Buenas prácticas en la creación de campañas de concientización

A la hora de realizar nuestra planificación de campañas de concientización es conveniente tener en cuenta una serie de buenas prácticas en pos de crear una experiencia de relevancia para el usuario final.

¿Qué es una campaña de concientización?

Definimos campaña de concientización como una acción puntual de educación o refuerzo utilizando Módulos Interactivos, Newsletters, Exámenes, Encuestas, Videos o Momentos Educativos, que tiene como fin lograr un cambio de hábitos en los usuarios finales de la organización.

Fecha de inicio

El usuario final debe realizar una gran cantidad de actividades en su jornada laboral, siendo las campañas de concientización una voz más que compite por su atención. Además, cada campaña asignada a un usuario final significa al menos un correo electrónico en su bandeja de entrada y la responsabilidad de completar su lectura.

Es por eso que se recomienda distribuir en el tiempo las campañas deseadas. Esto implica seleccionar fechas de inicio diferentes para cada una y evitar que un usuario posea más de una campaña asignada a la vez.

Si se establecen varias campañas con la misma fecha de inicio y fin, el usuario final se encontrará con mucho trabajo por delante - lo cual puede ser desmotivador -, y por ende, correremos el riesgo de que desestime estas actividades.

Duración

La duración ideal de cada campaña de concientización asignada a un usuario final es de 1 a 3 semanas.

Una duración menor no deja margen a la persona para planificar el mejor momento de revisar el contenido asignado. Además, las campañas recolectan estadísticas únicamente mientras se encuentran vigentes, por lo que en una campaña con duración muy corta podemos perder información valiosa.

Una duración mayor a 3 semanas puede llevar a una situación opuesta, donde el usuario final se relaja demasiado y olvida leer los contenidos.

Notificaciones

Se recomienda notificar siempre a los usuarios sobre aquellas campañas a las que son asignados, tanto al inicio como a lo largo del período en que se mantienen activas, a través de recordatorios específicos.

Además, personalizar las notificaciones para adaptarlas a la imagen de la organización y estándar interno es una buena práctica para que el usuario vea al programa de concientización como parte integral de las comunicaciones y acciones de la organización.

Campañas de prueba

El correo electrónico es el medio principal de comunicación entre el programa de concientización y el usuario final. Por eso debemos asegurarnos que los mensajes sean recibidos siempre en su bandeja de entrada. Se recomienda seguir un proceso de implementación de listas blancas para que la plataforma utilizada conviva de manera amigable con las herramientas de seguridad de la organización.

Antes de lanzar una campaña real dentro de la organización, es recomendable agendar campañas de prueba. Esto nos permitirá garantizar que los usuarios reciban correctamente las notificaciones pertinentes y puedan realizar todo el ciclo de vida de cada campaña sin inconvenientes.

Período de concientización

A la hora de pensar una estrategia de concientización es recomendable planificar campañas por períodos entre seis meses a un año. Tal extensión permite organizar de manera clara en el tiempo los distintos tipos de campañas que deseamos asignar a los usuarios finales.

Cantidad de campañas en un año

Cada año los usuarios deben recibir una cantidad de campañas moderada, de manera que encuentren en las acciones de concientización un valor agregado y no una molestia o pérdida de tiempo.

Para determinar el número ideal de campañas a enviar, se debe tener en cuenta que las campañas de Módulos Interactivos, Encuestas y Exámenes suelen implicar más tiempo al usuario final que aquellas de Videos o Newsletters.

Teniendo esto en mente, las recomendaciones generales son:

Primer año

• 1 Módulo Interactivo mensual.
• 2 contenidos de Newsletters o Videos mensuales.
• Un Examen o Encuesta bimestral.

Segundo año

• Hacer ajustes a la programación en base a las opiniones de los usuarios finales durante el primer período, y a los reportes y analítica provista por el partner integrador.
• Cambiar el orden y tópicos de las campañas de formación y concientización.
• Enviar campañas específicas a usuarios que no cumplieron con los objetivos del período anterior.

