¿Qué es un ataque de suplantación de identidad? Tipos, riesgos y prevención

Un ataque de suplantación consiste en hacer que algo malicioso parezca legítimo. Un atacante puede suplantar la identidad del remitente de un correo electrónico, de un sitio web, del identificador de llamada, de una dirección IP, de un registro DNS o de una identidad de confianza para que una persona o un sistema baje la guardia. 

Para las organizaciones, la suplantación de identidad resulta especialmente peligrosa, ya que suele ser el punto de partida de amenazas cibernéticas más graves, como el phishing, la distribución de malware , el acceso no autorizado, el robo de identidad y el fraude en los pagos.

¿Qué es un ataque de suplantación de identidad?

Un ataque de suplantación de identidad es un ciberataque en el que un atacante oculta su identidad o su origen para que algo parezca fiable. Ese «algo» puede ser un correo electrónico, una página web, una llamada telefónica, una solicitud de conexión a la red, un dispositivo o una cuenta. En lugar de forzar la entrada, el atacante crea una falsa sensación de legitimidad para que la víctima crea que la interacción procede de una fuente conocida o autorizada.

La suplantación de identidad funciona porque tanto las personas como los sistemas suelen basarse en señales de confianza que les resultan familiares. Una marca conocida, una página de inicio de sesión realista, un número de teléfono que parezca local o un dominio muy similar a uno auténtico pueden hacer que el ataque resulte creíble a primera vista.

La cuestión fundamental es la falsa legitimidad, no el canal concreto que se utilice. Una vez que se ha ganado su confianza, los atacantes pueden presionar a la víctima para que haga clic en un enlace malicioso, facilite sus credenciales, autorice un pago, descargue software malicioso o permita una conexión que debería haberse bloqueado.

¿Cómo funciona un ataque de suplantación de identidad?

Los ataques de suplantación varían según el canal, pero la mayoría siguen el mismo patrón básico. El atacante elige algo en lo que la víctima probablemente confíe y, a continuación, manipula la comunicación o la señal técnica para que parezca legítima.

• Seleccionar una identidad de confianza: el atacante elige una persona, una marca, un dominio, un número, un sitio web o un sistema que la víctima reconozca. Podría tratarse de un directivo, un proveedor, un banco, un servicio de reparto, una plataforma informática o una aplicación interna.
• Preparación del canal falsificado: El atacante crea o manipula el correo electrónico, el sitio web, el identificador de llamada, el remitente del SMS, la dirección IP, el registro DNS, el perfil o el tráfico de red para que parezca legítimo.
• Enviar el mensaje o la señal engañosa: el correo electrónico, la llamada, el mensaje de texto, la página web o el tráfico de red falsificados llegan al destinatario. El objetivo es superar la desconfianza el tiempo suficiente para influir en la siguiente acción.
• Acción inmediata: El atacante incita a la víctima a hacer clic, iniciar sesión, compartir datos, autorizar un pago, descargar un archivo, restablecer sus credenciales o confiar en la conexión.
• Aprovechar el resultado: una vez que la víctima actúa, el atacante puede sustraer datos, capturar credenciales, desviar fondos, instalar malware, obtener acceso no autorizado o adentrarse aún más en el entorno.

Por este motivo, la suplantación de identidad suele ir acompañada de prácticas como el phishing, el spear phishing, la distribución de malware y el acceso no autorizado a cuentas. La identidad falsificada hace que la víctima confíe en la interacción. El siguiente paso es provocar el daño.

¿Cuáles son los tipos más comunes de ataques de suplantación de identidad?

Los ataques de suplantación de identidad pueden dirigirse contra personas, aplicaciones, redes, sitios web y sistemas de identidad. Algunos son de carácter técnico, mientras que otros están diseñados para parecer normales a los ojos de los usuarios habituales. Estos son los tipos más habituales que las organizaciones deben conocer.

