Amenaza destacada: Técnicas de phishing a tener en cuenta en 2025

Durante los últimos meses, los analistas de amenazas de Barracuda han informado sobre varias técnicas avanzadas de phishing implementadas por los atacantes para evadir controles de seguridad y hacer que los correos electrónicos maliciosos parezcan más convincentes, legítimos y personales.

En esta entrada del blog analizamos cómo es probable que estas y otras técnicas avanzadas de phishing evolucionen en 2025. Nuestras expectativas son que:

• Los kits de phishing como servicio (PhaaS) representarán la mitad de los ataques de robo de credenciales el próximo año, frente al 30% actual, y evolucionarán para robar códigos de autenticación multifactor (MFA).
• Los ataques dirigidos presentarán apelaciones emocionales personalizadas basadas en un análisis de las redes sociales y el historial de comunicación del destinatario, con un aumento en los ataques de extorsión/sextorsión.
• Habrá una implementación más amplia de técnicas evasivas como los códigos QR basados en ASCII, URIs de Blob y el traslado del contenido de phishing del cuerpo del correo electrónico a un archivo adjunto.
• Los atacantes buscarán y abusarán de más plataformas de creación de contenido y publicación digital.

Phishing como servicio y robo de credenciales

Los datos de detección de Barracuda muestran que en 2024 más del 85% de los ataques de phishing dirigidos a clientes tenían como objetivo robar credenciales. Esperamos que esto aumente al 90% o más durante el próximo año.

PhaaS prospera en este vector de ataque. Durante los próximos 12 meses, esperamos ver kits PhaaS más avanzados que aparecerán, los cuales podrán robar códigos MFA para ataques de phishing de credenciales.

Estimamos que los ataques de phishing de credenciales basados en PhaaS actualmente representan alrededor del 30% de los ataques de credenciales detectados, y esperamos que esto aumente a más de la mitad durante el próximo año.

El abuso de servicios legítimos de protección de URLs

Para nosotros, el descubrimiento más sorprendente en 2024 fue que los atacantes de phishing estaban explotando servicios de protección de URL de confianza, incluidos los de los principales proveedores de seguridad, para enmascarar enlaces de phishing en ataques diseñados para robar credenciales. Informamos sobre esta táctica en julio, y todavía se sigue implementando.

Código QR y phishing de buzón de voz

El phishing por código QR y por correo de voz actualmente representan alrededor del 20% de las detecciones de phishing en general. En octubre, informamos sobre la aparición de códigos QR creados utilizando bloques de texto ASCII/Unicode, y esperamos que esa táctica continúe evolucionando. Los códigos QR basados en ASCII y el uso de enlaces especialmente diseñados con URI Blob están diseñados para evadir la detección, y esperamos que el desarrollo y uso de estas y otras técnicas evasivas continúen y aumenten en 2025 y más allá.

Suplantación de RRHH

Prevemos un aumento en los ataques de phishing que se hacen pasar por el departamento de recursos humanos. Estos ataques actualmente representan alrededor del 10% de los ataques detectados, pero esperamos que ganen fuerza durante el próximo año, especialmente en torno a fechas clave de impuestos.

Uso indebido de la plataforma de creación y publicación de contenido

Alrededor del 10% de los ataques de phishing que hemos visto en 2024 están alojados en sitios de CCP (plataforma de creación de contenido) o DDP (publicación de documentos digitales). Informamos sobre esto en septiembre y esperamos que la tendencia continúe a medida que los atacantes encuentren más sitios de CCP y DDP para alojar páginas de phishing.

Archivos adjuntos maliciosos

El uso de archivos adjuntos maliciosos seguirá aumentando en popularidad. Ya hemos visto muchos correos electrónicos donde el contenido de phishing se incluía en un archivo adjunto HTML o PDF, dejando el cuerpo del correo electrónico vacío o con texto muy mínimo. Sospechamos que este comportamiento es un intento de evadir el análisis basado en aprendizaje automático del cuerpo del texto, y esperamos que este tipo de ataque aumente en 2025.

Extorsión personalizada

Durante 2024 observamos millones de ataques de extorsión dirigidos a clientes. En noviembre, informamos cómo estos ataques han evolucionado para amenazar a los clientes utilizando Google Street View y fotografías para mostrar su hogar y calle. En 2025, esperamos que los ataques de extorsión se vuelvan aún más personalizados y demanden pagos más altos.

IA con todo

Los atacantes aprovecharán cada vez más la IA, sitios legítimos y redirecciones para que sus ataques de phishing parezcan lo más genuinos posible. Con la ayuda de la IA, los atacantes pueden crear correos electrónicos de phishing aún más convincentes que se asemejan exactamente a comunicaciones legítimas. Estos incluirán contenido personalizado, gramática precisa e incluso apelaciones emocionales similares a las humanas basadas en un análisis de las redes sociales y el historial de comunicación del destinatario.

Protección contra técnicas en evolución

El phishing sigue siendo una poderosa ciberamenaza. Es relativamente barato, requiere poca habilidad, es rápido y fácil de implementar, y ofrece altas tasas de éxito potencial. Las técnicas de phishing avanzaron significativamente durante 2024, y esperamos que los ciberatacantes continúen refinando sus métodos para eludir las medidas de seguridad tradicionales y más durante 2025.

Nuestros informes durante 2024 muestran cómo los ataques de phishing se están volviendo más variados, oportunistas y sofisticados. Es esencial contar con estrategias de defensa ágiles, innovadoras, multicapa y fomentar una cultura de seguridad sólida para adelantarse a esta amenaza en constante evolución.

Saravanan Mohankumar, Gerente de Ingeniería de Software (Analista de Amenazas) en Barracuda también contribuyó a la investigación para esta publicación en el blog.