Los ataques de whaling son estafas de phishing dirigidas a altos directivos, ejecutivos, miembros del consejo de administración, fundadores u otras personas de gran valor dentro de una organización. El nombre proviene de la idea de que los atacantes van tras los «peces gordos»: personas con autoridad, acceso y la capacidad de aprobar acciones sensibles.
Un ataque de whaling puede solicitar a la víctima que apruebe un pago, comparta documentos privados, introduzca una contraseña, abra un archivo adjunto o se una a una reunión falsa. En un Mac, el primer riesgo suele ser la confianza o el acceso a la cuenta, no el malware. Sin embargo, si el mensaje lleva a una descarga sospechosa, una página de inicio de sesión falsa o un archivo adjunto inseguro, la seguridad del dispositivo sigue siendo importante.
Fraude del director
Los atacantes se hacen pasar por el director u otro alto cargo y solicitan a alguien que apruebe un pago, comparta información o gestione rápidamente una solicitud confidencial.
Phishing ejecutivo
El atacante se dirige directamente a un ejecutivo, a menudo con un mensaje que parece proceder de un socio de confianza, un miembro del consejo de administración, un abogado, un proveedor o un compañero de trabajo.
Solicitudes legales falsas
Algunos correos electrónicos de whaling simulan estar relacionados con contratos, fusiones, disputas, asuntos fiscales o revisiones legales urgentes, lo que hace que la solicitud parezca privada e importante.
Suplantación de identidad mediante deepfake
Los ataques más avanzados pueden utilizar mensajes de voz, vídeo o chat falsos para que una solicitud dirigida a un ejecutivo parezca real, especialmente durante pagos urgentes o comprobaciones de identidad.
Los ataques de whaling consisten en hacer que una solicitud arriesgada parezca normal, privada e importante. Los atacantes suelen estudiar primero al objetivo y, a continuación, utilizan la autoridad o la presión para llevar a la persona a cometer un error que le suponga un alto coste.
01
Se investiga al objetivo
Los atacantes buscan cargos, líneas jerárquicas, planes de viaje, publicaciones públicas, noticias de la empresa, relaciones con proveedores o datos personales que hagan que el mensaje resulte creíble.
02
Se elige la solicitud
La estafa suele solicitar algo de valor, como un pago, una contraseña, un documento, un cambio en la cuenta, datos de empleados o información empresarial confidencial.
03
Finge ser una persona de confianza
El atacante puede hacerse pasar por un director general, un director financiero, un abogado, un miembro del consejo de administración, un proveedor, un asistente, un responsable de selección de personal o un servicio de confianza que la víctima ya conozca.
04
Se genera presión
El mensaje puede mencionar un plazo límite, un acuerdo confidencial, un asunto legal, una retención de pago, una advertencia sobre la cuenta o una solicitud de la dirección para que la verificación resulte incómoda.
05
Se aprovecha el acceso
Si la víctima responde, el atacante puede sustraer dinero, obtener acceso a cuentas o recopilar datos confidenciales que puedan utilizarse en futuros ataques.
¿Cuáles son algunos ejemplos reales de ataques de whaling?
Los ejemplos de whaling suelen denunciarse como «vulneración del correo electrónico empresarial», «fraude del director general» o «suplantación de ejecutivos». Estos casos resultan útiles porque muestran cómo la confianza, la autoridad y una aprobación precipitada pueden provocar graves pérdidas.
Fraude a FACC (2016)
La empresa aeroespacial austriaca FACC perdió decenas de millones de euros en un caso de ciberfraude ampliamente descrito como «fraude del director general». El ataque consistió en una solicitud de pago que parecía proceder de los canales de la alta dirección. Se trata de un claro ejemplo de cómo se puede abusar de la autoridad ejecutiva cuando las aprobaciones financieras dependen en exceso del correo electrónico.
Fraude de Ubiquiti (2015)
La empresa tecnológica Ubiquiti reveló que perdió 46,7 millones de dólares después de que su departamento financiero recibiera solicitudes fraudulentas que implicaban la suplantación de identidad de un empleado y la participación de una entidad externa. Los atacantes utilizaron ingeniería social para convencer al personal de que enviara fondos a cuentas bancarias en el extranjero bajo su control. Este ejemplo muestra cómo las solicitudes que parecen fiables pueden mover grandes cantidades de dinero cuando los controles financieros dependen en exceso del correo electrónico.
