Aunque no siempre lo tengamos en cuenta, los ciberdelincuentes suelen buscar a las personas con más poder dentro de una empresa: los altos ejecutivos. ¿Por qué? Porque ellos tienen acceso a información crítica, manejan grandes cantidades de dinero y, en muchos casos, no están tan preparados en materia de seguridad digital como deberían.
Aquí es donde entra en juego el whaling, un tipo de ataque dirigido a los altos ejecutivos de una compañía, aquellos que pueden aprobar transferencias millonarias o conocer datos sensibles sin demasiadas trabas. Y, aunque no lo parezca, estos ataques son más comunes de lo que pensamos.
Para combatir este tipo de amenazas, soluciones como Qondar de Enthec ayudan a detectar y prevenir intentos de suplantación y fraudes dirigidos a altos ejecutivos, reforzando la seguridad de la empresa frente a ataques como el whaling.
¿Qué es el whaling y cómo funciona?
El término whaling proviene del inglés whale (ballena) y hace referencia a que este tipo de ataques van dirigidos a grandes personalidades dentro de una empresa: directivos, CEO, CFO y otros cargos con acceso a información estratégica.
Se trata de una forma avanzada de phishing donde los atacantes se hacen pasar por alguien de confianza para engañar a la víctima y hacerle realizar una acción perjudicial, como aprobar una transferencia o compartir credenciales de acceso.
Los criminales suelen emplear varias estrategias:
- Correos electrónicos falsificados. Desarrollan técnicas de spoofing para hacer que un correo parezca provenir del CEO, un socio de confianza o incluso un organismo oficial.
- Ataques man in the middle. Interceptan comunicaciones entre directivos o empleados para modificar mensajes y conseguir información valiosa.
- Ingeniería social. Recopilan información de la víctima en redes sociales o bases de datos filtradas para hacer sus ataques más creíbles.
A diferencia del phishing común, que envía correos masivos con la esperanza de que alguien caiga en la trampa, el whaling es un ataque personalizado y muy bien elaborado.
Un caso real de whaling
Imagina que eres el director financiero de una empresa. Recibes un correo del CEO pidiéndote que apruebes urgentemente una transferencia de 250.000 euros a una cuenta en otro país para cerrar un trato importante. El mensaje está bien redactado, con la firma y tono que suele usar el CEO. Incluso tiene una respuesta anterior que parece auténtica.
Si no tienes dudas y realizas la transferencia sin comprobarlo con una llamada o un segundo canal, habrás caído en la trampa. Días después descubrirás que el CEO nunca mandó ese mensaje y que el dinero se ha perdido en una red de cuentas imposibles de rastrear.
Esto no es ciencia ficción: empresas de todos los tamaños han perdido millones con este tipo de ataques.
La relación entre whaling y el ataque man in the middle
Uno de los métodos más sofisticados que los ciberdelincuentes usan en el whaling es el ataque Man in the Middle (MitM).
En este tipo de ataque, los hackers se colocan entre dos partes que están comunicándose (por ejemplo, entre un directivo y un empleado) y manipulan los mensajes sin que las víctimas lo noten.
¿Cómo funciona un ataque man in the middle en ciberseguridad?
El atacante puede:
- Interceptar correos electrónicos y modificar el contenido antes de que lleguen al destinatario.
- Espiar conexiones de red en redes Wifi públicas o mal configuradas.
- Falsificar sitios web para que la víctima introduzca sus credenciales en una página que parece legítima.
Por ejemplo, un ejecutivo puede estar enviando un correo con instrucciones de pago, pero si hay un ataque man in the middle, el hacker puede cambiar la cuenta bancaria de destino sin que nadie lo note.
En este caso, el whaling y el ataque man in the middle se combinan para hacer la estafa aún más difícil de detectar.
Claves para evitar un ataque de whaling
Afortunadamente, hay formas de protegerse contra estos ataques. Aquí tienes algunas claves fundamentales para evitar caer en un fraude de este tipo:
1. Verificación en dos pasos siempre activada
Si un correo o mensaje solicita una transferencia de dinero o información sensible, verifícalo por otro canal. Una simple llamada o un mensaje por otra vía pueden evitar un desastre financiero.
2. Evitar la sobreexposición en redes sociales
Cuanta más información personal haya disponible sobre un directivo, más fácil será para un atacante falsificar un mensaje creíble. Es recomendable limitar la información pública en LinkedIn y otras plataformas.
3. Implementar filtros de seguridad en correos
Los ataques de whaling suelen llegar por email, por lo que es esencial contar con:
- Filtros avanzados de correo electrónico que detecten suplantaciones de identidad.
- Autenticación de correos (DMARC, SPF y DKIM) para evitar que se falsifiquen direcciones de email corporativas.
4. Emplear procedimientos estrictos para transferencias bancarias
No se deben aprobar transferencias solo por un correo o mensaje. Implementar dobles autorizaciones y protocolos estrictos puede evitar pérdidas millonarias.
5. Mantener actualizados los sistemas y dispositivos
Los ataques aprovechan vulnerabilidades en software desactualizado. Mantener siempre los equipos protegidos con actualizaciones de seguridad es fundamental.
El whaling es un ataque peligroso que puede afectar a cualquier empresa, desde pequeñas startups hasta grandes corporaciones. Lo más preocupante es que no requiere un malware sofisticado: solo ingeniería social, suplantación de identidad y un buen engaño.
Si además se combina con un ataque man in the middle, los riesgos aumentan, ya que los ciberdelincuentes pueden modificar mensajes sin que la víctima lo note.
La mejor defensa de ciberseguridad ante los ataques de whaling es la prevención: establecer protocolos de verificación y contar con soluciones avanzadas de ciberseguridad. Herramientas como Qondar permiten identificar y anular la información personal expuesta, así como los perfiles sociales falsos, para evitar los ataques dirigidos, protegiendo a los altos ejecutivos de intentos de fraude y suplantación. Invertir en seguridad no es una opción, sino una necesidad para evitar ser la próxima víctima.