Suplantación de identidad en el correo electrónico

La suplantación de identidad en el correo electrónico consiste en utilizar datos de remitente falsificados o imitados para que un mensaje parezca proceder de una persona, una marca o un dominio de confianza. Los atacantes suelen utilizarlo en campañas de phishing, business email compromise, suplantación de proveedores y spear phishing para inducir a los usuarios a hacer clic en un enlace malicioso, abrir un archivo adjunto, realizar una solicitud de pago o restablecer sus credenciales.

Suplantación de sitios web

Los sitios web falsos están diseñados para parecerse a páginas de inicio de sesión auténticas, portales bancarios, formularios de pago, aplicaciones en la nube o herramientas empresariales. Los atacantes recurren a la suplantación de sitios web y de direcciones URL para sustraer credenciales, datos de pago, información personal o datos de sesión a los usuarios que creen estar en un sitio web legítimo.

Falsificación del identificador de llamadas

Mediante la suplantación del identificador de llamadas, los atacantes falsifican un número de teléfono para que parezca que la llamada procede de una empresa conocida, un organismo público, un banco, un número local o un contacto interno. Estas llamadas falsificadas suelen servir de apoyo a la ingeniería social, al presionar a la persona a la que van dirigidas para que facilite información, apruebe una solicitud o confíe en la identidad de la persona que llama.

Suplantación de identidad en mensajes SMS

La suplantación de identidad en los mensajes de texto consiste en manipular los datos del remitente para hacerse pasar por un banco, un servicio de mensajería, una empresa, un centro sanitario u otra fuente de confianza. Estos mensajes suelen utilizar un lenguaje que transmite urgencia e incluyen enlaces a sitios web maliciosos, como alertas de entrega falsas, avisos de bloqueo de cuentas o solicitudes de verificación.

Falsificación de la señal del GPS

Los sistemas basados en la localización pueden ser engañados cuando los atacantes falsifican los datos del GPS y hacen que un dispositivo, una aplicación, un vehículo o un activo parezca encontrarse en un lugar en el que no está. En entornos empresariales, la suplantación de GPS puede afectar al seguimiento de flotas, a los flujos de trabajo logísticos, a los controles de acceso móvil, a los drones y a los sistemas que dependen de la ubicación por motivos de seguridad o de cumplimiento normativo.

Ataque de «hombre en medio»

En un ataque de «hombre en el medio», los atacantes interceptan de forma encubierta la comunicación entre dos partes, mientras que ambas creen que la conexión es privada. Esto puede incluir redes Wi-Fi falsas, manipulación del DNS, conexiones falsificadas o uso indebido de certificados para leer, alterar o sustraer credenciales, datos financieros o información confidencial.

Suplantación de extensión

Los navegadores o las extensiones de software pueden ser falsificados para que parezcan herramientas de productividad de confianza, visores de documentos, complementos de seguridad o complementos empresariales. Una vez instalada, una extensión maliciosa puede capturar datos, supervisar la actividad, inyectar código, alterar páginas web o sustraer credenciales de los flujos de trabajo que se realizan a través del navegador.

Falsificación de direcciones IP

La suplantación de IP consiste en falsificar una dirección IP para que el tráfico de red parezca proceder de una fuente fiable. Los atacantes lo utilizan para ocultar su actividad, eludir filtros, aprovecharse indebidamente de las reglas de red basadas en la confianza o facilitar ataques de mayor envergadura, como las campañas DDoS, en las que las direcciones de origen falsificadas dificultan el rastreo del tráfico.

Suplantación facial

La suplantación facial consiste en utilizar imágenes, vídeos, máscaras o tecnología «deepfake» falsos para imitar el rostro de una persona real. Esto puede suponer un riesgo para la autenticación biométrica, la recuperación de cuentas, la alta remota, los servicios financieros y otros procesos que se basan en la verificación facial para confirmar la identidad.

Suplantación de identidad en redes sociales o perfiles

En las redes sociales, los atacantes crean perfiles falsos o se hacen pasar por personas reales para ganarse la confianza de los usuarios, recabar información, difundir estafas de phishing o facilitar el fraude. Estos perfiles pueden hacerse pasar por directivos, responsables de selección de personal, proveedores, compañeros de trabajo o representantes del servicio de atención al cliente antes de ponerse en contacto con la víctima por correo electrónico, teléfono o SMS.

