El cibercrimen contemporáneo ha evolucionado hacia tácticas que no buscan vulnerar directamente los sistemas informáticos, sino manipular la percepción del usuario. El spoofing se ha consolidado como la técnica de camuflaje más efectiva en el ecosistema digital. Mediante la falsificación de identificadores de llamadas, direcciones de correo electrónico y servidores web, los atacantes logran que las pantallas muestren nombres de marcas globales o de contactos institucionales confiables.
El riesgo principal radica en que el usuario no interactúa con un remitente sospechoso, sino con una réplica exacta de una fuente de confianza. Los vectores de ataque más críticos operan a través de tres canales principales.
En el email spoofing, el atacante altera las cabeceras del correo para suplantar a un proveedor o directivo de la organización, buscando autorizaciones de pago falsas. El caller ID spoofing utiliza servicios VoIP para configurar llamadas que muestren el número real de la mesa de ayuda o entidades bancarias. El web spoofing crea sitios web idénticos a los originales empleando caracteres homóglifos en el dominio para capturar credenciales.
Para mitigar estos riesgos, es fundamental implementar una estrategia defensiva en dos niveles: técnico y conductual.
En la capa de infraestructura, se debe configurar estrictamente los protocolos SPF, DKIM y DMARC en los dominios corporativos. También es esencial desplegar autenticación de doble factor basada en aplicaciones o llaves de hardware FIDO2, eliminando la dependencia de SMS. Asimismo, utilizar pasarelas de seguridad web que analicen en tiempo real la reputación de los enlaces antes de permitir la conexión del usuario.
En la capa humana, ante cualquier solicitud telefónica urgente de datos o transferencias, es recomendable colgar inmediatamente e iniciar una nueva comunicación marcando el número oficial. Examinar minuciosamente la barra de direcciones en lugar de confiar solo en el diseño del sitio, buscando variaciones sutiles. Si un superior solicita un movimiento financiero inusual por correo, confirmar la instrucción mediante un canal de comunicación diferente, como una videollamada o de forma presencial.
Con Información de revistaseguridad.cl
