Las campañas de phishing y BEC relacionadas con los viajes se vuelven más inteligentes a medida que comienza la temporada de verano

A medida que se acerca la temporada de vacaciones de verano, las estafas de phishing que utilizan señuelos relacionados con los viajes van en aumento, lo que plantea grandes desafíos para las personas y las organizaciones.

Una encuesta reciente realizada por McAfee encontró que casi un tercio (30 %) de los adultos que buscan ofertas de viajes han sido o conocen a alguien que ha sido víctima de una estafa en línea, con hasta dos tercios de las víctimas hasta Lost $1,000.

El El Phishing Defense Center (PDC) ha publicado un informe Esta semana, arrojamos luz sobre una campaña de phishing en la que los actores de amenazas se hicieron pasar por recursos humanos y se aprovecharon de la confianza de los usuarios en sus empleadores.

Mediante el envío de correos electrónicos fraudulentos, los perpetradores intentaron engañar a las personas desprevenidas para que hicieran clic en un enlace que se suponía que se usaría para enviar sus solicitudes de vacaciones anuales.

Esta versión de una amenaza Business Email Compromise (BEC) representa la evolución de las campañas de phishing centradas en los viajes, dice la compañía. Al hacer clic en el enlace de la comunicación falsa de recursos humanos, aparece un aviso de inicio de sesión que se superpone a la página de inicio de la empresa de la víctima, que se detectó a partir de la dirección de correo electrónico en la URL y se generó automáticamente.

Este enfoque se caracteriza por la combinación de dos tácticas de phishing efectivas: comunicaciones falsas de recursos humanos y un anzuelo de phishing relacionado con viajes.

El ataque explota los procedimientos regulares de recursos humanos relacionados con las solicitudes de vacaciones y aprovecha la anticipación y el entusiasmo que rodea la temporada de viajes de verano, señalaron los investigadores en el informe.

Uso de interés en viajes de verano

«Esta es una táctica sofisticada para recopilar credenciales», explica Mika Aalto, cofundadora y directora ejecutiva de Hoxhunt. «La confianza es esencial para la ingeniería social, y aunque muchos sienten que hay algo mal con el mensaje de correo electrónico mal redactado, podría desarmar a otros».

Señala que estas corrientes duales de familiaridad podrían aumentar la confianza y llevar a la víctima más abajo en la cadena de asesinatos.

«Cuanto más sofisticado y auténtico parezca el sitio web falso, mayores serán las posibilidades de una estafa exitosa», dice Aalto. «Es casi como un señuelo: el correo electrónico mal redactado puede hacer que las posibles víctimas subestimen la amenaza y se vuelvan menos cautelosas cuando llegan a un sitio web que parece sorprendentemente auténtico».

Agrega que los atacantes ya no dependen únicamente de los correos electrónicos, sino que también utilizan plataformas de redes sociales, mensajes de texto e incluso llamadas telefónicas para llegar a las víctimas potenciales.

«Mirando hacia el futuro, podemos esperar que estas estafas se vuelvan más complejas y potencialmente incorporen inteligencia artificial para hacer que sus intentos de phishing sean más convincentes», dice.

Además, si hay plantillas de phishing ejecutar a través de ChatGPTinstantáneamente se convierten en señuelos de phishing perfectamente formulados y más convincentes.

“Los chatbots de IA pueden interactuar con víctimas involuntarias de manera tan convincente como con un ser humano para robar credenciales valiosas, y las plataformas deepfake permiten a los delincuentes hacerse pasar por personas de confianza”, advierte Aalto.

Las estafas de phishing se dirigen a las víctimas con mensajes de texto

Las vacaciones de verano son generalmente un gran desafío Posibilidad de conseguir más víctimas. porque hay un aumento en las solicitudes de vacaciones, lo que aumenta la posibilidad de que uno violación exitosa.

Patrick Harr, director ejecutivo de SlashNext, señala que existen muchas variaciones de esta amenaza que pueden prosperar en las organizaciones y provocar una infracción.

«Las organizaciones deben buscar variaciones de este ataque», agrega, «incluyendo Ataques de compromiso del proveedor por organizaciones que utilizan proveedores para administrar las funciones de recursos humanos o la cuenta de correo electrónico comprometida de un empleado”.

Harr explica que los piratas informáticos se están aprovechando de las empresas de viajes que usan aplicaciones y mensajes de texto para tratar de hacer que los viajes sean fluidos para sus huéspedes.

“Las amenazas aumentan debido al uso cada vez mayor de aplicaciones y mensajes de texto de aerolíneas, hoteles, empresas de transporte y otras actividades de viajes”, dice.

Él dice que la evolución más notable de las estafas basadas en viajes es el cambio de correo electrónico y amenazas basadas en la web a amenazas de aplicaciones móviles y amenazas de redes sociales.

Señala que los piratas informáticos se aprovechan de los viajeros porque es más probable que interactúen con mensajes de texto o aplicaciones desconocidos, se conecten a Wi-Fi desconocidos y busquen VPN para transmitir contenido.

De hecho, desde el punto de vista de Harr, lo más importante para educar a los viajeros es evitar Uso de wifi público gratuito.

«No se conecte a redes desconocidas y, si no está seguro acerca de la seguridad de Wi-Fi, use datos móviles», advierte. “No descargue VPN gratuitas o servicios de transmisión gratuitos. No se conecte al WiFi del aeropuerto ni conecte su teléfono a estaciones de carga gratuitas”.

Cebo de phishing en forma de descuentos en viajes

Las campañas de phishing comunes dirigidas a los viajeros a menudo incluyen vuelos gratuitos o con descuento, reservas de hotel u ofertas de paquetes que parecen demasiado buenas para ser verdad.

«Todos estos ataques serán particularmente difíciles de resistir para los cazadores de gangas en esta temporada de viajes, que será inusualmente costosa debido a los precios inflados de los viajes, la comida y el alojamiento», dice Aalto.

La mayoría de las estafas dan como resultado el pago de cientos o miles de dólares directamente a un sitio web fraudulento, o una estafa de recolección de credenciales en la que se recopila y vende información confidencial o se usa de otra manera.

“Recuerde que hay una industria de cibercrimen organizada multimillonaria en la Dark Web donde los datos robados son un producto con un valor significativo”, dice. «Las cuentas empresariales son puertas de entrada a los sistemas empresariales».
También hay estafas que ofrecen alquileres de vacaciones o tiempos compartidos falsos, seguros de viaje falsos e incluso estafas en las que los delincuentes se hacen pasar por funcionarios del gobierno para ofrecer servicios de visa o pasaporte acelerados.

«En un enfoque más sofisticado», agrega Aalto, «vemos estafas que involucran correos electrónicos o notificaciones de programas de fidelización engañosos que tienen como objetivo engañar a los clientes para que revelen su información personal o sus credenciales de inicio de sesión».