El costo de la suplantación de identidad: una amenaza que puede hacer perder millones a tu organización

Tipos de ataques de suplantación de identidad

Los ataques de suplantación de identidad pueden adoptar diversas formas; sobre todo mediante phishing, spoofing y estafa de ingeniería social correos electrónicos.

Ataques de phishing incluyen el envío de correos electrónicos fraudulentos para robar contraseñas, números de cuenta y otra información sensible. Las estafas de phishing – que representan 70 % de todos los ataques avanzados, lo que las convierte en el tipo de ataque más común – son un juego de números: los atacantes envían miles de correos fraudulentos con la esperanza de que solo un pequeño porcentaje de los destinatarios caiga en la trampa. Existen técnicas habituales empleadas por los atacantes a la hora de elaborar los correos de phishing que buscan aumentar sus posibilidades de éxito.

Los ataques de suplantación de identidad (spoofing) son una clase de ataque de phishing que va un paso más allá, con correos electrónicos fraudulentos magistralmente disfrazados para aparentar provenir de una fuente legítima y confiable. En términos generales, una estafa de suplantación de identidad se produce cuando un estafador en línea disfraza su identidad para hacerse pasar por un representante de una organización legítima. Cabe destacar que Apple, DropBox y PayPal se encuentran entre los principales objetivos de la ciberdelincuencia, incluidos los ataques de suplantación de identidad – Apple representa el 27,2 % de todas las estafas de phishing.

Los ataques de ingeniería social hacen referencia a diversas técnicas empleadas por los ciberdelincuentes para engañar a sus víctimas y lograr que revelen información sensible, o que realicen determinadas acciones que comprometan la seguridad. Según informe «Overview Statistic» de Gitnux de 2023, un informe presentado al Centro de Denuncias de Delitos en Internet de EE. UU., se registró la asombrosa cifra de 324 mil personas afectadas por la ciberdelincuencia solo en 2021. El informe confirma además que el 90 % de las filtraciones de datos en las empresas tienen un componente de ingeniería social, lo que pone aún más de relieve la necesidad de que las organizaciones refuercen sus medidas de ciberseguridad.

Costo real de los ataques de suplantación de identidad

Cuando se trata del costo de los ataques de suplantación de identidad, tanto en pérdidas económicas como en daños a la reputación, las cifras pueden ser asombrosas.

El Cost of a Data Breach Report 2022 de IBM reveló que el costo promedio de una filtración de datos provocada por un ataque de ingeniería social ronda los 4,35 millones de dólares, un notable aumento del 12,7 % respecto a los resultados del informe de 2020. En lo más alto de la lista, el costo promedio de una filtración de datos con una estafa de phishing como vector de ataque inicial se situó en 4,91 millones de dólares. El siguiente gráfico procede del informe y muestra los principales vectores de ataque iniciales por porcentaje de filtraciones y costo promedio:

Un estudio de caso real que demuestra el costo de un ataque de suplantación de identidad es Nikkei Inc, que perdió una suma considerable de 29 millones de dólares. Se envió un correo electrónico fraudulento a una filial de Nikkei en Estados Unidos, haciéndose pasar por un proveedor legítimo, e indicando al destinatario que transfiriera fondos a una cuenta fraudulenta. Este ataque provocó la pérdida de millones de dólares, lo que demuestra que, a veces, los ataques de suplantación de identidad más eficaces también pueden ser los más sencillos.

Otro ejemplo real es el ataque de suplantación de identidad dirigido a la Ciudad canadiense de Saskatoon. Se envió un correo electrónico fraudulento a la ciudad, haciéndose pasar por una empresa constructora con la que la ciudad tenía relación comercial. El correo indicaba que se actualizaran los datos de pago de un próximo pago, lo que resultó en la transferencia de 1 millón de dólares a una cuenta fraudulenta.

La Toyota Boshoku Corporation también fue víctima de un ataque de suplantación de identidad que le hizo perder 37 millones de dólares, a raíz de un correo electrónico fraudulento enviado a una filial en Tailandia, haciéndose pasar por un alto ejecutivo de la empresa. El correo indicaba a la filial que transfiriera fondos a una cuenta fraudulenta.

Daños a la reputación

Si bien las pérdidas económicas de los ataques de suplantación de identidad ya son motivo suficiente de preocupación, existe un riesgo adicional: el daño que se produce en la reputación de una organización.

En 2021, Ubiquiti Networks Inc sufrió un ataque de phishing por correo electrónico que provocó una filtración de datos. Los atacantes accedieron a las direcciones de correo electrónico, direcciones de envío y números de teléfono de los clientes, lo que dañó la reputación de la empresa debido a la pérdida de confianza en su capacidad para proteger la información de los clientes. Un año después, Ubiquiti también perdió 46,7 millones de dólares a raíz de un ataque de suplantación de identidad, lo que demuestra lo convincentes que pueden llegar a ser los ciberataques – ¡incluso cuando una organización ya ha sido blanco de ataques anteriormente!

El Comité Nacional Demócrata (DNC) fue blanco de un ataque de phishing por correo electrónico por parte de hackers rusos, quienes accedieron a las cuentas de correo electrónico de la organización y filtraron miles de correos electrónicos confidenciales durante las elecciones presidenciales de EE. UU. Los correos contenían contenido controvertido, lo que provocó acusaciones de parcialidad y causó un daño reputacional significativo al DNC.

Estos estudios de caso no solo ponen de relieve la facilidad con la que pueden tener éxito los ataques de suplantación de identidad, sino que también demuestran lo rápido que se puede dañar la reputación de una organización cuando se percibe que es incapaz de proteger información sensible, tanto la propia como la de sus clientes.

El siguiente gráfico muestra una comparación de los costos promedio de las filtraciones de datos por país o región en 2021 y 2022.

Prevención y mitigación

Prevenir y mitigar los daños de los ataques de suplantación de identidad requiere un enfoque multifacético, que combina intervenciones tanto técnicas como no técnicas.

Una intervención técnica clave es la implementación de DMARC, un protocolo de autenticación de correo electrónico que permite a las organizaciones proteger sus dominios frente a la suplantación de identidad y los ataques de phishing. DMARC garantiza una seguridad excepcional que reduce el riesgo de ataques de suplantación de identidad, al permitir que las organizaciones se protejan frente a la suplantación de identidad y los ataques de phishing.

Cuando se trata de proteger a su organización de la amenaza de un ataque de suplantación de identidad, es importante conocer tu puntaje para comprender mejor qué tan protegidos están su dominio y el nombre de su marca frente a los estafadores de correo electrónico. Ponte en contacto hoy mismo para descubrir cómo podemos reducir la vulnerabilidad de su organización y mantenerla a salvo de los estafadores.