El Phishing es uno de los ataques clásicos en Internet. Los piratas informáticos pueden enviar correos electrónicos con enlaces falsos, con el objetivo de que la víctima haga clic y termine en un sitio creado solo para robar credenciales y contraseñas. Esto es algo que puede afectar a usuarios domésticos y también a trabajadores en empresas de todo tipo. En los últimos años, ha aumentado la concienciación sobre este tema y también el entrenamiento contra el Phishing. Sin embargo, un estudio ha demostrado que esto ha fracasado.
Muchas empresas han creado planes de entrenamiento contra el Phishing para sus empleados. Consiste en enfrentarlos a supuestos correos que podrían recibir y que serían maliciosos. Iniciativas de concienciación, para que estén preparados ante e-mails reales que pudieran recibir y que supondrían un riesgo importante para sus datos personales, además de para la empresa.
Los planes de entrenamiento contra el Phishing no han tenido éxito
Se trata de un estudio que han realizado 10 investigadores de seguridad de la Universidad de Chicago, la Universidad de California en San Diego (UCSD) y UCSD Health. Durante ocho meses, en 2023, estudiaron los efectos de la formación contra el Phishing en un total de 19789 empleados de UCSD Health. Querían ver los resultados en esta importante organización sanitaria estadounidense.
Los resultados no han sido los esperados y van a presentar el informe el próximo mes de agosto, en el evento Black Hat, en Las Vegas. Ya adelantan que, aunque en determinadas circunstancias la formación contra el Phishing puede tener un impacto positivo, en la mayoría de ocasiones la diferencia es mínima o incluso llega a ser contraproducente.
Otro estudio anterior, realizado por investigadores del Departamento de Informática de la ETH, de Zurich, sobre 14.000 empleados, demostró que tampoco era efectivo. En este caso, enviaron numerosos correos simulados de Phishing durante meses, con material educativo para que se fueran formando. Si alguno caía en la trampa, recibía información sobre cómo detectar los falsos. Los resultados finales revelaron que esos empleados tenían, al final del estudio, una falsa sensación de seguridad, de estar protegidos y capacitados. La realidad es que cayeron más en la trampa del Phishing.
Un dato revelador, es que apenas el 24% de los trabajadores completaron correctamente los cursos de formación. La mayoría los dejaban e incluso muchos directamente finalizaban las sesiones unos segundos después de iniciarse. Sin embargo, irónicamente, aquellos que terminaron estos cursos correctamente, tuvieron un 18,5 % más de probabilidades de ser víctimas de un correo electrónico de Phishing.
Entonces, ¿qué podemos hacer?
Si los cursos de formación contra el Phishing no tienen el éxito esperado, al menos según estos estudios, ¿qué podemos hacer? Los expertos recomiendan adoptar una postura de ‘confianza cero’ o escepticismo saludable ante cualquier comunicación no solicitada, verificando siempre la identidad del remitente por un canal alternativo si se solicita información sensible. Hayas hecho o no cursos de formación para concienciarte sobre amenazas de este tipo, es clave que dudes siempre de cualquier correo que recibas, cualquier mensaje por redes sociales o SMS. Incluso si te lo envía un amigo o familiar.
Hay algo muy importante y es que, actualmente, los atacantes están utilizando la Inteligencia Artificial para crear correos falsos y estafar. Son muy realistas, por lo que es más difícil de detectar que hace unos años. Por ello, aunque los empleados hayan recibido formación sobre cómo identificar un correo Phishing hace unos años, hoy en día eso podría no tener sentido.
La IA es muy útil para muchas tareas de nuestro día a día, pero también ayuda a los piratas informáticos. Puede facilitar la creación de malware o generar correos más realistas para robar contraseñas. Es aún más importante mantener el sentido común y no dar facilidades.
También te recomendamos que habilites la autenticación en dos pasos en todas tus cuentas. Más allá de utilizar una buena contraseña, habilitar la 2FA en tus redes sociales, correo electrónico o tiendas online, evitará que otros puedan acceder si eres víctima de un ataque Phishing.
Por otra parte, es importante proteger los equipos. No importa si se trata de un móvil o un ordenador. Asegúrate siempre de tenerlos actualizados y utiliza un buen antivirus que te ayude a detectar y eliminar amenazas lo antes posible.