¿Qué es el 'doxing' y cómo gana terrero como vía de ataque a las empresas?

Recomendados:  Los desastres ocurren... ¿tienes un plan de continuidad de negocio? Webinar Securizando el acceso a organizaciones en cualquier lugar Webinar

Según los investigadores de Kaspersky, La proliferación de información disponible públicamente, las filtraciones de datos y el avance de la tecnología hacen que cada vez sea más fácil engañar a los empleados para que den información confidencial o transfieran fondos. Por eso, la firma ha alertado sobre el riesgo que supone el doxing corporativo, ya que puede conllevar “pérdidas económicas y reputacionales significativas”, ha subrayado.

Uno de los métodos utilizados para el doxing son los ataques en los que se compromete el correo electrónico empresarial (BEC por sus siglas en inglés). En este tipo de ataques dirigidos los delincuentes inician cadenas de correos electrónicos con los empleados haciéndose pasar por alguien de la empresa. En febrero de 2021, Kaspersky detectó 1.646 ataques de este tipo, lo que pone de manifiesto la vulnerabilidad de las organizaciones a la hora de explotar la información disponible públicamente. Por lo general, el objetivo de estos ataques es extraer información confidencial, tales como bases de datos de clientes, o robar fondos. Por ejemplo, Kaspersky analiza regularmente ataques en los que un delincuente se hace pasar por un empleado de la organización objetivo utilizando un correo electrónico muy similar al real, con el objetivo de extraer fondos.

Estos ataques no serían posibles a escala masiva sin que los delincuentes recopilaran y analizaran la información pública disponible en las redes sociales y otros medios, como los nombres y cargos de los empleados, dónde viven, sus períodos de vacaciones o sus contactos.

Sin embargo, los ataques BEC son sólo un tipo de ataque que aprovecha la información disponible públicamente para perjudicar a una organización. La diversidad de formas en que las organizaciones pueden ser objeto de doxing es asombrosa y, además de los métodos más obvios como el phishing o la recopilación de perfiles sobre las organizaciones mediante la filtración de datos, incluye enfoques más creativos y basados en la tecnología.

Tal vez una de las estrategias de doxing corporativo más de moda sea el robo de identidad. Por regla general, los doxers se basan en la información para hacer el perfil de un empleado concreto y luego explotar su identidad. Las nuevas tecnologías, como los deepfakes, facilitan la ejecución de este tipo de iniciativas siempre que haya datos públicos para empezar. Por ejemplo, un vídeo deepfake que haga creer que un empleado de una organización podría dañar la reputación de la empresa. Los doxers sólo necesitarían para crearlo una imagen del empleado objetivo e información personal básica. También se pueden aprovechar las voces: un portavoz de alto nivel que habla en la radio o en algún podcast podría acabar con su voz grabada y luego imitada, por ejemplo, en una llamada a contabilidad solicitando una transferencia bancaria urgente o pidiendo que le envíen la base de datos de clientes.

Esta amenaza podría evitarse o, al menos, minimizarse significativamente con procedimientos de seguridad sólidos dentro de una organización, y estas son su recomendaciones para conseguirlo:

- Establecer como norma no hablar nunca de asuntos relacionados con el trabajo mediante canales de mensajería que no sean los oficiales de la empresa, y formar a sus empleados para que la cumplan estrictamente.
- Ayudar a los empleados a estar más informados y concienciados sobre los problemas de ciberseguridad. Esta es la única manera de contrarrestar eficazmente las técnicas de ingeniería social que utilizan agresivamente los ciberdelincuentes..
- Educar a los empleados sobre las ciberamenazas básicas. Un empleado que esté bien versado en temas de ciberseguridad podrá frustrar un ataque. Por ejemplo, si recibe un correo electrónico de un compañero solicitando información, sabrá que primero debe llamarlo para confirmar que realmente envió el mensaje.
- Utilizar tecnologías antispam y antiphishing como las que aportan algunas de sus soluciones para empresas: Kaspersky Security for Microsoft Exchange Servers, Kaspersky Security for Linux Mail Server, Kaspersky Secure Mail Gateway, Kaspersky Security for Microsoft Office 365.