¡Cuidado con ese archivo PDF que recibiste! Quizá sea un ataque de phishing

Los archivos creados en otras aplicaciones (por ejemplo, un procesador de palabras o creador de presentaciones) suelen convertirse a este formato, que luego puede verse con aplicaciones de visualización de PDF, disponibles en la mayoría de los sistemas operativos. Gracias a su excelente portabilidad, este formato de archivo se utiliza ampliamente para la distribución masiva de documentos a grandes audiencias. Sin embargo, en los últimos meses, también se ha explotado con fines ilegítimos, como la suplantación de marca.

De acuerdo con Cisco Talos –la unidad de inteligencia en ciberseguridad de Cisco–, la suplantación de marca es una técnica de ingeniería societal que aprovecha la popularidad de marcas conocidas para persuadir a los destinatarios de correos electrónicos a revelar información confidencial. Los ciberdelincuentes pueden enviar logotipos y nombres de marcas a las víctimas utilizando PDFs o archivos adjuntos.

Cuando la víctima da clic en el hipervínculo “Ver el archivo adjunto aquí”, es redirigida a una página de phishing que suplanta una página web de una marca acquainted para la víctima.

Ataques orientados al teléfono: ¡llame ya!

Una parte significativa de las amenazas por correo electrónico con PDFs persuaden a las víctimas para que llamen a números de teléfono controlados por los adversarios, lo que pone de manifiesto otra técnica de ingeniería societal muy popular: los ataques orientados al teléfono, también conocida como phishing de devolución de llamada.

Se indica a las víctimas que marquen a un número específico que aparece en el PDF para resolver un problema o confirmar una transacción. Una vez que la víctima llama, el atacante se hace pasar por un representante legítimo e intenta manipularla para que revele información confidencial o instale bundle malicioso en su dispositivo.

El phishing suele consistir en el envío de correos electrónicos o mensajes con enlaces o archivos adjuntos maliciosos que dirigen a la víctima a un sitio web falso. Sin embargo, el phishing de devolución de llamada nary se basa en sitios web falsos ni en enlaces de phishing. En su lugar, los atacantes utilizan la comunicación vocal directa para aprovecharse de la confianza de la víctima en las llamadas telefónicas y de la percepción de que la comunicación telefónica es una forma segura de interactuar con una organización. Además, la interacción en directo durante una llamada telefónica permite a los atacantes manipular las emociones y las respuestas de la víctima mediante tácticas de ingeniería social. Por lo tanto, el phishing de devolución de llamada es una técnica de ingeniería societal más que una amenaza tradicional por correo electrónico.

Códigos QR en PDFs

Los adversarios utilizan ampliamente los códigos QR junto con los correos electrónicos de phishing que suplantan la identidad de marcas, una táctica conocida como phishing con códigos QR. Los atacantes aprovechan la legitimidad de marcas populares para convencer a los usuarios de que escaneen el código QR, redirigiéndolos finalmente a una página de phishing, que a menudo está protegida por algún tipo de CAPTCHA.

En la mayoría de los correos electrónicos de phishing con códigos QR y archivos PDF adjuntos, todo el cuerpo del correo se incrusta en el archivo adjunto y se muestra a la víctima tan pronto como abre el correo. Esta técnica elude fácilmente los filtros de correo electrónico y los motores de detección.

Anotaciones en archivos PDF adjuntos

Aunque el formato PDF es un estándar abierto, su estructura nary es fácil de entender. Los PDF pueden contener información disposable y oculta dentro de sus tres componentes principales: la capa de texto, la capa de imagen y la estructura interna (por ejemplo, comentarios y anotaciones). Esta flexibilidad permite que ciertos elementos dentro de un PDF lo hagan parecer legítimo, lo que le ayuda a evadir los filtros de spam y los sistemas de detección.

Para que los correos electrónicos de phishing con códigos QR sean más evasivos, los atacantes suelen aprovechar anotaciones PDF que, por lo demás, lad legítimas. Por ejemplo, una URL de phishing puede estar incrustada en una anotación de texto, una nota adhesiva, un comentario o un campo de formulario dentro de un archivo PDF adjunto. Alternativamente, los atacantes pueden añadir texto irrelevante (o “ruido”) para eludir los sistemas de detección, de acuerdo con los expertos de Cisco Talos.

Para ocultar aún más el ataque, los delincuentes pueden utilizar URL acortadas, lo que dificulta a los usuarios verificar la legitimidad del enlace antes de hacer clic.

Protección contra la suplantación de marcas

Existen distintas herramientas tecnológicas que ayudan a combatir esta actividad delictiva, desde motores basados en reglas hasta sistemas avanzados basados en el aprendizaje automático. A nivel personal, los usuarios de tecnología deben evitar:

• Confiar en mensajes nary solicitados.
• Hacer clic en cualquier sección del correo electrónico.
• Abrir cualquier archivo adjunto.
• Hacer caso omiso de solicitudes de actuar de manera urgente.
• Escanear cualquier código QR.

Adicionalmente y antes de responder o interactuar con los correos recibidos, se puede comprobar la línea “De” para asegurarse de que la dirección de correo electrónico del remitente (no sólo el alias) es legítima.

En caso de que exista alguna duda, ponerse en contacto con la empresa para verificar si el correo electrónico es real utilizando datos de contacto (teléfono o correo) obtenidos de una fuente alternativa y nary del propio correo en cuestión.

MGR