El phishing por voz , o vishing , [1] es el uso de la telefonía (a menudo telefonía de voz sobre IP ) para realizar ataques de phishing .
Los servicios de telefonía fija han sido tradicionalmente fiables; terminados en ubicaciones físicas conocidas por la compañía telefónica y asociados con un pagador de facturas. Ahora, sin embargo, los estafadores vishing suelen utilizar funciones modernas de voz sobre IP (VoIP), como la suplantación de identidad de llamadas y sistemas automatizados ( IVR ), para impedir la detección por parte de las autoridades. El phishing por voz se utiliza normalmente para robar números de tarjetas de crédito u otra información utilizada en esquemas de robo de identidad de individuos.
Por lo general, los ataques de phishing de voz se llevan a cabo mediante sistemas automatizados de conversión de texto a voz que dirigen a la víctima a llamar a un número controlado por el atacante; sin embargo, algunos utilizan personas que llaman en vivo. [1] Haciéndose pasar por un empleado de un organismo legítimo como el banco, la policía, el teléfono o el proveedor de Internet, el estafador intenta obtener datos personales e información financiera sobre tarjetas de crédito, cuentas bancarias (por ejemplo, el PIN), así como información personal. de la víctima. Con la información recibida, el estafador podría acceder y vaciar la cuenta o cometer fraude de identidad . Algunos estafadores también pueden intentar persuadir a la víctima para que transfiera dinero a otra cuenta bancaria o retire efectivo para entregárselo directamente. [2] Las personas que llaman también suelen hacerse pasar por agentes del orden o como empleados del Servicio de Impuestos Internos . [3] [4] Los estafadores a menudo apuntan a inmigrantes y ancianos, [5] quienes son obligados a transferir cientos a miles de dólares en respuesta a amenazas de arresto o deportación. [3]
Los datos de cuentas bancarias no son la única información confidencial a la que se dirige. A veces, los estafadores también intentan obtener credenciales de seguridad de los consumidores que utilizan productos de Microsoft o Apple falsificando el identificador de llamadas de Microsoft o Apple Inc.
Los audio deepfakes se han utilizado para cometer fraude, engañando a las personas haciéndoles creer que están recibiendo instrucciones de una persona de confianza. [6]
Los motivos comunes incluyen recompensa financiera, anonimato y fama. [13] Se puede utilizar información bancaria confidencial para acceder a los activos de las víctimas. Las credenciales individuales se pueden vender a personas que deseen ocultar su identidad para realizar determinadas actividades, como la adquisición de armas. [13] Este anonimato es peligroso y puede ser difícil de rastrear por parte de las autoridades. Otro motivo es que los phishers pueden buscar fama entre la comunidad de ciberataques. [13]
El phishing por voz se presenta en varias formas. Existen varios métodos y diversas estructuras operativas para los diferentes tipos de phishing. Por lo general, los estafadores emplean ingeniería social para convencer a las víctimas del papel que están desempeñando y crear una sensación de urgencia para aprovecharse de las víctimas.