Suplantación de DNS

La suplantación de DNS consiste en manipular las respuestas o los registros del DNS para redirigir a los usuarios desde un dominio legítimo a un destino fraudulento. En el envenenamiento de la caché DNS, se inserta información DNS falsa en la caché de un resolutor, de modo que, aunque un usuario introduzca la dirección correcta, puede acabar accediendo a un sitio web malicioso.

Suplantación de ARP

La suplantación de ARP, también denominada «envenenamiento de ARP», se produce cuando los atacantes envían mensajes falsos del Protocolo de Resolución de Direcciones en una red local. Esto puede vincular el dispositivo del atacante a una dirección IP de confianza, lo que permite interceptar, redirigir o supervisar el tráfico con el fin de detectar actividades de tipo «hombre en el medio».

Suplantación de direcciones MAC

La suplantación de direcciones MAC se produce cuando un atacante modifica la dirección MAC (Media Access Control) de un dispositivo para hacerse pasar por otro dispositivo de la red. Esto puede ayudar a los atacantes a eludir las normas de acceso basadas en dispositivos, ocultar actividades maliciosas o hacer que un dispositivo no autorizado parezca fiable.

¿Qué es la suplantación de identidad potenciada por IA?

La suplantación de identidad potenciada por IA utiliza la inteligencia artificial para que la suplantación resulte más realista, escalable y personalizada. Los atacantes pueden utilizar texto generado por IA, perfiles sintéticos, audio «deepfake», vídeo «deepfake» e imágenes realistas para suplantar a personas, marcas, proveedores o directivos de confianza.

Esto aumenta la calidad de los intentos de suplantación de identidad. Por ejemplo, un correo electrónico de phishing que antes presentaba errores gramaticales evidentes puede parecer ahora muy pulido y adaptado a un perfil concreto. Un mensaje falso de un proveedor puede imitar el tono de las comunicaciones comerciales anteriores, mientras que una llamada de voz «deepfake» puede imitar a un directivo con suficiente realismo como para presionar a un empleado para que apruebe un pago o facilite información.

La IA no crea por sí sola una nueva categoría de suplantación de identidad. Esto hace que los ataques de suplantación de identidad ya existentes resulten más convincentes y sean más fáciles de ampliar, desde participantes falsos en videoconferencias y perfiles sintéticos de reclutadores hasta mensajes personalizados de spear phishing. Esto supone una mayor presión para las operaciones de seguridad y los programas de sensibilización de los empleados.

¿Cómo pueden las organizaciones detectar un ataque de suplantación de identidad?

Para detectar un ataque de suplantación de identidad es necesario tanto un seguimiento técnico como la concienciación de los usuarios. Algunas señales de alerta son visibles para los empleados, mientras que otras requieren herramientas de seguridad capaces de inspeccionar el tráfico, la autenticación de mensajes, el comportamiento del remitente, los enlaces, los archivos adjuntos y la actividad de inicio de sesión.

• Incoherencias en la dirección del remitente: compruebe si hay nombres de usuario que le resulten familiares, pero que utilicen direcciones de correo electrónico inusuales, con errores ortográficos o ligeramente modificadas. El hecho de que un nombre le resulte familiar no significa necesariamente que el remitente sea legítimo.
• Discrepancias en la dirección de respuesta: preste atención a los correos electrónicos en los que las respuestas se envían a una dirección distinta a la del remitente que aparece en pantalla. Este es un indicio habitual de suplantación de identidad y falsificación de correos electrónicos.
• Archivos adjuntos inesperados: Considere sospechosos los archivos que reciba de forma inesperada, especialmente si el mensaje insta al usuario a abrirlos rápidamente. Los archivos adjuntos pueden contener malware o dar lugar al robo de credenciales.
• Enlaces sospechosos: Pase el cursor por encima de los enlaces o compruebe las URL antes de hacer clic. Un enlace puede parecer que remite a una marca de confianza, pero en realidad puede llevar a un sitio web malicioso, a un dominio recién registrado o a una página destinada a el robo de credenciales.
• Solicitudes para eludir el proceso: Remita a un nivel superior los mensajes en los que se pida a los usuarios que se salten las aprobaciones, ignoren los pasos de seguridad, mantengan la solicitud en secreto o cambien a un nuevo canal de comunicación.
• Patrones de inicio de sesión anómalos: señale los desplazamientos imposibles, los dispositivos desconocidos, las ubicaciones geográficas inusuales, las rachas de intentos fallidos de inicio de sesión o los intentos de acceso que se desvíen del comportamiento habitual del usuario.
• Tráfico de red inusual: Esté atento a flujos de tráfico inesperados, direcciones de origen falsificadas, actividad DNS anómala, envenenamiento de ARP, conexiones sospechosas entre sistemas o patrones de tráfico relacionados con un ataque de suplantación de IP.

