Una sola dirección sirvió el 64,9 % del phishing de la semana

Por Inteligencia QuantumSec · Píldoras de inteligencia · 1 min de lectura

Generada con 0data a partir de lo que ingiere cada día.

Del 7 al 13 de octubre, detectamos 310 URLs de phishing con puntuación alta. Es un 8,4 % por encima de una semana normal (la mediana de las ocho anteriores es 286). Hemos diseccionado 305 distintas para ver qué tienen en común.

310 URLs de phishing de puntuación alta esta semana (+8,4 % frente a una semana normal)

12 ago: 2 · 19 ago: 1 · 26 ago: 99 · 2 sep: 444 · 9 sep: 317 · 16 sep: 337 · 23 sep: 273 · 30 sep: 299 · 7 oct: 310

1 %
con candado HTTPS
3,3 %
en plataformas legítimas (Cloudflare, Vercel, Firebase…)
82,6 %
con una IP en vez de dominio

Cómo están montadas

  • Con una IP en vez de dominio: 82.6 %
  • En una plataforma legítima: 3.3 %
  • En un dominio propio: 14.1 %

Dónde vive cada web de phishing de la semana

Una sola fábrica

198 de las 305 URLs salen de un mismo sitio: 43.156.0.130. En total solo hay 53 direcciones distintas. Así es el phishing de hoy: pocas máquinas que generan miles de enlaces, cada uno con una ruta distinta para esquivar las listas de bloqueo que comparan la URL entera.

  1. 43.156.0.130 — 198
  2. 49.51.43.12 — 52
  3. yfdabv8.com — 5
  4. 43.165.129.163 — 1
  5. 43.167.235.101 — 1

Direcciones que más URLs de phishing sirvieron

Qué suplantan

  1. Google — 250
  2. Cripto (Coinbase, Binance, MetaMask…) — 4
  3. PayPal — 1
  4. Microsoft / Office 365 — 1

256 de 305 URLs llevan una marca reconocible en el dominio o la ruta; el resto la esconde en el contenido de la página

Dónde se alojan

  1. Netlify — 3
  2. Cloudflare R2 — 3
  3. Blogger — 2
  4. Webflow — 1
  5. Cloudflare Pages — 1

URLs alojadas en servicios gratuitos o de despliegue

Dominio de primer nivelURLs
.com24
.dev4
.pl3
.app3
.top2
.cc2

Qué hacer hoy

  1. Una dirección numérica pidiendo una contraseña es phishing
    El 82,6 % de estas URLs usa una IP en vez de un nombre. Ningún servicio serio os pide iniciar sesión en http://43.x.x.x: si el navegador lo muestra, se cierra la pestaña.
  2. Enseñad a leer el dominio, no la página
    Una web de phishing copia el logotipo en minutos; lo que no puede copiar es el dominio. Una dirección de pages.dev, vercel.app o una IP pidiendo la contraseña del banco no necesita más análisis.
  3. Medid, no supongáis
    Una simulación con plantillas como estas dice qué parte de la plantilla cae y dónde reforzar. Si alguien ya cayó: qué hacer si un empleado cae en un phishing.

Cómo lo medimos. Ventana: del 7 al 13 de octubre (semana cerrada, hora UTC). Se cuentan las URLs con puntuación alta (críticas o altas) por su primera aparición; el análisis de forma se hace sobre 305 URLs distintas de la semana. Una marca se detecta si aparece en el dominio o en la ruta: las que solo la llevan en la página no cuentan. Las cifras las cuenta 0data, nuestra plataforma de datos, directamente sobre lo ingerido; ninguna está estimada. Así está hecha por dentro.

Hecho con 0data. La plataforma · Cómo está hecha por dentro · Todas las píldoras

Servicio relacionado

simulación de phishing

Temas de este artículo

#Anatomía-del-phishing #Phishing #Ingeniería-social #Concienciación

Seguir leyendo

Medid cuánto cae vuestra plantilla