Suplantación de Identidad por Clonación: Cuando los Correos Legítimos se Vuelven Peligrosos
La suplantación de identidad por clonación es un ataque sofisticado en el que los ciberdelincuentes interceptan o recrean correos electrónicos legítimos de organizaciones confiables, para luego reenviar copias casi idénticas con enlaces o archivos adjuntos maliciosos. A diferencia de la suplantación de identidad tradicional que crea correos falsos desde cero, la clonación aprovecha la credibilidad de comunicaciones reales que ha recibido o espera recibir. Los atacantes típicamente monitorean el tráfico de correo, duplican un mensaje genuino de su banco, empleador o proveedor de servicios, y reemplazan los enlaces legítimos con otros maliciosos que conducen a sitios web para robar credenciales o descargas de malware. Esta técnica ha crecido un 35% año tras año según el Informe de Delitos en Internet del FBI de 2023, con pérdidas promedio alcanzando $2,000 por víctima. El ataque es particularmente efectivo porque el correo clonado a menudo llega poco después del legítimo, aparece en el mismo hilo de conversación, y contiene marcas idénticas, logos y mensajes. Los ataques de clonación de correo frecuentemente se dirigen a profesionales de negocios durante el procesamiento de facturas, solicitudes de restablecimiento de contraseña y notificaciones de actualización de software. El peligro de la clonación de correo radica en su explotación de relaciones de confianza establecidas. Cuando recibe lo que parece ser un mensaje de seguimiento de su departamento de TI o un segundo aviso de su compañía de tarjeta de crédito, su cautela es naturalmente menor que con comunicaciones inesperadas. Los atacantes explotan esta vulnerabilidad psicológica, sabiendo que los destinatarios son más propensos a hacer clic en enlaces en mensajes que parecen continuar conversaciones legítimas. La Comisión Federal de Comercio reportó que los esquemas de compromiso de correo empresarial que involucraban clonación de correo resultaron en más de $2.7 mil millones en pérdidas en 2023, convirtiéndolo en una de las formas más costosas de fraude cibernético.
Common Tactics
- • Interceptar correos electrónicos legítimos a través de cuentas de correo comprometidas o ataques de intermediario, permitiendo a los atacantes ver las comunicaciones genuinas antes de clonarlas con modificaciones maliciosas.
- • Crear copias idénticas de correos electrónicos de remitentes confiables como bancos, empleadores o proveedores de servicios, reemplazando solo los enlaces o archivos adjuntos incrustados mientras se mantiene todo el contenido, marca y formato sin cambios.
- • Cronometrar correos clonados para que lleguen dentro de horas o días del mensaje legítimo, a menudo afirmando ser un seguimiento, corrección o actualización urgente que requiere acción inmediata.
- • Falsificar direcciones de remitente para que parezca que el correo clonado proviene de la misma fuente legítima, utilizando técnicas como manipulación del nombre mostrado o dominios que se ven similares.
- • Incrustar enlaces maliciosos que redirigen a páginas de inicio de sesión diseñadas para robar credenciales, idénticas a sitios web legítimos, capturando nombres de usuario y contraseñas cuando las víctimas intentan iniciar sesión.
- • Usar cuentas de correo comprometidas de colegas, socios o contactos conocidos para enviar mensajes clonados, haciendo que el ataque parezca originarse dentro de redes confiables e incrementando la credibilidad.
How to Identify
- Recibir correos duplicados o casi duplicados sobre el mismo tema en un corto período de tiempo, especialmente si afirman que el mensaje anterior contenía un error o requiere acción urgente.
- Notar pequeñas discrepancias en direcciones de correo del remitente, como caracteres adicionales, números o dominios que se ven similares pero difieren por una letra de la fuente legítima.
- Encontrar que los enlaces en el correo, al pasar el cursor, muestran URLs que no coinciden con el dominio de la organización legítima o redirigen a través de URLs acortadas o direcciones IP desconocidas.
- Detectar urgencia inesperada en mensajes de seguimiento que afirman que su cuenta será suspendida, el pago fue rechazado o se requiere verificación inmediata, cuando la comunicación original no tenía tal urgencia.
- Observar pequeñas inconsistencias de formato, cambios de fuente inusuales o pequeñas alteraciones en logos o firmas que no estaban presentes en correos anteriores legítimos del mismo remitente.
- Recibir solicitudes de restablecimiento de contraseña, actualizaciones de facturas o notificaciones de envío que no inició, especialmente si llegan poco después de recibir una comunicación legítima similar.
How to Protect Yourself
- Verificar correos electrónicos sospechosos contactando al remitente a través de un canal de comunicación separado e independientemente obtenido, como un número de teléfono del sitio web oficial, nunca usando información de contacto del correo cuestionable.
- Escribir manualmente las URLs de sitios web directamente en su navegador en lugar de hacer clic en enlaces en correos electrónicos, especialmente para cuentas bancarias, de correo u otras cuentas sensibles que requieren credenciales de inicio de sesión.
- Habilitar autenticación multifactor en todas las cuentas críticas incluyendo correo electrónico, banca y sistemas de trabajo, lo que evita que los atacantes accedan a las cuentas incluso si obtienen su contraseña a través de clonación de correo.
- Pasar el cursor sobre todos los enlaces antes de hacer clic para inspeccionar la URL de destino real, y desconfiar de cualquier enlace que no conduzca al dominio legítimo de la organización o use acortadores de URL.
- Implementar reglas de filtrado de correo electrónico y software de seguridad que detecten direcciones de remitente falsificadas, marquen correos externos que afirmen ser de fuentes internas y adviertan sobre correos con características sospechosas.
- Establecer procedimientos de verificación con su organización para transacciones financieras, cambios de facturas y solicitudes sensibles que requieran confirmación a través de un segundo método de comunicación antes de tomar medidas.
Real-World Examples
Un dueño de pequeña empresa recibió lo que pareció ser un segundo aviso de su proveedor de suministros de oficina sobre una factura pendiente de $1,850. El correo era idéntico a una factura legítima recibida dos días antes, incluyendo los mismos detalles de pedido y logo del proveedor. La única diferencia era un enlace para "ver detalles de pago actualizados" que conducía a un portal de pago falso. Después de ingresar sus credenciales bancarias para realizar el pago, el atacante drenó la cuenta corriente de su negocio de $12,400 antes de que el fraude fuera descubierto.
Un empleado de una empresa de tecnología recibió un correo clonado que aparentaba provenir de su departamento de TI, pidiéndole que verificara su cuenta de Microsoft 365 tras una actualización de seguridad. El correo era una copia exacta de un aviso de TI legítimo enviado a toda la empresa tres horas antes. El empleado hizo clic en el enlace de verificación e ingresó sus credenciales en una página de inicio de sesión falsa convincente. En 30 minutos, el atacante accedió a la cuenta de correo del empleado y envió solicitudes de redirección de pago a los clientes de la empresa, resultando en $47,000 en pagos desviados.
Un propietario de vivienda recibió un correo clonado de lo que parecía ser su administrador de hipoteca, solicitando confirmación de detalles de la cuenta de depósito en garantía. El mensaje llegó un día después de un estado de análisis de depósito en garantía anual legítimo. Creyendo que era un seguimiento para asegurar la precisión, el propietario hizo clic en el enlace e ingresó sus credenciales de banca en línea. El estafador utilizó estas credenciales para iniciar transferencias bancarias por un total de $8,200 a cuentas en el extranjero antes de que el sistema de detección de fraude del banco señalara la actividad sospechosa.