Podría interesarle…

Phishing en Honduras — Cómo los atacantes atacan a empresas y empleados hondureños

Cómo se diseñan las campañas de phishing dirigidas a objetivos hondureños, las señales de advertencia que todo empleado debe reconocer y los controles técnicos y humanos que reducen el riesgo de phishing

El phishing es el punto de partida de la mayoría de los ciberataques exitosos contra organizaciones hondureñas. Las infecciones por ransomware, el fraude de compromiso de correo electrónico empresarial, el espionaje corporativo y las violaciones de datos comienzan casi universalmente con un correo electrónico de phishing que convence a un empleado a hacer clic en un enlace, abrir un archivo adjunto o ingresar sus credenciales en un sitio web falso.

Por lo tanto, comprender el phishing no es solo un ejercicio técnico, sino el elemento fundamental de cualquier programa de ciberseguridad de una organización. Un empleado que reconoce un intento de phishing y lo informa ha detenido un ataque en seco, sin costo alguno, antes de que cualquier control técnico haya tenido que intervenir. Un empleado que cae en un correo electrónico de phishing puede desencadenar una cadena de eventos que cuesta millones y tarda meses en recuperarse.

Esta guía explica cómo las campañas de phishing se dirigen a empresas y empleados hondureños, las señales de advertencia específicas que distinguen los correos electrónicos legítimos de los intentos de phishing, y la combinación de controles humanos y técnicos que reducen eficazmente el riesgo de phishing.

Cómo las campañas de phishing se dirigen a organizaciones hondureñas

Los ataques de phishing contra objetivos hondureños no son correos electrónicos basura genéricos; cada vez se elaboran con conocimiento específico del entorno empresarial de Honduras:

Phishing de envío y aduanas

Honduras es un importante país de manufactura de exportación. Las maquilas, los agroexportadores y las empresas importadoras reciben volúmenes elevados de comunicaciones legítimas de las autoridades aduaneras (SAR), proveedores de logística, líneas navieras y transitarios. Los atacantes explotan esto enviando notificaciones de envío falsas, alertas de despacho de aduana y documentos de facturación que parecen provenir de DHL, Maersk, SAR o socios logísticos habituales. Estos correos electrónicos contienen archivos adjuntos maliciosos (documentos de envío falsos que instalan malware al ser abiertos) o enlaces a portales falsos que roban credenciales de inicio de sesión.

Banca y phishing de SAR

Comunicaciones falsas que parecen provenir de bancos hondureños (Banco Atlántida, Banco de Occidente, Ficohsa, BAC), el Servicio de Administración de Rentas (SAR) o la Comisión Nacional de Bancos y Seguros (CNBS). Estas se dirigen tanto a empresas como a particulares con falsas alertas de seguridad de cuentas, notificaciones de cumplimiento fiscal y solicitudes de actualización regulatoria que roban credenciales bancarias o instalan troyanos bancarios.

Microsoft 365 y el phishing de credenciales en la nube

A medida que las empresas hondureñas adoptan Microsoft 365 y aplicaciones en la nube, los atacantes dirigen sus ataques directamente a estas credenciales. Las páginas de inicio de sesión falsas de Microsoft, las notificaciones de uso compartido de archivos de SharePoint y las invitaciones a reuniones de Teams que redirigen a sitios de robo de credenciales son cada vez más comunes contra las organizaciones hondureñas.

Suplantación de Ejecutivos (Spear Phishing)

Phishing altamente dirigido que se hace pasar por ejecutivos o altos directivos de la empresa para contactar a empleados específicos de finanzas o recursos humanos. A diferencia del phishing masivo, los correos electrónicos de spear phishing incluyen detalles específicos sobre la organización, el destinatario y su función, lo que hace que sea mucho más difícil reconocerlos como fraudulentos.

Señales de Advertencia que Todo Empleado Hondureño Debe Reconocer

Los correos electrónicos de phishing están diseñados para parecer legítimos, pero presentan consistentemente señales de advertencia que los empleados capacitados pueden identificar:

Urgencia y presión — “Su cuenta será suspendida en 24 horas”, “Se requiere acción urgente”, “Respuesta inmediata necesaria”. Las organizaciones legítimas rara vez crean urgencia artificial en comunicaciones de rutina.
La dirección del remitente no coincide. — El nombre de visualización dice “Banco Atlantida” pero la dirección de correo electrónico real es algo así como [email protected]. Siempre verifique la dirección de envío real, no solo el nombre de visualización.
Dominios de suplantación de identidad — Dominios de atacantes que parecen casi idénticos a los legítimos: gladiium.com frente a gladiium-hn.com, microsoft.com frente a microsoftonline-verify.com. Examine cuidadosamente cada carácter.
Saludos genéricos — Las comunicaciones legítimas de su banco o empleador suelen dirigirse a usted por su nombre. “Estimado cliente” o “Estimado usuario” es una señal de advertencia.
Adjuntos inesperados — Un documento de envío que no solicitó, una factura de un servicio que no reconoce, un “currículum” cuando no publicó una oferta de trabajo. Si no lo esperaba, verifique antes de abrir.
Enlaces que no coinciden con su descripción — Pase el cursor sobre los enlaces (sin hacer clic) para ver la URL de destino real. Si un enlace dice “Haga clic aquí para iniciar sesión en su banco”, pero muestra una URL como secure-login-honduras.com, no haga clic en él.
Solicitudes de credenciales o pagos — Los departamentos de TI y los bancos legítimos nunca solicitan su contraseña por correo electrónico. Los proveedores legítimos no cambian su cuenta bancaria de repente por correo electrónico sin confirmación telefónica.