Los programas de detección más eficaces combinan las notificaciones de los empleados con controles automatizados. Los usuarios pueden identificar elementos contextuales que las herramientas pueden pasar por alto, mientras que los sistemas de seguridad pueden detectar señales técnicas que los usuarios no pueden percibir.

¿Cómo pueden las organizaciones prevenir los ataques de suplantación de identidad?

Las organizaciones previenen los ataques de suplantación de identidad dificultando la suplantación, limitando los daños cuando se abusa de la confianza y proporcionando a los empleados métodos claros para verificar las solicitudes inusuales. No existe un único mecanismo de control que impida todos los intentos de suplantación de identidad, pero las defensas en varias capas reducen la probabilidad de que una identidad suplantada dé lugar a una filtración de datos.

Reforzar la autenticación del correo electrónico

Los protocolos SPF, DKIM y DMARC dificultan la suplantación de dominios, ya que ayudan a los sistemas de correo receptores a verificar si un mensaje que afirma proceder de un dominio está autorizado. DMARC reviste especial importancia, ya que permite a los propietarios de dominios establecer normas para los mensajes que no superan la autenticación, lo que puede reducir el número de correos electrónicos falsificados que hacen uso indebido del propio dominio de la organización.

Utilice la autenticación multifactorial (MFA) y los controles de acceso adaptativos

La autenticación multifactorial reduce la utilidad de las credenciales robadas en caso de que un ataque de suplantación de identidad dé lugar al robo de dichas credenciales. Los controles de acceso adaptativos añaden una capa adicional al analizar señales como el dispositivo, la ubicación, el comportamiento de inicio de sesión y el contexto del usuario, lo que ayuda a los equipos de seguridad a reaccionar cuando los patrones de acceso parecen anómalos.

Supervisar dominios e intentos de suplantación de identidad

La supervisión de dominios permite identificar dominios similares, registros sospechosos e intentos de suplantación de identidad antes de que se utilicen en ataques. La detección de suplantación de identidad también puede señalar el uso indebido de nombres de usuario, la imitación de marcas, la suplantación de proveedores y la suplantación de directivos en el correo electrónico y otros canales de comunicación relacionados.

Revise los enlaces y los archivos adjuntos

La protección de URL ayuda a detectar enlaces maliciosos, dominios recién registrados, redireccionamientos sospechosos y páginas destinadas a la recopilación de credenciales antes de que los usuarios hagan clic en ellos. El análisis de archivos adjuntos ofrece protección frente al malware, los documentos maliciosos y el comportamiento peligroso de los archivos, lo cual es importante porque, a menudo, la suplantación de identidad es el camuflaje que se utiliza mientras que el phishing o el malware son los que causan el daño.

Forme a los empleados para que informen de cualquier actividad sospechosa

La concienciación de los empleados es importante porque los ataques de suplantación de identidad están diseñados para manipular la confianza. La formación debe abarcar los correos electrónicos falsos, los enlaces sospechosos, las llamadas falsas, los mensajes de texto falsos, las páginas de inicio de sesión falsas y las solicitudes que ejercen presión, mientras que el procedimiento de notificación debe ser lo suficientemente sencillo como para que los empleados puedan alertar rápidamente a los equipos de seguridad.