Próximos años

• Segmentar a los usuarios por grupos, áreas funcionales y niveles jerárquicos.
• Realizar acciones granulares según los niveles de riesgo.
• Mantener el plan de concientización de mejora continua dentro de la organización en general.

Cierre

Al utilizar una plataforma flexible de concientización, tendremos a nuestra disposición muchas opciones de personalización para adaptar las campañas a nuestra organización. Dichas opciones, deben ser utilizadas sin perder de vista que debemos brindar al usuario final una experiencia agradable y positiva con el programa, lo que en definitiva nos permitirá alcanzar con éxito los objetivos del mismo.

Leer Más

Podcast: el Usuario y la Cultura segura, claves para la Ciberseguridad

El mundo cambió. Tras un año de pandemia, ¿cuáles son las claves en ciberseguridad para el 2021 y el futuro más próximo?

Pedro Adamović, Chief Information Security Officer de Banco Galicia, elegido uno de los mejores responsables de Ciberseguridad del mundo por la comunidad de negocios Hottopics.ht y la empresa Forcepoint, y Mónica Valle, periodista especializada en ciberseguridad y directora de Bit Life Media, presentaron su visión. Ambos especialistas participaron en el episodio “5. Ciberseguridad, ¿es un tema central para el negocio?” de la serie de podcasts “La pregunta correcta” realizada por Infobae.

La aparición del coronavirus significó la migración al trabajo remoto para millones de personas y la transformación digital de empresas, tareas, procesos y procedimientos, particularmente en el sector financiero. Así, nuevos escenarios se abrieron para los ciberdelincuentes. Proliferaron los ataques de phishing e ingeniería social, sobre todo a usuarios inexpertos de banca online. En este sentido, Adamović y Valle coinciden en afirmar que el usuario concientizado es fundamental en la lucha contra el cibercrimen. Una persona atenta e informada no hará clic en un enlace malicioso ni brindará sus datos personales antes de chequear la confiabilidad de la fuente.

La mayoría de los ataques ocurridos en 2020 no intentaron franquear densas infraestructuras de compañías, vulnerabilidades de sistemas o fallas en bases de datos, sino que llegaron a través de los diferentes canales de comunicación personales -emails, mensajes de texto, llamadas telefónicas-. Como explica Adamović, el vector principal de ataque es el correo electrónico. El objetivo fundamental es el robo de información y el pedido de rescate a posteriori.

¿Por qué hablar de una cultura segura?

Todas las personas y todas las organizaciones (sin importar su tamaño ni la industria), son pasibles de ser atacadas. En este contexto, la clave es la cultura.

La cultura se refiere al nivel de conciencia del usuario sobre las acciones que puede hacer o no, y cómo estar protegido ante cualquier amenaza. Adamović explica que son cuestiones prácticas, del día a día: bloquear la PC al levantarse del escritorio, no dejar papeles con información confidencial expuestos, usar contraseñas complejas, analizar el correo electrónico antes de dar clic en un enlace o archivo adjunto. Lo resume en la frase “Lentos con el clic, rápidos con la mente”.  

Para Valle, la formación de los usuarios es fundamental para la generación de hábitos seguros. “Se suele decir que los usuarios son el eslabón más débil, pero a mi me gusta decir que los usuarios somos la última barrera de ciberseguridad”. “Si estamos bien formados y concientizados sobre los tipos de riesgos que existen y cómo funcionan, no haremos clic en el enlace ni descargaremos software malicioso o el archivo adjunto que nos ha llegado al correo. Esta barrera -junto con otras soluciones- evitará que la empresa sea atacada”, concluye la periodista.

¿Qué otras medidas de ciberseguridad debe tomar una organización?

