual, usando un número de teléfono que ya se tenía registrado y no el que aparece en el correo. Tiene que aplicarse a todo el mundo, también al director general, porque una regla de la que los altos cargos están exentos es exactamente la regla que este ataque está hecho para aprovechar.
La formación en concienciación importa, y funciona mejor cuando deja claro que cuestionar una orden urgente que viene de arriba es lo que se espera de ti, y no algo que perjudique tu carrera.
Un ejemplo
Un atacante envía al director financiero de una empresa un correo que aparenta venir del director general.
El mensaje dice que hay un asunto financiero urgente y que hay que hacer una transferencia a una cuenta bancaria concreta de inmediato para evitar consecuencias graves para la empresa.
El director financiero, creyendo que está siguiendo una orden directa, hace la transferencia sin comprobar si el correo es auténtico.
La empresa se entera más tarde, y el dinero por lo general ya ha desaparecido en cuestión de horas.
Whaling, BEC y spear phishing
Los tres se solapan y no son intercambiables.
El spear phishing es la técnica: un mensaje escrito para un destinatario concreto usando información recopilada sobre él.
El whaling es spear phishing dirigido a la cúpula de la organización, o a personas que actúan siguiendo instrucciones de la cúpula. El nombre describe al objetivo, no al método.
El business email compromise es la categoría más amplia de fraude por correo contra organizaciones, y sus variantes más dañinas no implican ninguna falsificación: el atacante tiene acceso real a un buzón real, lee el hilo y se incorpora a una conversación que ya está en marcha. No hay nada que detectar en las cabeceras, porque las cabeceras son auténticas.
En una frase: el spear phishing es el cómo, el whaling es el quién, y el BEC es la familia a la que pertenecen los dos.