El phishing por voz tiene atributos únicos que separan el método de ataque de alternativas similares, como el phishing por correo electrónico. Con el mayor alcance de los teléfonos móviles, el phishing permite dirigirse a personas sin conocimientos prácticos de correo electrónico pero que poseen un teléfono, como las personas mayores. La prevalencia histórica de centros de llamadas que solicitan información personal y confidencial permite además extraer más fácilmente información confidencial de las víctimas debido a la confianza que muchos usuarios tienen cuando hablan con alguien por teléfono. A través de la comunicación por voz, los ataques de vishing pueden ser agradables y, por lo tanto, más impactantes que alternativas similares como el correo electrónico. El tiempo de respuesta más rápido a un intento de ataque debido a la mayor accesibilidad a un teléfono es otro aspecto único, en comparación con un correo electrónico donde la víctima puede tardar más en responder. [14] Un número de teléfono es difícil de bloquear y los estafadores a menudo pueden simplemente cambiar los números de teléfono si un número específico está bloqueado y, a menudo, encuentran formas de eludir las reglas y regulaciones. Las compañías telefónicas y los gobiernos buscan constantemente nuevas formas de frenar las llamadas fraudulentas. [15]
Un ataque de phishing de voz puede iniciarse a través de diferentes mecanismos de entrega. [16] Un estafador puede llamar directamente a una víctima y pretender ser una persona confiable falsificando su identificador de llamadas y apareciendo en el teléfono como un funcionario o alguien cercano. [16] Los estafadores también pueden enviar mensajes amenazantes pregrabados a las bandejas de entrada del correo de voz de las víctimas para obligarlas a tomar medidas. [16] Las víctimas también pueden recibir un mensaje de texto que les solicita que llamen a un número específico y se les cobre por llamar a ese número específico. [16] Además, la víctima puede recibir un correo electrónico haciéndose pasar por un banco; Luego, la víctima puede ser obligada a proporcionar información privada, como un PIN, un número de cuenta u otras credenciales de autenticación en la llamada telefónica. [dieciséis]
Los atacantes de phishing de voz a menudo emplean ingeniería social para convencer a las víctimas de que les den dinero y/o acceso a datos personales. [17] Generalmente, los estafadores intentarán crear una sensación de urgencia y/o miedo a la autoridad para utilizarlo como palanca contra las víctimas. [dieciséis]
Los ataques de phishing por voz pueden ser difíciles de identificar para las víctimas porque las instituciones legítimas, como los bancos, a veces solicitan información personal confidencial por teléfono. [8] Los esquemas de phishing pueden emplear mensajes pregrabados de bancos regionales notables para que no se puedan distinguir de las llamadas legítimas. [ cita necesaria ] Además, las víctimas, especialmente las personas mayores, [8] pueden olvidar o no conocer la capacidad de los estafadores para modificar su identificador de llamadas, lo que las hace más vulnerables a los ataques de phishing de voz. [ cita necesaria ]
La Comisión Federal de Comercio de EE. UU. (FTC) sugiere varias formas para que el consumidor promedio detecte estafas telefónicas. [22] La FTC advierte contra la realización de pagos en efectivo, tarjetas de regalo y tarjetas prepagas, y afirma que las agencias gubernamentales no llaman a los ciudadanos para discutir información personal como los números de Seguro Social. [22] Además, las víctimas potenciales pueden prestar atención a las características de la llamada telefónica, como el tono o acento de la persona que llama [8] [28] o la urgencia de la llamada telefónica [22] para determinar si la llamada es o no legítimo.
La principal estrategia recomendada por la FTC para evitar ser víctima del phishing de voz es no contestar llamadas de números desconocidos. [9] Sin embargo, cuando un estafador utiliza VoIP para falsificar su identificador de llamadas, o en circunstancias en las que las víctimas responden llamadas, otras estrategias incluyen no presionar botones cuando se le solicite y no responder ninguna pregunta de una persona sospechosa que llama. [9]
El 31 de marzo de 2020, en un esfuerzo por reducir los ataques de vishing que utilizan la suplantación del identificador de llamadas, la Comisión Federal de Comunicaciones de EE. UU. adoptó un conjunto de mandatos conocidos como STIR/SHAKEN , un marco destinado a ser utilizado por las compañías telefónicas para autenticar la información del identificador de llamadas. [29] Todos los proveedores de servicios telefónicos de EE. UU. tenían hasta el 30 de junio de 2021 para cumplir con la orden e integrar STIR/SHAKEN en su infraestructura para disminuir el impacto de la suplantación de identidad de llamadas. [29]
