En octubre de 1971, el ingeniero informático Ray Tomlinson logró enviar con éxito un mensaje de correo electrónico de un ordenador a otro situado justo al lado a través de ARPANET, una red de ordenadores que sirvió como precursora de internet.
Aunque el correo electrónico cumplió 50 años en noviembre de 2021, no fue hasta la comercialización de internet a mediados de los 90 que realmente despegó como una de las herramientas de comunicación más destacadas del mundo. Desafortunadamente, su auge también generó un uso indebido meteórico a medida que estafadores sin escrúpulos comenzaron a promocionar productos no deseados, ofertas falsas e incluso virus informáticos a las masas.
El phishing tiene más de 20 años
Sí, las estafas por correo electrónico tienen más de dos décadas. De hecho, las estafas de phishing, largamente asociadas con el correo electrónico, en realidad comenzaron unos años antes a través de la mensajería instantánea de AOL, con atacantes haciéndose pasar por personal de AOL y exigiendo a los usuarios que verificaran sus cuentas entregando contraseñas o información de facturación.
Sin embargo, a medida que el correo electrónico se convirtió en el medio preferido de interacción con clientes y organizaciones, los estafadores rápidamente cambiaron de táctica para explotar este canal. E-gold, una moneda de oro digital fundada en 1996, fue uno de esos objetivos de phishing y malware financiero mientras las estafas por correo electrónico estaban en su infancia.
Los ataques contra la empresa culminaron en una importante estafa de phishing en junio de 2001, dirigida a los miembros de su lista de correo. A esto le siguió, tras el 11-S, una segunda ronda de phishing, disfrazada de 'verificaciones de identidad'.
Las instituciones financieras son el deleite de los estafadores
Las instituciones financieras siempre fueron un objetivo obvio para los estafadores. Estas organizaciones no solo poseen conjuntos de datos ricos sobre sus clientes, sino que si los estafadores pueden hacerse también con los detalles de las cuentas de los clientes, pueden robarles directamente con facilidad. No es de extrañar entonces que la técnica utilizada en la estafa de phishing de e-gold se adoptara rápidamente para usarse también contra clientes de otras instituciones financieras.
eBay y PayPal fueron dos empresas más que se encontraron en el lado equivocado de las estafas por correo electrónico hace una década, y todavía hoy luchan por librarse de la suplantación de identidad por correo electrónico. En 2006, se reveló que el 75% de todas las estafas de phishing estaban centradas en eBay y PayPal, con correos de phishing que llevaban a los destinatarios a sitios web imitados y usaban sus datos de inicio de sesión para cometer fraude de identidad.
Otra víctima popular de las estafas por correo electrónico fue HMRC. No solo era una entidad 'de confianza' a los ojos de los destinatarios de correo electrónico, sino que legítimamente podía solicitar datos personales o financieros específicos a los destinatarios. HMRC tardó hasta 2007 en publicar su primera guía sobre correos de phishing y comunicaciones falsas. Esto surgió en respuesta a una oleada de correos fraudulentos que informaban a los destinatarios de que, 'Tras el último cálculo anual de su actividad fiscal, hemos determinado que usted tiene derecho a recibir una devolución de impuestos de £210. Por favor, envíe la solicitud de devolución de impuestos y permítanos entre 6 y 9 días para procesarla.'
La táctica adoptada por estos estafadores fue marcadamente diferente a algunas de las anteriores; en lugar de generar alarma, los autores intentaron inducir a los destinatarios a entregar sus datos con la promesa de un reembolso financiero. Fue un cambio de enfoque muy exitoso que provocó un gran aumento de estafas relacionadas con HMRC, hasta el punto de que, para 2016, una encuesta de Which? reveló que el 40% de los adultos habían recibido correos de phishing que decían ser de HMRC.
Paso a la autenticación DMARC
En respuesta a esto, HMRC implementó el protocolo de autenticación de correo electrónico DMARC (Domain-based Message Authentication, Reporting, and Conformance). DMARC es reconocido globalmente como la única forma de garantizar la legitimidad de las direcciones 'de' en los correos electrónicos y reducir los ataques de suplantación. En 2016, HMRC pudo detener 300 millones de correos de phishing que usaban su dominio simplemente al lograr la protección DMARC en p=reject.
DMARC es esencial para todas las empresas en 2022
Entonces, ¿dónde nos deja esto ahora? Bueno, los proveedores de seguridad de correo electrónico continúan intentando bloquear mensajes fraudulentos provenientes de dominios falsos que dicen ser de algunas de nuestras empresas más reconocidas. También intentan identificar ataques más personalizados y dirigidos que buscan clientes conocidos de otras organizaciones, quizás menos destacadas.
Pero donde estos sistemas fallan es en frenar la suplantación de identidad por correo electrónico desde dominios de correo legítimos. El dominio www.gov.uk puede ahora estar a salvo de ataques de suplantación gracias a la implementación de DMARC, pero lo mismo no puede decirse de muchos otros dominios del sector privado.
Han pasado 50 años desde el primer correo electrónico, y más de 20 desde la primera estafa por correo electrónico, y sin embargo este punto ciego en las defensas de seguridad de correo electrónico organizacional sigue estando preocupantemente expuesto. Para saber más sobre DMARC, cómo puede ayudar a proteger tu empresa y tu red más amplia de las estafas de phishing, y qué buscar en una solución DMARC, descarga hoy mismo nuestra Guía del Comprador gratuita.
