El spear phishing es una forma dirigida de phishing en la que los atacantes preparan un mensaje personalizado para una persona u organización concreta con el fin de robar credenciales o instalar malware.
Cómo funciona el spear phishing
El phishing masivo envía el mismo mensaje a millones de direcciones. El spear phishing empieza con una investigación: los atacantes usan OSINT —perfiles de LinkedIn, webs corporativas, notas de prensa, datos filtrados— para conocer nombres, cargos, proyectos y proveedores. El mensaje parece entonces un correo de trabajo normal: una factura de un socio conocido, un currículum para una vacante, un documento compartido por un compañero o una petición del director general. Cuando el objetivo es un alto directivo, se habla a menudo de whaling.
El correo puede incluir un adjunto malicioso, un enlace a una página de inicio de sesión falsa o simplemente una petición de transferir dinero o datos, como en el compromiso del correo empresarial.
Casos destacados
- RSA (2011): un archivo de Excel titulado «2011 Recruitment Plan» explotaba un fallo de día cero y llevó al robo de datos de SecurID.
- Elecciones de EE. UU. de 2016: una falsa alerta de seguridad de Google enviada a John Podesta dio a los atacantes acceso a su buzón.
Por qué es importante
El spear phishing es el método de acceso inicial preferido de los grupos APT y lo usan cada vez más las bandas de ransomware. Los mensajes personalizados son mucho más convincentes que el spam genérico, y las herramientas de IA facilitan redactarlos en cualquier idioma.
Cómo defenderse
- Formar a los empleados con ejemplos realistas y adaptados a su puesto.
- Usar MFA resistente al phishing para que una contraseña robada no baste.
- Aplicar DMARC, analizar los adjuntos en un sandbox y reescribir los enlaces.
- Verificar las peticiones inusuales por un segundo canal.
