Netflix y Mastercard, entre las 10 marcas más explotadas en campañas de phishing en 2024
Introducción
El panorama del phishing y el fraude online continúa evolucionando a un ritmo vertiginoso, con los ciberdelincuentes adoptando estrategias cada vez más sofisticadas para maximizar el impacto de sus ataques. Un reciente informe publicado por Kaspersky, titulado «Financial cyberthreats in 2025 and the outlook for 2026», pone de manifiesto un preocupante repunte en el uso de marcas digitales ampliamente reconocidas como señuelo para engañar tanto a usuarios particulares como a empleados de organizaciones. Entre las más explotadas en campañas recientes se encuentran Netflix y Mastercard, situándose ambas entre las diez marcas más utilizadas en ataques de phishing a nivel global durante 2024.
Contexto del Incidente o Vulnerabilidad
La utilización fraudulenta de la imagen de marcas consolidadas no es una táctica nueva, pero el informe de Kaspersky destaca un incremento notable en la sofisticación y volumen de estos ataques. Plataformas de streaming, sitios de comercio electrónico y sistemas de pago digital son actualmente los principales objetivos, consolidando una tendencia donde la confianza del usuario en servicios populares actúa como vector primario de ataque. Netflix lidera la lista de marcas suplantadas, seguida de cerca por Mastercard, PayPal, Amazon y otros nombres de referencia en el sector digital y financiero.
El informe analiza incidentes detectados entre el segundo semestre de 2023 y el primer trimestre de 2024, identificando un aumento del 17% en los intentos de phishing relacionados con servicios financieros y de suscripción digital. Este incremento se atribuye tanto a la mayor dependencia digital de la población como a la profesionalización de los grupos de ciberdelincuentes, que emplean técnicas de ingeniería social avanzadas y herramientas automatizadas para escalar sus campañas.
Detalles Técnicos
Los ataques de phishing descritos en el informe suelen comenzar con la distribución masiva de correos electrónicos fraudulentos que simulan comunicaciones legítimas de marcas como Netflix o Mastercard. Estos mensajes suelen incluir solicitudes urgentes de actualización de datos, verificación de cuentas o problemas de facturación, e incorporan enlaces a landing pages falsas cuidadosamente diseñadas para replicar el aspecto de las webs originales.
Los vectores de ataque más frecuentes incluyen:
– **Correo electrónico (phishing clásico)**: Utilización de servidores comprometidos y técnicas de spoofing de dominios para mejorar la credibilidad del remitente.
– **Mensajería instantánea y SMS (smishing)**: Empleo de enlaces acortados y redirecciones para evadir filtros de seguridad.
– **Publicidad maliciosa y SEO poisoning**: Manipulación de resultados de búsqueda y anuncios en plataformas como Google o redes sociales para dirigir a los usuarios a sitios de phishing.
En cuanto a las tácticas, técnicas y procedimientos (TTP) alineados con el framework MITRE ATT&CK, destacan:
– **T1566.001 (Phishing: Spearphishing Attachment)** y **T1566.002 (Phishing: Spearphishing Link)**
– **T1192 (Spearphishing Link)**
– **T1204 (User Execution)**
Indicadores de compromiso (IoC) recogidos incluyen dominios typosquatting, certificados SSL falsificados y patrones de URL similares a los de las marcas legítimas. En algunos casos, se ha detectado el uso de kits de phishing distribuidos en foros clandestinos, que facilitan la creación de páginas fraudulentas en minutos.
Impacto y Riesgos
El impacto de estas campañas es significativo tanto a nivel económico como reputacional. Según el informe, el 38% de los usuarios afectados experimentaron pérdidas económicas directas, con un coste medio de 650 euros por incidente en Europa Occidental. Para las empresas, las consecuencias van más allá de las pérdidas financieras, incluyendo sanciones regulatorias bajo normativas como el GDPR y la NIS2, además de daños a la confianza del cliente y posibles interrupciones operativas.
La sofisticación de los ataques dificulta la detección temprana, permitiendo a los actores maliciosos obtener credenciales, datos bancarios y otra información sensible que puede ser utilizada para fraudes posteriores, movimientos laterales o incluso acceso a activos corporativos críticos.
Medidas de Mitigación y Recomendaciones
Para los responsables de ciberseguridad, la respuesta ante esta amenaza debe ser integral y proactiva. Se recomiendan las siguientes medidas:
– **Implementar autenticación multifactor (MFA)** en todos los servicios críticos, especialmente aquellos vinculados a pagos y acceso a datos sensibles.
– **Desplegar soluciones avanzadas de filtrado de correo electrónico** que incluyan análisis de enlaces, sandboxing y detección de dominios similares.
– **Monitorizar continuamente los dominios asociados a la organización** para identificar posibles intentos de typosquatting y phishing.
– **Formar periódicamente a empleados y usuarios** en la identificación de campañas de phishing y buenas prácticas de seguridad.
– **Colaborar con proveedores de servicios y plataformas** para agilizar la eliminación de sitios fraudulentos mediante procesos de takedown.
Opinión de Expertos
Expertos como Javier Candau, jefe del Departamento de Ciberseguridad del CCN-CERT, han subrayado la importancia de combinar tecnologías de prevención con una estrategia de concienciación continua: “Las campañas de phishing evolucionan constantemente, por lo que la resiliencia organizativa depende tanto de la tecnología como del factor humano”.
Por su parte, analistas de Kaspersky advierten que la aparición de kits de phishing como servicio (PhaaS) y la integración de inteligencia artificial generativa en la creación de mensajes hacen prever un aumento en el volumen y calidad de los ataques para 2025.
Implicaciones para Empresas y Usuarios
Las organizaciones deben revisar sus planes de contingencia y respuesta ante incidentes, adaptando sus controles a un entorno donde la suplantación de marca es ya una amenaza persistente. Los usuarios, por su parte, deben extremar la cautela ante cualquier comunicación que requiera la introducción de credenciales o datos de pago, incluso si aparenta provenir de fuentes legítimas.
El cumplimiento normativo, especialmente en sectores regulados bajo GDPR y NIS2, exige una vigilancia activa y la notificación inmediata de brechas que puedan suponer un compromiso de datos personales.
Conclusiones
El estudio de Kaspersky confirma que el phishing basado en la explotación de marcas digitales seguirá creciendo y sofisticándose. Los equipos de seguridad deben reforzar sus capacidades de detección, respuesta y formación para mitigar este riesgo, mientras que el sector empresarial debe colaborar en la protección de la identidad digital de sus marcas. La anticipación y la resiliencia serán claves para afrontar el reto de un phishing cada vez más profesionalizado y dirigido.
(Fuente: www.cybersecuritynews.es)