Además de la formación y concientización de los usuarios en ciberseguridad, las organizaciones deben atender otros aspectos relevantes:

• El presupuesto asignado a la ciberseguridad debe ser suficiente para implementar una estrategia adecuada a la organización, considerando las mejores soluciones a implementar. Valle menciona los modelos “zero trust” o “confianza cero” que hacen referencia al cifrado y seguridad total de los datos.
• El monitoreo de las amenazas debe ser 7x24.
• La resiliencia, entendida como la capacidad de reacción y recuperación de la organización ante un ataque.

Adamović aclara que las organizaciones suelen invertir millones de dólares en tecnología, recursos humanos, procesos y capacidad de respuesta. No obstante, si un usuario hace clic en un lugar donde no debía hacerlo, el problema es enorme.

Consideraciones finales

Adamović y Valle plantean el escenario actual y recomiendan las mejores respuestas a los problemas de ciberseguridad. Como ellos, desde SMARTFENSE apostamos a la concientización de los usuarios como uno de los factores más importantes para combatir el cibercrimen y crear una cultura cibersegura: el usuario consciente no abrirá puertas a los ciberdelincuentes, sino que mantendrá segura la información sensible, coadyuvando a la continuidad del negocio.

Fuentes

https://www.infobae.com/tecno/2020/12/21/robos-digitales-cuales-son-los-aprendizajes-en-ciberseguridad-que-dejo-la-pandemia/ 

https://open.spotify.com/episode/66tuiyPr7KsvLh7pbN6Xxt?go=1&utm_source=embed_v3&t=0&nd=1

Leer Más

Checklist rápido para crear su primera campaña de Phishing

Para establecer una línea base de comportamiento de los usuarios de la organización es fundamental lanzar simulaciones de Phishing y posteriormente, analizar los resultados. Pero, ¿por dónde empezar? ¿Cuáles son los pasos necesarios para crear una primera campaña?

Alcance y Autorización

• Establezca el alcance y los objetivos de su campaña de simulación de Phishing. 
• Asegúrese de solicitar autorización explícita dentro de la organización para realizar este tipo de evaluaciones.

Contenidos

• Defina la temática de su escenario de simulación de Phishing.
• Elabore un contenido que responda a la temática definida. Un contenido se conforma de un correo electrónico y una página de destino con un formulario web. Considere:

• Utilizar variables que identifiquen datos del usuario o la organización.
• Disponibilizar el contenido en múltiples idiomas.
• Dejar pistas que permitan a sus usuarios identificar el contenido como un Phishing.
• Utilizar temáticas de interés y actualidad (puede tomar como base un phishing real).

• Si el escenario de simulación de Phishing seleccionado posee temas sensibles y/o afectan a un área en particular, evalúe el impacto y solicite autorización explícita a dicha área.

Herramienta de simulación

Una simulación de Phishing puede realizarse utilizando una plataforma en la nube especializada o bien, instalando una herramienta on premise en la infraestructura de la organización.

Herramienta on premise en infraestructura propia

• Configure una cuenta de correo en un servidor SMTP que brinde la posibilidad de hacer Spoofing.
• Configure un servidor web para alojar la página de destino de la simulación de Phishing.
• Aplique las medidas de seguridad pertinentes en ambos servidores para proteger la seguridad de la información.
• Adquiera y configure dominios para envío de correos de simulación de Phishing y para navegación web del sitio de Phishing simulado.
• Adquiera y configure certificados SSL para los dominios en cuestión y configure además sus registros SPF, DKIM y DMARC.
• Elabore un plan de contingencia para los dominios de simulación que caigan en listas negras globales.
• Elabore y siga un procedimiento de actualización y hardening de la infraestructura definida.
• Como recomendación, asegúrese de seleccionar una herramienta que automatice todo el ciclo de vida de la simulación de Phishing:

• Calendarización de la campaña.
• Envío de correos.
• Registro de interacciones de los usuarios.
• Reporting de resultados en tiempo real.
• Recolección de registros de auditoría inalterables.
• Identificación y ocultado de falsos positivos.