En algunos países, las redes sociales se utilizan para llamar y comunicarse con el público. En ciertas plataformas de redes sociales, los perfiles gubernamentales y bancarios están verificados y los perfiles gubernamentales y bancarios no verificados serían perfiles falsos. [30]
La estrategia de mitigación más directa y eficaz es capacitar al público en general para que comprenda las características comunes de un ataque de phishing de voz para detectar mensajes de phishing. [31] Un enfoque más técnico sería el uso de métodos de detección de software. Generalmente, estos mecanismos pueden diferenciar entre llamadas de phishing y mensajes honestos y pueden implementarse de manera más económica que la capacitación pública. [31]
Un método sencillo de detección de phishing es el uso de listas negras. Investigaciones recientes han intentado hacer distinciones precisas entre llamadas legítimas y ataques de phishing utilizando inteligencia artificial y análisis de datos. [32] Para seguir avanzando en la investigación en el campo del audio falso, se han explorado diferentes aumentos y diseños de funciones. [33] Al analizar y convertir llamadas telefónicas en mensajes de texto, se pueden utilizar mecanismos de inteligencia artificial, como el procesamiento del lenguaje natural, para identificar si la llamada telefónica es un ataque de phishing. [32]
Los sistemas especializados, como las aplicaciones telefónicas, pueden enviar datos falsos a las llamadas de phishing. Además, varios organismos encargados de hacer cumplir la ley se esfuerzan continuamente para disuadir a los estafadores de realizar llamadas de phishing imponiendo sanciones más severas a los atacantes. [31] [29]
Entre 2012 y 2016, una red de estafas de phishing de voz se hizo pasar por empleados del Servicio de Impuestos Internos y de inmigración ante más de 50.000 personas, robando cientos de millones de dólares, así como información personal de las víctimas. [5] Presuntos co-conspiradores de Estados Unidos e India amenazaron a los encuestados vulnerables con "arresto, encarcelamiento, multas o deportación". [5] En 2018, 24 acusados fueron condenados, siendo la pena de prisión más larga de 20 años. [5]
El 28 de marzo de 2021, la Comisión Federal de Comunicaciones emitió una declaración advirtiendo a los estadounidenses sobre el creciente número de estafas telefónicas relacionadas con productos COVID-19 fraudulentos. [34] La Administración de Alimentos y Medicamentos también ha supervisado los esquemas de phishing por voz que intentan vender productos que supuestamente "previenen, tratan, mitigan, diagnostican o curan" el COVID-19. [35]
A partir de 2015, un estafador de phishing se hizo pasar por maquilladores de Hollywood y poderosas ejecutivas para obligar a las víctimas a viajar a Indonesia y pagar sumas de dinero bajo la premisa de que se les reembolsaría. Utilizando ingeniería social, el estafador investigó exhaustivamente las vidas de sus víctimas para extraer detalles que hicieran la suplantación más creíble. El estafador llamaba a las víctimas directamente, a menudo varias veces al día y durante horas seguidas, para presionarlas. [36]
La campaña de ciberataque de 2015 contra el académico israelí Dr. Thamar Eilam Gindin ilustra el uso de un ataque de vishing como precursor de una escalada de futuros ataques con nueva información extraída de la víctima. Después de que el académico experto en Irán mencionara conexiones dentro de Irán en la radio del ejército israelí, Thamar recibió una llamada telefónica para solicitar una entrevista con el profesor para la BBC persa. Para ver las preguntas antes de la entrevista propuesta, se le indicó a Thamar que accediera a un documento de Google Drive que solicitaba su contraseña de acceso. Al ingresar su contraseña para acceder al documento malicioso, el atacante puede usar las credenciales para realizar más ataques elevados. [37]
En Suecia, Mobile Bank ID es una aplicación telefónica (lanzada en 2011) que se utiliza para identificar a un usuario en la banca por Internet. El usuario inicia sesión en el banco en una computadora, el banco activa la aplicación del teléfono, el usuario ingresa una contraseña en el teléfono e inicia sesión. En esta estafa, actores maliciosos llamaron a personas que decían ser funcionarios del banco y afirmaron que había una problema de seguridad y le pidió a la víctima que usara su aplicación Mobile Bank ID. Luego, los estafadores pudieron iniciar sesión en la cuenta de la víctima sin que ésta proporcionara su contraseña. Luego, el estafador pudo transferir dinero desde la cuenta de la víctima. Si la víctima era cliente del banco sueco Nordea , los estafadores también podían utilizar la cuenta de la víctima directamente desde su teléfono. En 2018, la aplicación se modificó para requerir que los usuarios fotografiaran un código QR en la pantalla de su computadora. Esto asegura que el teléfono y la computadora estén ubicados, lo que ha eliminado en gran medida este tipo de fraude.
{{cite web}}: |last=tiene nombre genérico ( ayuda )