Vishing

 

Definición de vishing

La mayoría de las personas han oído hablar del phishing; sin embargo, aunque el vishing es un ataque diferente, está dentro de la misma clasificación que el phishing y tiene objetivos en común. Los vishers (como se conoce a los perpetradores de estas técnicas de vishing) usan números telefónicos fraudulentos, software de modificación de voz, mensajes de texto e ingeniería social para convencer a los usuarios de que divulguen información delicada. En el vishing generalmente se usa la voz para engañar a los usuarios. (el smishing, otra forma de phishing que usa mensajes de texto SMS para engañar a los usuarios, se suele emplear en paralelo con llamadas de voz dependiendo de los métodos del atacante).

¿Cuál es la diferencia entre vishing y phishing?

El phishing y el vishing persiguen el mismo objetivo: obtener información delicada de usuarios que podría usarse para robo de identidad, obtener beneficios financieros o apoderarse de cuentas. La diferencia principal entre el phishing y el vishing es el medio que se emplea para identificar a las potenciales víctimas. Si bien el phishing es un ataque basado principalmente en correo electrónico, el vishing emplea la voz, típicamente mediante llamadas al móvil de un usuario.

Tanto los vishers como los phishers envían mensajes a sus potenciales víctimas, típicamente de manera masiva. Los atacantes de phishing envían una gran cantidad de mensajes de correo electrónico a una lista de potenciales objetivos. Si el atacante se enfoca en una organización específica, es posible que solo utilice una lista de direcciones de correo electrónico de usuarios con altos privilegios de la empresa objetivo. Los phishers (como se les llama a los perpetradores de estos ataques) suelen usar mensajes de correo electrónico muy apremiantes para convencer a los usuarios de que les respondan con información delicada, o para que cliquen en un enlace donde está alojado el malware. Los archivos adjuntos malintencionados también se usan en algunos ataques de phishing.

¿Cuál es la diferencia entre vishing y smishing?

El smishing es un ataque estrechamente relacionado que también usa números de teléfonos móviles. Pero en vez de un correo de voz, el smishing emplea mensajes de texto para engañar a los usuarios. Estos mensajes pueden contener un número telefónico al que el usuario objetivo debe llamar, o un enlace a una web controlada por el atacante en la cual hay malware alojado, o una página de phishing.

El smishing se basa principalmente en que los usuarios confíen en mensajes de texto. Estos mensajes suelen prometer premios en metálico, cupones o amenazar con cancelar cuentas si el usuario no autentica y restablece sus credenciales. Como los mensajes de texto son más informarles, las víctimas podrían confiar en mensajes de texto más que en correos electrónicos sospechosos.

Existe una gran superposición entre el smishing y el vishing. Un ataque de vishing también podría comenzar con un mensaje de texto y contener un número telefónico al que se les pide a los usuarios que llamen, pero los ataques de vishing también podrían usar mensajes automatizados y llamadas robotizadas. El smishing también puede incluir un número telefónico en un mensaje de texto, pero muchos ataques se enfocan principalmente en convencer a los usuarios de que cliquen en enlaces y abran una página.

Los estafadores emplean tácticas de intimidación para convencer a los usuarios de que hagan una llamada telefónica. En este mensaje, el atacante simula trabajar para el IRS. La mayoría de los usuarios temen a las multas y penalizaciones del IRS (que es como se llama el departamento de Hacienda de los EE. UU.), así que a cualquier usuario que llame a este número telefónico se le dice que debe dinero. El atacante convence al usuario objetivo que pague con su tarjeta de crédito o que transfiera dinero directamente desde la cuenta del usuario objetivo. Las estafas con el IRS son uno de los ataques más comunes para los usuarios en los EE. UU.