Una sola dirección sirvió el 68,5 % del phishing de la semana

Por Inteligencia QuantumSec · Píldoras de inteligencia · 1 min de lectura

Generada con 0data a partir de lo que ingiere cada día.

Del 14 al 20 de octubre, detectamos 329 URLs de phishing con puntuación alta. Es un 8 % por encima de una semana normal (la mediana de las ocho anteriores es 304,5). Hemos diseccionado 324 distintas para ver qué tienen en común.

329 URLs de phishing de puntuación alta esta semana (+8 % frente a una semana normal)

19 ago: 1 · 26 ago: 99 · 2 sep: 444 · 9 sep: 317 · 16 sep: 337 · 23 sep: 273 · 30 sep: 299 · 7 oct: 310 · 14 oct: 329

0 %
con candado HTTPS
1,9 %
en plataformas legítimas (Cloudflare, Vercel, Firebase…)
87 %
con una IP en vez de dominio

Cómo están montadas

  • Con una IP en vez de dominio: 87.0 %
  • En una plataforma legítima: 1.9 %
  • En un dominio propio: 11.1 %

Dónde vive cada web de phishing de la semana

Una sola fábrica

222 de las 324 URLs salen de un mismo sitio: 43.156.0.130. En total solo hay 48 direcciones distintas. Así es el phishing de hoy: pocas máquinas que generan miles de enlaces, cada uno con una ruta distinta para esquivar las listas de bloqueo que comparan la URL entera.

  1. 43.156.0.130 — 222
  2. 49.51.43.12 — 56
  3. 140.233.190.56 — 1
  4. 2.27.21.82 — 1
  5. 43.160.238.232 — 1

Direcciones que más URLs de phishing sirvieron

Qué suplantan

  1. Google — 278
  2. Firma y documentos (DocuSign, Adobe…) — 2

280 de 324 URLs llevan una marca reconocible en el dominio o la ruta; el resto la esconde en el contenido de la página

Dónde se alojan

  1. Cloudflare R2 — 4
  2. Netlify — 1
  3. Blogger — 1

URLs alojadas en servicios gratuitos o de despliegue

Dominio de primer nivelURLs
.cc9
.com8
.id4
.dev4
.cfd3
.forum2

Qué hacer hoy

  1. Una dirección numérica pidiendo una contraseña es phishing
    El 87 % de estas URLs usa una IP en vez de un nombre. Ningún servicio serio os pide iniciar sesión en http://43.x.x.x: si el navegador lo muestra, se cierra la pestaña.
  2. Enseñad a leer el dominio, no la página
    Una web de phishing copia el logotipo en minutos; lo que no puede copiar es el dominio. Una dirección de pages.dev, vercel.app o una IP pidiendo la contraseña del banco no necesita más análisis.
  3. Medid, no supongáis
    Una simulación con plantillas como estas dice qué parte de la plantilla cae y dónde reforzar. Si alguien ya cayó: qué hacer si un empleado cae en un phishing.

Cómo lo medimos. Ventana: del 14 al 20 de octubre (semana cerrada, hora UTC). Se cuentan las URLs con puntuación alta (críticas o altas) por su primera aparición; el análisis de forma se hace sobre 324 URLs distintas de la semana. Una marca se detecta si aparece en el dominio o en la ruta: las que solo la llevan en la página no cuentan. Las cifras las cuenta 0data, nuestra plataforma de datos, directamente sobre lo ingerido; ninguna está estimada. Así está hecha por dentro.

Hecho con 0data. La plataforma · Cómo está hecha por dentro · Todas las píldoras

Servicio relacionado

simulación de phishing

Temas de este artículo

#Anatomía-del-phishing #Phishing #Ingeniería-social #Concienciación

Seguir leyendo

Medid cuánto cae vuestra plantilla