Exigir una verificación fuera de banda

Las solicitudes delicadas deben verificarse a través de un canal independiente y de confianza antes de que nadie actúe. Esto se aplica a los pagos, los cambios en las cuentas bancarias, los restablecimientos de credenciales, las actualizaciones de proveedores, las solicitudes de la dirección y las aprobaciones de acceso, especialmente cuando el mensaje original transmite urgencia o solicita al usuario que se salte el proceso habitual.

Establezca vías de escalamiento claras

Los empleados deben saber qué hacer cuando noten que algo no va bien. Unas vías de escalación claras reducen las dudas, ya que indican a los usuarios a quién deben dirigirse, qué datos deben facilitar y cómo responderá el equipo de operaciones de seguridad cuando se notifique un intento de suplantación de identidad, un mensaje sospechoso o una solicitud inusual.

¿Cómo puede Mimecast ayudar a protegerse contra los ataques de suplantación de identidad?

Mimecast ayuda a las organizaciones a defenderse de los ataques de suplantación de identidad mediante la combinación de seguridad del correo electrónico, protección contra la suplantación de identidad, inteligencia sobre amenazas, sensibilización de los usuarios y flujos de trabajo de respuesta. Este enfoque por capas es importante porque, a menudo, el spoofing se dirige primero a las personas y, a continuación, aprovecha esa confianza para llevar a cabo ataques de phishing, robo de credenciales, distribución de malware o business email compromise.

Detectar dominios falsificados e intentos de suplantación de identidad

Mimecast puede ayudar a detectar dominios falsificados, intentos de suplantación de identidad, enlaces maliciosos, archivos adjuntos peligrosos y correos electrónicos de ingeniería social dirigidos a usuarios específicos antes de que lleguen a estos. Estas medidas de protección revisten especial importancia en los flujos de trabajo relacionados con el correo electrónico y la colaboración, en los que los empleados toman decisiones rápidas basándose en nombres, marcas, proveedores y solicitudes internas que les resultan familiares.

Reforce la protección mediante la inteligencia sobre amenazas

La inteligencia sobre amenazas ayuda a identificar las amenazas cibernéticas conocidas y emergentes, mientras que la protección de URL y el análisis de archivos adjuntos amplían la inspección del contenido con el que interactúan los usuarios. La detección de suplantación de identidad puede señalar mensajes que parecen proceder de directivos, proveedores o dominios de confianza, pero que muestran indicios de suplantación o ingeniería social.

Reducir el Human Risk relacionado con la suplantación de identidad

Mimecast también contribuye a la reducción de los riesgos relacionados con el factor humano. Los controles técnicos son fundamentales, pero los usuarios siguen necesitando concienciación, contexto y vías claras para la notificación de incidencias. Al combinar la detección con la formación de los usuarios y los procedimientos de respuesta, Mimecast ayuda a las organizaciones a desarrollar una mayor resiliencia frente a los intentos de suplantación de identidad que se aprovechan de una confianza mal depositada.

Fortalecimiento de las medidas de protección de las empresas frente a los ataques de suplantación de identidad

Los ataques de suplantación consisten en hacer que identidades, fuentes o comunicaciones maliciosas parezcan legítimas. Esa falsa confianza puede llevar a los usuarios a hacer clic en enlaces maliciosos, compartir credenciales, autorizar pagos, descargar malware o conceder acceso a los atacantes.

A medida que las suplantaciones de identidad se vuelven cada vez más realistas gracias a la inteligencia artificial, los «deepfakes», la suplantación de dominios y la ingeniería social multicanal, las organizaciones necesitan una protección por capas. La autenticación del correo electrónico, la detección de suplantación de identidad, la protección de URL, el análisis de archivos adjuntos, la sensibilización de los usuarios, los flujos de trabajo de verificación y la inteligencia sobre amenazas desempeñan un papel importante. Mimecast ayuda a las organizaciones a reforzar su protección frente a la suplantación de identidad, el phishing y las amenazas dirigidas a personas, combinando la detección técnica con la resiliencia a nivel humano.