Intento de deepfake contra WPP (2024)
El gigante publicitario WPP denunció un intento de estafa dirigido al director ejecutivo Mark Read. Los atacantes crearon una cuenta falsa de WhatsApp, utilizaron clonación de voz generada por IA y organizaron una reunión en Microsoft Teams para suplantar al ejecutivo. El intento no tuvo éxito, pero demuestra cómo la suplantación de identidad de tipo whaling está pasando del correo electrónico a la voz, el vídeo y el chat.
¿Cuáles son los riesgos y las repercusiones de los ataques de whaling?
Los ataques de whaling pueden resultar costosos, ya que se dirigen a personas con capacidad para autorizar acciones confidenciales. Un solo mensaje convincente puede acarrear consecuencias significativas tanto para particulares como para organizaciones.
Pérdidas económicas
Las solicitudes de pago falsas, los cambios en facturas, las transferencias bancarias y las solicitudes relacionadas con adquisiciones pueden mover dinero rápidamente antes de que nadie se dé cuenta de que el mensaje era fraudulento.
Exposición de datos
Los ejecutivos pueden tener en su poder o solicitar archivos confidenciales, expedientes de empleados, documentos del consejo de administración, contratos, datos de clientes o planes de negocio privados que los atacantes desean obtener.
Apropiación de la cuenta
Una página de inicio de sesión falsa puede proporcionar a los atacantes acceso al correo electrónico, al almacenamiento en la nube, a plataformas financieras o a herramientas de colaboración utilizadas por el personal directivo.
Estafas de seguimiento
Un ataque de whaling exitoso puede proporcionar a los atacantes un punto de apoyo dentro de la organización. Pueden utilizar ese acceso para recabar más información, comprometer cuentas adicionales o dirigirse a otros empleados con nuevos ataques.
¿Quién corre mayor riesgo ante los ataques de whaling?
El whaling se centra en la autoridad y el acceso. Los atacantes suelen elegir a personas cuyo cargo hace que las solicitudes delicadas resulten creíbles o cuyas cuentas puedan dar acceso a sistemas más valiosos.
Ejecutivos
Los directores generales, directores financieros, fundadores, socios y consejeros son objetivos habituales, ya que sus nombres transmiten autoridad y sus cuentas pueden contener información confidencial.
Equipos financieros
Es posible que el personal financiero no sea la víctima principal, pero a menudo recibe solicitudes falsas de los ejecutivos relacionadas con pagos, cambios bancarios, facturas o transferencias urgentes.
Asistentes ejecutivos
Los asistentes suelen gestionar agendas, documentos, viajes, bandejas de entrada y autorizaciones, lo que puede convertirlos en objetivos útiles para los atacantes que tienen en el punto de mira a los altos directivos.
Miembros del consejo de administración
Los miembros del consejo de administración pueden recibir documentos confidenciales, actualizaciones legales, mensajes sobre adquisiciones o solicitudes de gobernanza que los atacantes pueden imitar para ejercer presión u obtener acceso.
¿Cómo puede prevenir los ataques de whaling?
La mejor defensa consiste en dificultar que las solicitudes confidenciales se tramiten con prisas. El whaling se basa en la autoridad y la urgencia, por lo que deben incorporarse comprobaciones prácticas en el trabajo diario, sin limitarlas a los casos de estafa evidentes.
Verifique las solicitudes confidenciales
Confirme las solicitudes de pago, contraseñas, documentos o cambios en las cuentas a través de un canal independiente de confianza, especialmente cuando el mensaje parezca urgente o confidencial.
Reduzca la urgencia
Considere la presión como una señal de alerta. Los buenos líderes deberían esperar comprobaciones adicionales cuando estén en juego dinero, datos privados o el acceso a cuentas.
Proteja las cuentas de los directivos
Utilice contraseñas seguras, autenticación multifactorial y configuraciones de recuperación rigurosas en el correo electrónico, el almacenamiento en la nube, las herramientas financieras y las plataformas de colaboración.
Limite la divulgación de información pública
Evite compartir planes de viaje innecesarios, estructuras internas, datos de proveedores o información personal que puedan ayudar a los atacantes a redactar un mensaje creíble.
Escanee los archivos de riesgo
Si un mensaje incluye un archivo adjunto o una descarga inesperada, no lo abra sin más. Escanee los archivos sospechosos y evite introducir contraseñas tras hacer clic en enlaces desconocidos.
