Spear phishing
En seguridad ofensiva, el spear phishing es un ataque de phishing dirigido a una persona concreta o a un grupo reducido, construido a partir de información sobre el objetivo en lugar de enviado en masa. Es lo que ensaya de verdad una simulación realista, porque es la técnica que atraviesa la formación de concienciación diseñada para el correo masivo genérico.
Cómo funciona
El spear phishing empieza por el reconocimiento y no por una plantilla. El atacante averigua a quién reporta el objetivo, qué proveedores usa, qué proyectos están en marcha y cómo escribe la organización internamente, y después compone un mensaje que encaja en ese contexto: una factura de un proveedor real, una respuesta que aparenta continuar un hilo existente, una petición de un directivo con nombre y apellidos. El payload varía (una página de cosecha de credenciales, un adjunto malicioso o un enlace a un proxy adversary-in-the-middle que captura la sesión y su token de segundo factor), pero la entrega responde a la misma idea: verosimilitud construida con detalles reales, enviada a una persona elegida a propósito. El canal no siempre es el correo: la misma orientación llega al objetivo por un mensaje de texto, una llamada de voz o un código QR, pero el principio no cambia.
Qué sale mal
La formación genérica en phishing enseña a la gente a detectar las señales obvias: la mala gramática, el nombre de un desconocido, un premio inverosímil. El spear phishing no tiene ninguna de esas, porque el detalle es correcto. En nuestras simulaciones, el mensaje que funciona es el que encaja con algo que el objetivo ya estaba esperando, enviado en un momento en que anda ocupado. La premisa defensiva de que «nuestra gente está formada» se desmorona ante un correo bien documentado, con un único destinatario y que menciona un proyecto real. Este es además el camino de entrada al fraude del CEO: el mismo reconocimiento, aplicado a alguien que puede mover dinero.
Dónde aparece esto en una auditoría
Un informe de campaña de phishing separa el clic del compromiso. Anotamos el pretexto usado, quién interactuó, si se introdujeron credenciales, y si la sesión (segundo factor incluido) se pudo capturar y reutilizar, porque el hallazgo no es un clic, es una sesión que funciona. Evitamos publicar nombres individuales y planteamos los resultados como huecos de proceso, no como fallos personales. Así es como ejecutamos una simulación dirigida que refleja la ingeniería social real y no una prueba genérica.