¿Qué es el vishing y qué hay detrás de su aumento ?

¿Qué es vishing?

Vishing es un tipo de estafa que se origina de la combinación de dos palabras: “voice” y “phishing”, y es una amenaza en la que un ciberdelincuente utiliza datos previamente obtenidos en internet para realizar una llamada telefónica fraudulenta con el fin de engañar al usuario y robar información sensible.

No es una pieza de malware de IA de vanguardia ni una vulnerabilidad de ejecución remota de código todopoderosa .

Es una simple llamada telefónica.

“Hacemos campañas de ingeniería social para nuestros clientes cuyo objetivo es llamar a su help desk y ver si podemos suplantar a un empleado para restablecer su contraseña”, explica Carruthers. “Hasta la fecha, hemos tenido éxito cada vez que lo hemos hecho”. 

Como miembro del equipo X-Force de IBM, Carruthers utiliza sus poderes para el bien, lanzando ataques simulados para ayudar a los clientes a identificar y abordar los fallos de seguridad. 

Pero muchos hackers maliciosos también se han subido al carro del vishing o “voice phishing” en los últimos meses. Las estafas de vishing, que utilizan llamadas telefónicas fraudulentas para engañar a las personas para que compartan información confidencial, descarguen malware o envíen dinero a delincuentes, aumentaron en un 442 % en 2024, según un informe reciente de CrowdStrike. 

Carruthers y otros Expertos en ciberseguridad esperan que las instancias de vishing Continuar aumentando a medida que los actores de amenazas buscan formas de eludir los estrictos controles de seguridad de las organizaciones.

Como dice Carruthers, “es mucho más fácil filtrar un correo electrónico que evitar que alguien conteste el teléfono”. 

En el mundo de la ciberseguridad, los atacantes y defensores han estado atrapados durante mucho tiempo en una carrera armamentista. Los atacantes identifican una vulnerabilidad y la explotan. Los defensores corrigen la vulnerabilidad y fortalecen las protecciones para evitar ataques similares en el futuro. Enjuague y repita.

Pero a medida que las soluciones de seguridad se vuelven más avanzadas y las prácticas de seguridad más refinadas, a los piratas informáticos les resulta cada vez más difícil encontrar fallas explotables en primer lugar. 

En respuesta, muchos atacantes centraron su atención en objetivos menos fáciles de solucionar: las personas.

Según el IBM X-Force Threat Intelligence Index, el phishing y el abuso de cuentas de usuario válidas son dos de las tres formas más comunes en que los delincuentes cibernéticos irrumpen en las redes de las empresas en la actualidad. 

Al secuestrar cuentas legítimas, los atacantes pueden hacerse pasar por usuarios reales, eludiendo muchas medidas de seguridad a medida que se mueven lateralmente y escalan privilegios. 

Y si bien los correos electrónicos y los mensajes de texto alguna vez fueron los modos predeterminados de los phishers en todas partes, estos métodos dan mucho menos frutos en la era de los filtros avanzados de spam. 

Las llamadas telefónicas son una historia diferente. 

"Si observamos muchas filtraciones de datos importantes ahora, veremos que en realidad fue una llamada telefónica lo que inició la filtración", dice Carruthers. “Alguien que se hizo pasar por un empleado llamó al help desk para restablecer la contraseña de una cuenta. Ahora tienen el control de esa cuenta y pueden ingresar a muchos sistemas”. 

Los proveedores de servicios han implementado filtros de llamadas no deseadas para ayudar a combatir las estafas telefónicas, pero no son tan confiables como los filtros de correo electrónico y mensajes de texto. 

Además, gracias a la popularidad de los programas de bring your own device (BYOD), los empleados a menudo usan teléfonos inteligentes personales para tareas comerciales. Las organizaciones a menudo tienen mucho menos control sobre la seguridad de estos dispositivos que sobre las cuentas de correo electrónico corporativas, por ejemplo.

Pero quizás lo más peligroso del vishing es que, cuando la víctima responde a una llamada, hay poco que alguien más pueda hacer para intervenir. 