Plataforma en la nube

• Seleccione una herramienta de simulación de Phishing adecuada para sus necesidades.
• Audite las características de seguridad de la herramienta para proteger su información.

Whitelist

• Identifique las herramientas de seguridad de la organización involucradas con la recepción de correos electrónicos y navegación web.
• Utilice las opciones de whitelist de dichas herramientas para:

• Asegurar la correcta recepción en la bandeja de entrada del usuario de los correos de simulación de Phishing (para que no se marquen como SPAM).
• Evitar que las herramientas interactúen con los correos, generando falsos positivos en las estadísticas de la simulación.
• Asegurar la correcta visualización y navegación de la página de destino del Phishing simulado.

• Opcionalmente, configure el cliente de correo para que muestre las imágenes del correo de simulación de Phishing, sin que el usuario deba autorizarlo. Esto favorece la detección de apertura de correos pero, al mismo tiempo, puede llamar la atención del usuario si no está acostumbrado a visualizar automáticamente las imágenes de los correos recibidos.
• Para asegurarse que todo funcione satisfactoriamente, lance campañas de prueba hasta conseguir que:

• El correo sea recibido en la bandeja de entrada del destinatario.
• La página de destino se pueda navegar correctamente.
• Las estadísticas se correspondan con las acciones de prueba realizadas.
• No haya falsos positivos o, si existen, sean filtrados correctamente.
• Las imágenes se descarguen sin necesidad de autorización, si así se desea.

Lanzamiento

• Defina la duración de la campaña. Es recomendable no extender la simulación por más de 48 horas ^[1].
• Elabore un conjunto de campañas de simulación de Phishing a lo largo de un determinado período y analice el resultado de todas ellas. Considere esta información como la línea base del comportamiento de sus usuarios. Tenga en cuenta que una única simulación de Phishing no es suficiente para diagnosticar el comportamiento de los usuarios ^[2].

Cómo continuar

• A partir de la línea base (estado de situación), plantee objetivos y metas para el programa de concientización de su organización.
• Programe campañas de concientización utilizando diferentes recursos como Módulos Interactivos, Newsletters, Videos, Videojuegos, Webinars, Pósters y sesiones presenciales.
• Vuelva a medir de manera periódica su línea base para evaluar la efectividad de sus acciones y demostrar el cambio de comportamiento.

Nota

Existen partners integradores que prestan servicios gestionados y llevan adelante tanto campañas de simulación de Phishing como completos programas de concientización. Esto permite al CISO delegar o tercerizar las acciones tácticas y operativas listadas en este documento, manteniendo la parte estratégica en sus manos.

Descargue este checklist

Si el contenido de este checklist le resultó de interés, puede descargar una versión en formato PDF del mismo en: https://smartfense-website-prod.s3.amazonaws.com/static/resources/ncsam/2020/SMARTFENSE-Checklist-Phishing.pdf

---

[1] ¿Cuánto duran las campañas de Phishing?

[2] La simulación de Phishing de oro, o cómo interpretamos de manera incorrecta los resultados de nuestras pruebas

Leer Más

Phishing súper ingenioso a través de Google Docs

Introducción

Días antes de la fecha de publicación de este post, un compañero de trabajo me reenvió una trampa de Phishing, destacando la ingeniosa modalidad utilizada por el delincuente, la cual merece el análisis que se muestra a continuación.

Autopsia del sencillo e ingenioso ataque

Los pasos que siguió el ciberdelincuente fueron los siguientes:

1) Crear una cuenta de Google. No es importante la dirección en sí. Lo importante es utilizar el nombre y apellido de la persona que se desea suplantar, por ejemplo el CEO de una organización. También se puede colocar luego una foto de perfil de la persona, la cual se puede conseguir en cualquier red social sin mayores problemas.

2) Crear un documento de Google Docs y dejar allí el texto del engaño de Phishing.

