La mitad de las organizaciones fueron víctimas de spear-phishing en 2022

Barracuda Networks ha publicado su informe de tendencias de spear-phishing 2023, que muestra que el 50% de las organizaciones estudiadas fueron víctimas de spear-phishing en 2022, y el 24% tenía al menos una cuenta de correo electrónico comprometida. La encuesta, realizada por Vanson Bourne, muestra que los ciberdelincuentes continúan bombardeando a las organizaciones con ataques dirigidos por correo electrónico, y muchas empresas están luchando para mantenerse al día. Si bien los ataques de spear-phishing son de bajo volumen, están muy extendidos y son muy exitosos en comparación con otros tipos de ataques por correo electrónico.

De acuerdo con el informe, una organización típica recibió 5 correos electrónicos de spear-phishing altamente personalizados al día. Los ataques de spear-phishing representan solo el 0,1% de todos los ataques basados en correo electrónico, según datos de Barracuda, pero son responsables del 66% de todas las infracciones. El 55% de los encuestados que experimentaron un ataque de spear-phishing informaron máquinas infectadas con malware o virus; el 49% informó que le habían robado datos confidenciales; el 48% informó haber sufrido el robo de credenciales de inicio de sesión; y el 39% reportó pérdidas monetarias directas.

De media, las organizaciones tardan casi 100 horas en identificar, responder y remediar una amenaza de correo electrónico posterior a la entrega: 43 horas para detectar el ataque y 56 horas para responder y remediar después de que se detecta el ataque.

Los usuarios de empresas con más del 50% de la fuerza laboral remota reportan niveles más altos de correos electrónicos sospechosos: 12 por día de media, en comparación con 9 por día para aquellos con menos del 50% de la fuerza laboral remota. Las empresas con más del 50% de la fuerza laboral remota también informaron que les lleva más tiempo detectar y responder a los incidentes de seguridad del correo electrónico: 55 horas para detectar y 63 horas para responder y mitigar, en comparación con un promedio de 36 horas y 51 horas, respectivamente, para las organizaciones con menos trabajadores remotos.

"A pesar de que el spear phishing es de bajo volumen, con sus tácticas de ingeniería social y dirigidas, la técnica conduce a un número desproporcionado de infracciones exitosas, y el impacto de un solo ataque exitoso puede ser devastador", señala Fleming Shi, CTO de Barracuda. "Para ayudar a mantenerse a la vanguardia de estos ataques altamente efectivos, las empresas deben invertir en soluciones de protección de adquisición de cuentas con capacidades de inteligencia artificial. Tales herramientas tendrán una eficacia mucho mayor que los mecanismos de detección basados en reglas. La eficacia mejorada en la detección ayudará a detener el spear-phishing con una respuesta reducida necesaria durante un ataque".