Según un informe publicado recientemente, basado en una muestra de 3 millones de usuarios y recolectado durante un periodo de alrededor de 3 meses, aproximadamente un 45% de las veces, los usuarios proporcionan sus credenciales de ingreso en los sitios de phishing que visitan.
El estudio, monitoreó sólo a los usuarios que llegaron exitosamente a un sitio de phishing activo que no fue bloqueado por las herramientas anti-phishing propias del navegador o filtrados como fraudulentos (experimento de phishing elude todos los filtros anti-spam), y se encontró que que en promedio, 12,5 de cada millon de clientes de la muestra para un banco en particular, visitaron el sitio de phishing.
Aqui están algunos de los hallazgos clave del informe:
- Cada ataque de phishing compromete a un número muy pequeño de clientes (0,000564%), pero debido al enorme número de ataques de phising, el número en conjunto es significativo.
- 45% de los clientes de bancos que fueron redirigidos a un sitio de phishing revelaron sus credenciales personales
- 0,47% de los clientes de banco caen víctimas de ataques de phishing cada año, lo cual se traduce en pérdidas por fraude anuales de entre u$s 2,4M – u$s 9,4M (por cada millón de usuarios clientes de banca electrónica)
- Cada institución financiera fue blanco, en promedio, de 16 sitios web de phishing por semana
- Esto se traduce en 832 ataques de phishing por año por marca de banco.
La lógica aplicada en el informe es similar a la lógica que enfaticé en un artículo anterior en el cual estaba en desacuerdo con lo que se declaraba en otro informe sobre cuan poco redituable es el phishing, y la economía en negro en general debido a los miles de cibercriminales robándose unos a otros la participación en el mercado de la actividad maliciosa.
Es una perspectiva de simples matemáticas y “visión desde la trinchera”. Por ejemplo, si el precio de lanzar una campaña de phishing (proveedor de spamming lanza servicio administrado de spamming) consistente de 50 millones de correos electrónicos es de u$s 500, si un solo usuario cae como víctima y pierde u$s 501, el phisher sale a mano y obtiene una ganancia.
- Considere ver los post relacionados: Phishers introduce ‘Chat-in-the-Middle’ fraud tactic; New study details the dynamics of successful phishing; Research: 76% of phishing sites hosted on compromised servers; Microsoft study debunks phishing profitability; Microsoft study debunks profitability of the underground economy; Phishers increasingly scamming other phishers; DIY phishing kits introducing new features; Phishers apply quality assurance, start validating credit card numbers; Lack of phishing attacks data sharing puts $300M at stake annually
El informe de Trusteer hace otra observación interesante, y es el hecho que no solo están los sitios activos de phishing, sino también aparentemente se las arreglan para eludir la protección anti-spam/phishing -si la hubiera- en la máquina del la posible víctima.
Con el tiempo promedio en que los sitios de phishing permanecen en línea, variando en función a múltiples factores, lo que pueden hacer la industria y la comunidad de seguridad en general para quitarle su efectividad a los ataques de phishing, es compartir información en última instancia proteger a mas gente, una práctica que según los informes de la investigación, pueden ahorrar hasta 300 millones anualmente .
Los efectos beneficos de compartir información fueron más recientemente confirmados en una revisión comparativa de Virus Bulletin sobre soluciones anti-spam, en la cual ellos concluyeron que el “esfuerzo combinado superó a los productos individuales“:
“En las pruebas, casi 200.000 correos fueron enviados a 14 soluciones anti-spam diferentes que se necesitaron para clasificarlos ya sea como válidos o como spam. La prueba reveló que ningun correo legítimo fue bloqueado por mas de 4 productos. Despues de la prueba, el equipo anti-spam de VB decidio ir más allá en esto y consideró un filtro hipotético que marque al correo como spam su al menos 5 de los productos lo hacen.
A diferencia de los productos individuales, el filtro hipotético no generó ningún falso positivo, y combina esta tasa de 0% de falsos positivos con una tasa impresionante de filtrado de spam de 99,89% (más alto que cualquiera de los productos individuales que probó VB).”
Más allá del potencial a largo plazo del phishing, y de la inevitable localización exitosa que alcanza a los nativos del idioma de las campañas de mensajes, los crimerware también conocidos como malware bancario (banker) tales como Zeus, Limbo, Adrenalin o URLZone, siguen siendo los mayores enemigos de la industria financiera, mayores que cualquier pronóstico financiero, no importa cuan negro sea.
Sea pragmático y recupere el control de su cuenta bancaria. Use Banca en un LiveCD, pida a su banco las condiciones del límite diario de extracciones y fíjelo de acuerdo a sus necesidades, consúlte sobre la disponibilidad del servicio de alertas por SMS que le permite recivir en tiempo real notificaciones sobre transacciones entrantes y salientes como sistema de alerta temprana sobre la cuenta bancaria comprometida.
Imágenes cortesía de PhishTank’s Statistics de Noviembre, de 2009 y Virus Bulletin.
Traducción: Raul Batista – Segu-info
Autor: Dancho Danchev
Fuente: Blogs ZDNet