Cómo contribuye Intego a reforzar la seguridad en Mac tras intentos de whaling
Los ataques de whaling se basan en el engaño, por lo que ninguna aplicación de seguridad puede verificar si una solicitud de un ejecutivo es legítima. El antivirus de Intego ayuda a proteger su Mac escaneando archivos sospechosos, detectando malware conocido para Mac y ayudándole a revisar su dispositivo tras un clic, una descarga o un archivo adjunto de riesgo.
Escaneo de archivos
El antivirus de Intego escanea los archivos de su Mac, lo que ayuda a detectar malware conocido oculto en archivos adjuntos, descargas o archivos compartidos a través de mensajes sospechosos.
Escaneos completos del Mac
Si alguien ha hecho clic en un enlace de riesgo o ha abierto un archivo dudoso, un escaneo completo puede ayudar a comprobar si el Mac contiene amenazas conocidas.
Eliminación de malware
El whaling puede dar lugar a instaladores inseguros, troyanos o spyware. La protección antivirus ayuda a encontrar y eliminar el malware conocido para Mac cuando se detecta.
Protección pensada para Mac
Intego está diseñado para macOS, por lo que la protección se adapta a la forma en que los usuarios de Mac abren archivos, navegan, descargan y trabajan a diario.
Los ataques de whaling se dirigen a una persona importante con un mensaje que parece personal, urgente y digno de confianza. El atacante puede hacerse pasar por un director general, un abogado, un miembro del consejo de administración, un proveedor o un servicio de confianza. El objetivo suele ser conseguir que la víctima apruebe un pago, comparta información confidencial, introduzca una contraseña o abra un archivo peligroso.
Los ataques de whaling se dirigen principalmente a personas con autoridad, acceso o influencia. Entre ellas suelen figurar directores generales, directores financieros, fundadores, consejeros, miembros del consejo de administración, altos directivos y asistentes ejecutivos. Los atacantes también pueden dirigirse a los equipos financieros haciéndose pasar por un ejecutivo. El objetivo real suele ser el dinero, los datos confidenciales, el acceso a cuentas o la facultad de aprobación.
El phishing habitual suele dirigirse a muchas personas con un mensaje amplio y genérico. El spear phishing se dirige a una persona o grupo específico. El whaling es un tipo de spear phishing más específico que tiene como objetivo a altos directivos u otros responsables de la toma de decisiones de gran valor. Los mensajes de whaling suelen estar mejor documentados, son más personalizados y es más probable que hagan referencia a dinero, asuntos legales, archivos confidenciales o autoridad ejecutiva.
Los atacantes pueden buscar contraseñas, autorizaciones de pago, datos bancarios, expedientes de empleados, documentos legales, datos de clientes, información fiscal, planes de negocio privados o acceso a cuentas de altos directivos. En ocasiones, el primer mensaje solo sirve para ganarse la confianza o establecer el contexto. Posteriormente, el atacante puede utilizar esa conversación para solicitar información más delicada.
Sí, algunos ataques de whaling pueden eludir los filtros de correo electrónico, ya que es posible que no incluyan malware evidente, texto típico del spam o enlaces sospechosos. Un mensaje puede ser breve, limpio y estar redactado manualmente. Algunos ataques también utilizan cuentas comprometidas, servicios de confianza o canales distintos del correo electrónico, como aplicaciones de mensajería y videollamadas. Los filtros ayudan, pero las personas siguen necesitando hábitos de verificación claros.
Las organizaciones pueden reducir el riesgo de whaling exigiendo una verificación fuera de canal para pagos, cambios bancarios, restablecimientos de contraseñas y solicitudes de documentos confidenciales. Las cuentas de los ejecutivos deben utilizar autenticación multifactorial y configuraciones de recuperación seguras. Se debe permitir a los equipos financieros y a los asistentes cuestionar las solicitudes urgentes sin temor. Los dispositivos también deben estar protegidos por si un mensaje da lugar a una descarga o un archivo adjunto de riesgo.
Intego
Fiable. Acreditado. Potente.
Impulsado por la innovación durante más de 25 años, Intego ha proporcionado soluciones avanzadas de ciberseguridad diseñadas para proteger lo que más importa: sus datos, su privacidad y sus dispositivos.
Con sus galardonadas herramientas antivirus, cortafuegos, VPN y de optimización del sistema, Intego combina una potente defensa con la sencillez y la fiabilidad que esperan los usuarios de Mac y PC.
