Si bien el spam puede ser molesto, el verdadero problema lo representan sus acompañantes maliciosos, ya sea como phishing (suplantación de identidad) o directamente malware (software malicioso, programa malicioso o programa maligno).
De hecho, en una encuesta reciente, los CISO (Director de Seguridad de la Información) españoles, consideran las amenazas del e-mail como el principal riesgo de ciberseguridad para sus organizaciones.
El 55% cree que el comportamiento de los usuarios (hacer clic en enlaces de phising) es su mayor reto, por delante, incluso, de la nube pública o del uso de dispositivos móviles.
Desde el primer mensaje de spam conocido, cuando en 1978, Gary Thuerk, director de Marketing en Digital Equipment Corporation, envió un e-mail a 393 personas sobre la antigua red ARPANET para promocionar un producto han transcurrido más de 40 años.
Sin embargo, hoy en día se conoce que el spam inunda las bandejas de entrada del e-mail con ofertas no solicitadas sobre productos farmacéuticos, citas o puestos de trabajo.
De hecho, en abril de este año supuso el 85% de todo el correo electrónico a escala global según Talos, la división de ciberinteligencia de Cisco. Se ha informado que sólo ese mes se enviaron desde España 42 millones de e-mail spam.
El correo electrónico, entonces, es el principal vector para la distribución de malware (92,45%) y de phishing (96%). Lo más preocupante es que, protegerse, se ha vuelto cada vez más difícil para el 70% de los consultados.
“La ingeniería social y el uso de archivos adjuntos menos sospechosos (principalmente con extensiones doc, zip y pdf, los más comunes en el correo de empresa) hace que sea rentable”.
Los ataques Business Email Compromise (BEC) y Email Account Compromise (EAC), de acuerdo a los últimos datos, han representado pérdidas mundiales de mil 300 millones de dólares en 2018.
El ransomware, en comparación, sólo ha aportado a los ciberdelincuentes 3,6 millones de dólares. El 75% de las organizaciones, de hecho, ha tenido impactos significativos en su operativa y el 47% en sus finanzas debido a las amenazas del e-mail.
Defender el e-mail
España cuenta con el dudoso honor de contar con el mayor porcentaje de incidentes de seguridad en Europa, como resultado de abrir un e-mail no deseado en la organización; es decir, 54% frente a la media europea del 41%.
El 37% de los CISO españoles se han ocupado el pasado año de incidentes derivados del robo de claves mediante una de las amenazas del e-mail (phishing) y, sólo en mayo, el INCIBE (Instituto Nacional de Ciberseguridad) ha informado sobre cuatro campañas de este tipo de ataque de suplantación de identidad.
“Sin embargo, menos de la mitad de las organizaciones españolas (el 47%) utilizan soluciones de seguridad para el e-mail, aunque el volumen de ataques está aumentando a escala global. El spam acumula 15 meses de crecimiento continuado, y los nuevos dominios de phishing se incrementaron un 64% en el primer trimestre de 2019”.
Recomendaciones de Seguridad
Una de las principales recomendaciones para afrontar las amenazas del e-mail, es realizar simulacros regulares de phishing entre el personal; la intención es formar a los empleados en este sentido y desarrollar una conciencia sobre el peligro.
Además, recomendamos utilizar la autenticación multifactor para evitar el acceso a cuentas personales; mantener el software actualizado (aplicaciones e-mail gateway, sistemas operativos, navegadores, complementos), establecer autorizaciones para transferir dinero, examinar el mensaje (contenido, tono) y comprobar si coincide la firma con la dirección del remitente.
Además de soluciones tradicionales como bloqueadores de spam y URLs y sandboxing, es imprescindible un enfoque de seguridad en capas, comenzando por una protección perimetral del correo, y el uso de nuevas tecnologías como Machine Learning, DMARC y remediación del e-mail, que ayudan a proteger a las organizaciones de estas amenazas del e-mail siempre cambiantes.
Si bien existen soluciones muy completas en el mercado, como nuestro servicio Perimeter, Email firewall & security para el e-mail tanto cloud como on-premise, la asignatura pendiente sigue siendo la formación y concienciación del personal de la empresa..