3) Dejar un comentario en el documento arrobando a la víctima.

4) Esperar que la víctima ingrese al enlace malicioso proporcionado.

¡Así de fácil!

Nota: El enlace malicioso puede formar parte del documento o del comentario.

Delivery garantizado en bandeja de entrada

La víctima, recibirá un correo con el comentario de Google Docs, de manera similar a la siguiente captura:

Este correo, es altamente probable que ingrese directamente a la bandeja de entrada del usuario. Está enviado desde los servidores de Google, firmado por Google, con todas las medidas de seguridad tomadas por Google en perfecto estado :)

Authentication-Results: mx.google.com;

dkim=pass header.i=@docs.google.com header.s=20161025 header.b="O/rA7Zvo";

spf=pass (google.com: domain of ---@docos.bounces.google.com designates 209.85.220.77 as permitted sender) smtp.mailfrom=---@docos.bounces.google.com;

dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=docs.google.com 

Suplantación de identidad nivel Dios

Como podemos ver en la captura anterior, no se muestra en ningún lugar el correo electrónico del remitente, únicamente su nombre, apellido y foto de perfil, totalmente editables en una cuenta de Google.

Además, es posible colocar el asunto que se desee ya que es tomado desde el título del documento.

De hecho, ni siquiera es necesario que la víctima ingrese al documento por ningún motivo, ya que todo el contenido de interés ya se encuentra en el email recibido.

Notificaciones PUSH directo al smartphone

Si la víctima posee la cuenta de correo electrónico de Google configurada en su smartphone, recibirá además el comentario en una notificación PUSH. Este tipo de notificaciones no muestran al usuario un nivel de detalle muy grande, por lo cual aumentan las probabilidades de que el usuario termine ingresando en el documento malicioso al abrir la notificación recibida.

¿Quién detecta esto?

Como podemos imaginar, el dominio de docs.google.com no caerá en listas negras como Google Safe Browsing para que nuestros usuarios puedan estar protegidos.

Lo máximo que ha hecho Google en el caso que me compartió mi compañero ha sido bloquear el ingreso al documento que contenía el engaño:

Pero esto no sirve de mucho, ya que el email sigue estando en bandeja de entrada con el contenido original intacto.

Probablemente, tampoco sea práctico bloquearlo dentro de nuestra organización, y de todas maneras por fuera de la organización los usuarios podrían recibir igualmente el engaño.

Como vimos, todos los registros SPF, DKIM y DMARC se encuentran perfectamente configurados, por lo cual los clientes de correo no lo van a bloquear. Tampoco los sistemas Anti SPAM o similares. Ni hablar del Anti SPAM del propio Google.

En mi opinión, la mejor arma contra este tipo de casos es la concientización. Un usuario concientizado respecto a este tipo de ataques, estará atento y podrá detectarlos, reportarlos y prevenir convertirse en víctima de los ciberdelincuentes.

¿Recibiste un correo con estas características? Reportalo en Antiphishing.la

Leer Más

Tipos de spoofing, o cómo se esconden los ciberdelincuentes en correos electrónicos

Al igual que en el correo postal, los correos electrónicos constan de un sobre y un contenido. 

Sin embargo, los clientes de correo electrónico por lo general muestran sólo la información del contenido, ocultando los datos del sobre en opciones avanzadas.

La información presente en el sobre permite a la empresa de correo postal - o al servidor SMTP - entregar el mensaje al destinatario correcto, sin necesidad de abrir el sobre. Además, permite enviar al remitente notificaciones en caso de que la entrega de un correo no sea posible.

Si bien el cliente de correo considera esta información poco relevante para el usuario final - ya que no la muestra por defecto -, el sobre y el contenido de un correo pueden tener escrito un remitente diferente:

Esto abre la puerta a distintos tipos de suplantación de identidad, o Spoofing. Los ciberdelincuentes juegan con distintas cadenas de texto dentro del FROM Header, para engañar a los destinatarios y lograr sus objetivos fraudulentos. Esto es sumamente sencillo de realizar y está 100% permitido por el protocolo SMTP. Basta con definir la cadena deseada al momento de enviar el mensaje ¡y listo!