Una conversación telefónica no ofrece las oportunidades de escrutinio sin prisas que podría ofrecer un correo electrónico. Los estafadores emplean este hecho a su favor, aumentando el sentido de urgencia y bombardeando a la víctima con preguntas e información. La víctima no tiene espacio para detenerse y Think sobre si todo cuadra.

Todos estos factores hacen que el vishing sea notablemente eficaz. Carruthers conoce este hecho de primera mano, tanto por su tiempo como hacker de personas como por ser una de las facilitadoras de la Social Engineering Community Vishing Competition (SECVC) en DEF CON.

La competencia enfrenta a 14 equipos entre sí para ver quién puede completar la mayor cantidad de objetivos durante una llamada de vishing en tiempo real realizada desde una cabina insonorizada frente a una audiencia. 

"El propósito no es decir: 'Miren lo buenos que somos en esto de la ingeniería social'", explica Carruthers. "Es para mostrar cuán frecuente es la ingeniería social y cómo sucede realmente. Mucha gente Think que es solo basado en el correo electrónico. Se olvidan de las llamadas telefónicas y de lo increíblemente exitosos que son”.

En la competencia más reciente, dice Carruthers, cada equipo cumplió al menos algunos de sus objetivos, lo que significa que extrajo algún tipo de información o hizo que las personas tomaran medidas arriesgadas.  

En otras palabras: Las estafas de vishing parecen obtener siempre algo de sus objetivos. Las contramedidas de nadie son perfectas. 

Como miembro de X-Force, Carruthers ayudó a muchas organizaciones a renovar su formación de concientización en materia de seguridad. Según su experiencia, la mayoría de los programas de formación no cubren en absoluto las estafas de vishing. Cuando lo hacen, se detienen en consejos de alto nivel como "No indique su contraseña por teléfono".

"Tenemos trucos para evitar eso", dice Carruthers. “No voy a pedir su contraseña por teléfono. Voy a decir: 'Vaya a este sitio web e ingrese su nombre de usuario y contraseña. No me lo des. Eso no es seguro'”.

Por supuesto, es un sitio web que Carruthers o peor, un verdadero actor de amenazas controla, y ahora tienen tus credenciales.

Si bien las llamadas telefónicas pueden ser un método de baja tecnología para los hackers, algunas de las formas en que usan las llamadas telefónicas son decididamente futuristas. 

Con el nacimiento de las herramientas de inteligencia artificial (IA) que pueden generar videos y voces humanas, los estafadores pueden crear deepfakes convincentes de personas reales, lo que lleva a ataques altamente dirigidos.

"Tal vez esté acostumbrado a ver un mensaje de video semanal de su director ejecutivo (CEO)", dice Carruthers. “Ahora, los hackers pueden hacer su propia versión de ese mensaje semanal, pidiéndole que haga algo específico. ¿Lo reconocería?”

El verano pasado, unos estafadores intentaron engañar a un investigador de seguridad de Palo Alto Networks utilizando la IA para imitar la voz de su hija. 

A medida que la IA generativa evoluciona, a algunos les preocupa que, en el peor de los casos, pueda conducir a operaciones de vishing autónomas y escalables de forma masiva. 

Es especulación, pero está basada en hechos. La propia Carruthers se enfrentó a un estafador impulsado por IA y ganó, pero por poco.

En la DEF CON del año pasado, Carruthers y su colega representaron a los humanos en la competencia inaugural John Henry, llamada así en honor al héroe popular estadounidense que venció a un taladro de roca impulsado a vapor en una competencia de perforación de acero. Su oponente: un chatbot de IA con capacidades de síntesis de voz diseñado específicamente para esquemas de phishing.

El objetivo de la competencia era ver quién podía anotar más puntos en una serie de llamadas de vishing en vivo. 

"Entré realmente engreído", recuerda Carruthers. “Pensé: 'Vamos a ganar, sin duda. Es probable que la voz de la IA empiece a titubear o a hacer preguntas extrañas. Algo va a salir mal'”.

