Una sola dirección sirvió el 57,1 % del phishing de la semana

Por Inteligencia QuantumSec · Píldoras de inteligencia · 2 min de lectura

Generada con 0data a partir de lo que ingiere cada día.

Del 21 al 27 de octubre, detectamos 445 URLs de phishing con puntuación alta. Es un 41,9 % por encima de una semana normal (la mediana de las ocho anteriores es 313,5). Hemos diseccionado 445 distintas para ver qué tienen en común.

445 URLs de phishing de puntuación alta esta semana (+41,9 % frente a una semana normal)

26 ago: 99 · 2 sep: 444 · 9 sep: 317 · 16 sep: 337 · 23 sep: 273 · 30 sep: 299 · 7 oct: 310 · 14 oct: 329 · 21 oct: 445

0,9 %: con candado HTTPS
0,4 %: en plataformas legítimas (Cloudflare, Vercel, Firebase…)
71,9 %: con una IP en vez de dominio
1: apuntan a España (dominio .es o marca española)

Cómo están montadas

Con una IP en vez de dominio: 71.9 %
En una plataforma legítima: 0.4 %
En un dominio propio: 27.6 %

Dónde vive cada web de phishing de la semana

Una sola fábrica

254 de las 445 URLs salen de un mismo sitio: 43.156.0.130. En total solo hay 123 direcciones distintas. Así es el phishing de hoy: pocas máquinas que generan miles de enlaces, cada uno con una ruta distinta para esquivar las listas de bloqueo que comparan la URL entera.

43.156.0.130 — 254
49.51.43.12 — 61
allegrolokainie.salesblack91194.cfd — 2
allegrolokalnie.deepre175.cfd — 2
allegrolokalnie.granddeer665.cfd — 2

Direcciones que más URLs de phishing sirvieron

Qué suplantan

Google — 316
Meta (Facebook, Instagram, WhatsApp) — 38
Netflix — 1
Bancos — 1

356 de 445 URLs llevan una marca reconocible en el dominio o la ruta; el resto la esconde en el contenido de la página

Dónde se alojan

Webflow — 1
Cloudflare Pages — 1

URLs alojadas en servicios gratuitos o de despliegue

Dominio de primer nivel	URLs
.com	49
.cfd	23
.net	5
.pics	4
.shop	4
.top	4

España, aparte

1 de las 445 URLs apuntan a España: un dominio .es o una marca española en la dirección (MRW (1)). Son las que llegan por SMS y por correo en español, y las que más se confían.

Cómo se monta, en ATT&CK

Técnica	ATT&CK	Esta semana
Phishing con enlace	T1566.002	445 URLs esta semana
Dominios propios	T1583.001	123 de 445 analizadas
Servicios web legítimos	T1583.006	2 de 445 analizadas
Servidores alquilados	T1583.003	320 de 445, con una IP pelada

Compruébalo en vuestra casa

Dos comprobaciones de un minuto sobre vuestro propio dominio (cambiad «vuestrodominio.es»): si tiene DMARC, que impide que otros manden correo en vuestro nombre, y qué dominios parecidos al vuestro existen ya.

dig +short TXT _dmarc.vuestrodominio.es
pip install dnstwist && dnstwist --registered vuestrodominio.es

Si DMARC no devuelve nada, o devuelve «p=none», cualquiera puede suplantar vuestro remitente. Lo ideal es «p=reject».

Qué hacer hoy

Una dirección numérica pidiendo una contraseña es phishing
El 71,9 % de estas URLs usa una IP en vez de un nombre. Ningún servicio serio os pide iniciar sesión en http://43.x.x.x: si el navegador lo muestra, se cierra la pestaña.
Enseñad a leer el dominio, no la página
Una web de phishing copia el logotipo en minutos; lo que no puede copiar es el dominio. Una dirección de pages.dev, vercel.app o una IP pidiendo la contraseña del banco no necesita más análisis.
Medid, no supongáis
Una simulación con plantillas como estas dice qué parte de la plantilla cae y dónde reforzar. Si alguien ya cayó: qué hacer si un empleado cae en un phishing.

Esta tarde, a las 17:30: Lo que se filtra, qué se llevan los ladrones de credenciales y cuánto se publica.

Cómo lo medimos. Ventana: del 21 al 27 de octubre (semana cerrada, hora UTC). Se cuentan las URLs con puntuación alta (críticas o altas) por su primera aparición; el análisis de forma se hace sobre 445 URLs distintas de la semana. Una marca se detecta si aparece en el dominio o en la ruta: las que solo la llevan en la página no cuentan. Las cifras las cuenta 0data, nuestra plataforma de datos, directamente sobre lo ingerido; ninguna está estimada. Así está hecha por dentro.

Hecho con 0data. La plataforma · Cómo está hecha por dentro · Todas las píldoras

Servicio relacionado

simulación de phishing

Temas de este artículo

#Anatomía-del-phishing #Phishing #Ingeniería-social #Concienciación

Seguir leyendo

Medid cuánto cae vuestra plantilla