Spam y Phishing: diferencias entre los tipos de email fraudulentos

El pasado junio vimos que España trístemente figura en el Top 10 de los países que más correos no deseados generan en todo el mundo, con China a la cabeza del listado. Y es que los emails basura del SPAM o los correos fraudulentos del Phishing, arma adorada por los hackers para robarnos los datos online, son una plaga, una auténtica plaga. Para hacerse una idea, según un informe reciente de la división de ciberseguridad de la multinacional de Telecomunicaciones Cisco, sólo durante el mes de abril pasado el 85% del correo mundial era ‘spam’, y en España se enviaron en esas 4 semanas hasta 42 millones de emails fraudulentos o no deseados.

Diferencia entre SPAM y Phishing

Y es que las estadísticas que el Informe de Ciberamenazas y Tendencias 2019 del CCN-CERT español (Centro Criptológico Nacional), un documento extenso de más de 128 páginas en el que se realiza un análisis de las ciberamenazas, nacionales e internacionales, de su evolución y tendencias futuras, son demoledoras, reseñando que los ataques de phishing se han hecho más específicos. Desde el año 2011 hasta el 2018, los ataques de phishing a dispositivos móviles: han aumentado en torno al 85% anual , y los llamados ‘actores avanzados’ -cibergrupos y/o campañas de la escena hacker conocidos- ya usan técnicas de phishing móvil, por ejemplo, Dark Caracal y Pegasus.

Pero aunque tendamos a meterlos en el mismo saco, lo cierto es que no todo el spam es phishing y viceversa. Dentro del término generalista ‘Spam’ que usamos para denominar a los “correos electrónicos no solicitados“ el CNN-CERT hace una división entre tres categorías:

Ampliar

Spam Convencional

La parte menos ‘dañina’ por así decirlo de todo el circo de emails que engloba el spam, el Spam Convencional es el que ha menudo se utiliza para anunciar productos o servicios, así como en intentos de fraude.

Malspam o Malware Spam

Conocido como Malspam, este tipo de spam más dañino es utilizado por “los agentes de las amenazas para infectar los sistemas de los destinatarios con código dañino”. El malware puede estar en un adjunto a un correo electrónico o introducirse indirectamente a través de un enlace en el cuerpo del correo o en los archivos adjuntos. Este enlace conduce al malware o a un sitio web que contiene exploits.

Phishing o Suplantación de Identidad

Casi que el peor de los tres, el phishing es una técnica tan vieja como el email, conducida por actores míticos como el Príncipe Nigeriano, y el peligro de estos correos es que engañan a los usuarios para que revelen información personal, privada y financiera en sitios web controlados por quienes han distribuido esa estafa Phishing precisamente.

Phishing, el arma favorita de muchos

En la mayoría de los casos, el correo no deseado se envía a través de servidores comprometidos, sistemas cliente infectados, o de cuentas de correo electrónico legítimas, utilizando información de inicio de sesión robada. Se ha demostrado que el phishing es la forma preferida de comprometer a las organizaciones, ya que el 75% de los Estados miembros de la UE revelaron casos de phishing en 2018.

Y un último dato: más del 90% de las infecciones de código dañino y el 72% de las violaciones de datos en organizaciones se originaron a partir de ataques de phishing.