Y algo salió mal, para Carruthers, no para el bot.

"Cuando escuché que comenzó a hacer llamadas, dije: 'Oh, no'", dice. 

El chatbot, en sus palabras, lo hizo "fantásticamente", empleando diferentes tácticas y voces para diferentes llamadas. Era capaz de recopilar información sobre los sistemas de las personas e incluso convencerlas para que realizaran acciones como visitar determinados sitios web.

“Piénsalo desde el punto de vista del operador humano”, dice Carruthers. “Si puedes dar un paso atrás y dejar que la computadora haga todo esto por ti, es bastante aterrador”. 

Como en el cuento de John Henry, los humanos ganaron, aunque no por mucho. (Y donde el mítico Henry murió de esfuerzo tras vencer al taladro automático, Carruthers y su colega siguen muy vivos).

Pero es posible que no sigan ganando para siempre.

"Supongo que si continuamos con este proceso año tras año, llegará un momento en que la IA superará a los humanos", afirma Carruthers.

Con la previsión de que el número de incidentes de vishing siga aumentando, las organizaciones necesitan reforzar sus defensas. Dada la naturaleza del vishing, la atención debe centrarse en equipar a los empleados individuales para que detecten y respondan mejor a las llamadas fraudulentas.

“Los atacantes confían en que actúes rápido”, dice Carruthers. “Así que realmente ralentizar y evaluar tanto como sea posible cualquier tipo de comunicación que obtengas”.

Las llamadas de vishing a menudo se presentan como asuntos urgentes que la víctima debe abordar rápidamente, o de lo contrario... Como señala Carruthers, las compañías legítimas, incluso las que presionan, pueden esperar normalmente a ser verificadas. 

Ningún proveedor cancelará su cuenta si no paga en los próximos cinco minutos. El director ejecutivo (CEO) nunca necesitará las tarjetas de regalo de Amazon tan mal que no pueda pedir más detalles. 

Hablando de verificación: la llegada de la clonación de IA hizo que la verificación basada en la voz sea prácticamente inútil. 

“Supongamos que recibo una llamada telefónica de alguien que dice que es mi abuela”, explica Carruthers. “El número es correcto. Incluso suena como ella. Pero algo no cuadra. Dice que necesita ayuda y quiere que le transfiera dinero. ¿Qué hago?

Carruthers recomienda establecer palabras clave con personas, incluidos amigos o familiares. No tiene que ser un código de acceso formal. Puede ser información personal que solo la persona real conocería, como un libro que te recomendó recientemente. (Un ejecutivo de Ferrari frustró una estafa de vishing de IA el año pasado utilizando exactamente esta táctica ).

Los equipos de seguridad empresarial no pueden confiar en que cada empleado tenga una relación personal lo suficientemente estrecha como para que la verificación por recomendación funcione a escala. Pero las organizaciones pueden crear procesos de Verify multicapa que empleen múltiples puntos de prueba para Verify la identidad de las personas que llaman para cualquier solicitud, desde restablecer una contraseña hasta pagar una factura.

"Cuantas más capas podamos usar para Verify a alguien, mejor", dice Carruthers. "Y no use cosas que se puedan encontrar o falsificar fácilmente, como una voz o una fecha de nacimiento o la calle en la que alguien creció".

Los factores únicos y difíciles de fabricar que Carruthers ha observado incluyen la rotación de palabras clave de la empresa, hacer que los gerentes de las personas respondan por ellas y enviar contraseñas de un solo uso a dispositivos prerregistrados.

(La preinscripción es importante. De lo contrario, los estafadores pueden simplemente proporcionar un número que controlen).

Independientemente de los factores que utilice una organización, debe utilizar más de uno.

“Con un cliente que usaba una palabra de código rotativa de la empresa, pudimos diseñar social la palabra de alguien, así que no terminó deteniéndonos”, dice Carruthers. “Por eso soy tan fan de tener múltiples cosas en su lugar”.