Controles Técnicos y Humanos que Reducen el Riesgo de Phishing

Controles técnicos

Autenticación Multifactor (MFA) — Incluso si un atacante roba credenciales mediante phishing, la MFA evita que utilice esas credenciales para acceder a los sistemas. Este es el control más importante para mitigar las consecuencias de un phishing exitoso.
Autenticación de correo electrónico (DMARC, DKIM, SPF) — Configuradas adecuadamente para su dominio, estas normas impiden que los atacantes suplanten la dirección de correo electrónico de su organización y ayudan a identificar cuándo se suplantan los dominios de sus socios.
Puerta de enlace avanzada de seguridad de correo electrónico — Filtra correos electrónicos de phishing antes de que lleguen a las bandejas de entrada de los empleados utilizando análisis de reputación, sandboxing de URL (seguir enlaces en un entorno seguro para verificar a dónde van realmente) y análisis de archivos adjuntos.
Filtrado de DNS — Bloquea las conexiones a dominios maliciosos conocidos, de modo que incluso si un empleado hace clic en un enlace de phishing, la conexión a la infraestructura del atacante se bloquea antes de que ocurra cualquier daño.

Controles Humanos

Capacitación regular de concienciación sobre seguridad — Una defensa eficaz contra el phishing requiere capacitación continua, no una sesión única. Los empleados deben comprender las tácticas de phishing actuales, ver ejemplos reales del entorno de amenazas de Honduras y practicar el reconocimiento de las señales de advertencia.
Ejercicios simulados de phishing — El envío de correos electrónicos de prueba de phishing controlados a los empleados — elaborados utilizando las mismas técnicas que los atacantes reales — identifica a los empleados que necesitan capacitación adicional y mide la tasa de detección de phishing en el mundo real de la organización a lo largo del tiempo.
Procedimientos de reporte claros — Los empleados que sospechen de un correo electrónico de phishing necesitan una forma sencilla y de baja fricción para reportarlo. Si el proceso de reporte es complicado, los empleados ignoran los correos electrónicos sospechosos o los manejan por su cuenta, ninguno de los cuales genera la visibilidad que el equipo de seguridad necesita.

Preguntas Frecuentes — Phishing en Honduras

El empleado debe desconectar inmediatamente el dispositivo de la red.

Desconecte el dispositivo de la red inmediatamente: desenchufe el cable de red o apague la conexión WiFi. No intente deshacer lo que hizo ni cerrar ventanas del navegador, ya que esto puede destruir evidencia forense. Póngase en contacto con su equipo de TI o de seguridad inmediatamente e infórmeles exactamente lo que sucedió: qué correo electrónico recibió, qué enlace hizo clic y qué información (si la hay) introdujo. El tiempo es crucial: cuanto antes se notifique al equipo de seguridad, más rápido podrán contener cualquier daño. No se sienta avergonzado de informar; los atacantes tienen éxito porque los correos electrónicos de phishing están diseñados por profesionales para ser convincentes, y todos en la organización se benefician de una notificación rápida.

¿Cómo encuentran los atacantes información específica sobre empleados hondureños para usarla en correos electrónicos de phishing dirigidos?

LinkedIn es la fuente principal. Los atacantes estudian los perfiles de los empleados para comprender los títulos de trabajo, las responsabilidades, las relaciones de reporte y las conexiones. Los sitios web de las empresas revelan la estructura organizacional. Los directorios de la industria y las publicaciones especializadas identifican las relaciones comerciales. Las redes sociales revelan intereses personales que pueden usarse para elaborar señuelos convincentes. La mejor defensa es la conciencia de que esta investigación ocurre y que cualquier correo electrónico puede ser dirigido; la verificación de solicitudes inesperadas es siempre apropiada, independientemente de cuán convincente parezca un correo electrónico.

¿Cómo funciona el programa de simulación de phishing de GLADiiUM?

GLADiiUM diseña y envía correos electrónicos de prueba de phishing controlados a los empleados del cliente utilizando las mismas técnicas que los atacantes reales, incluidas plantillas diseñadas para parecerse a las campañas de phishing específicas dirigidas a organizaciones hondureñas. Los empleados que hacen clic en el enlace de prueba ven un mensaje educativo inmediato que explica lo que acaba de suceder y cómo identificar las señales de advertencia que pasaron por alto. Los resultados agregados, es decir, qué departamentos y grupos de empleados tuvieron las tasas de clics más altas, se informan a la gerencia sin identificar a las personas, lo que permite una inversión en capacitación específica.

Capacite a su equipo hondureño para reconocer y detener ataques de phishing

GLADiiUM ofrece programas de capacitación en concienciación sobre seguridad y simulación de phishing bilingües, diseñados específicamente para el entorno de amenazas hondureño, con entrega en sitio disponible en San Pedro Sula y Tegucigalpa.