Tipos de Spoofing

A la hora de elegir el tipo de Spoofing a realizar, un ciberdelincuente tendrá en cuenta si el dominio a suplantar:

• Cuenta con protocolos SPF, DKIM y DMARC correctamente configurados.
• Es vulnerable a un ataque BEC.

Ambos puntos pueden verificarse utilizando herramientas gratuitas.

Domain Spoofing

Consiste en suplantar el dominio de la organización.

Cuándo se utiliza

Cuando el dominio a suplantar no cuenta con protocolos SPF, DKIM y DMARC correctamente configurados, o cuenta con ellos pero es vulnerable a un ataque BEC.

Ventajas para el ciberdelincuente

Es el tipo de Spoofing más difícil de detectar.

Lookalike Domain Spoofing

Consiste en utilizar un dominio similar al de la organización que se desea suplantar.

Cuándo se utiliza

Cuando el dominio a suplantar cuenta con protocolos SPF, DKIM y DMARC correctamente configurados, o no es vulnerable a un ataque BEC. Sólo es necesario que se cumpla uno de los dos puntos.

Ventajas para el ciberdelincuente

• Se ahorra posibles dolores de cabeza relacionados con los protocolos de seguridad.
• Los dominios a utilizar pueden ser tan similares al real que a primera vista no se detectan las diferencias. De hecho, existen herramientas gratuitas que ofrecen decenas de alternativas por cada dominio.

Display Name Spoofing

Es el caso más básico de Spoofing y consiste en modificar únicamente el nombre del remitente, manteniendo su dirección de email original:

Cuándo se utiliza

Cuando el dominio a suplantar cuenta con protocolos SPF, DKIM y DMARC correctamente configurados, o no es vulnerable a un ataque BEC. Sólo es necesario que se cumpla uno de los dos puntos.

Ventajas para el ciberdelincuente

• Si utiliza un dominio con buena reputación puede mejorar sus chances de llegar a la bandeja de entrada del usuario final.
• Los usuarios finales sin concientizar caen fácilmente incluso en este tipo de engaños, los más sencillos.

Aprovechando el Reply-to

Si un usuario final responde al correo, su cliente de correo enviará la respuesta al email especificado en el FROM Header.

Esto no es deseable en todos los casos para los ciberdelincuentes. Entonces hacen uso del Reply-to Header. El cliente de correo enviará las respuestas del usuario a la dirección de email que figure allí.

Una combinación viable - de muchas - para un ciberdelincuente podría ser la siguiente:

El usuario, el detector de mentiras

El protocolo SMTP permite, de manera extremadamente sencilla, realizar suplantación de identidad dentro de un correo electrónico. Los mecanismos provistos por SPF, DKIM y DMARC, son claves a la hora de proteger un dominio contra las técnicas de spoofing. Sin embargo, los ciberdelincuentes cuentan con otras herramientas, también de gran sencillez, para concretar sus ataques.

Un usuario correctamente concientizado se convierte en una capa de seguridad indispensable para afrontar aquellos correos de suplantación de identidad que no puedan ser detenidos por medios tecnológicos, los cuales, como analizamos, son posibles, simples de enviar y muy efectivos.

Si un usuario concientizado logra detectar alguno de estos casos de suplantación de identidad, sabrá cómo actuar en consecuencia:

1. Marcar el correo como Spam
2. Utilizar el botón específico que use la organización para reportar, desde la propia interfaz del correo electrónico
3. Reenviar el correo al área de la organización correspondiente para su revisión y tratamiento
4. Denunciar el caso en sitios como antiphishing.la para mayor visibilidad.

Leer Más