Antes de aprender lo qeu es el phishing, necesitamos entender el término ingeniería social. La ingeniería social es la manipulación psicológica de la gente para que realicen acciones o divulguen información explotando las debilidades en la naturaleza humana. Estas debilidades pueden ser la curiosidad, envidia, codicia e incluso amabilidad. El phishing es una forma de ingeniería social entregada a través de email para engañar a alguien para que revele información personal, credenciales o incluso ejecutar código malicioso.
Estos emails normalmente aparecen de una fuente confiable, sea una persona o negocio. Incluyen contenido que intenta tentar o engañar a la gente para que descarguen software, abran archivos adjuntos o sigan enlaces.
Un término con el que te cruzarás y que es el tipo de campaña en el que un integrante del red team trabaja es el spear-phishing, como lanzar una lanza. Tendrías que apuntar ya sea a un individuo o una organización.
Un ejemplo:
- El atacante localiza la localización física de un negocio objetivo.
- El atacante mira proveedores de comida cercanos y descubre una compañía llamada Ultimate Cookies.
- El atacante registra el dominio ultimate-cookies.thm.
- El atacante elabora un correo electrónico tentando a la primera empresa si se registran en su web. Debido a que la víctima probablemente ha oído hablar de la compañía es más probable que confíe.
- La víctima sigue el enlace y se registra.
- El atacante ahora tiene el email y la posible contraseña para iniciar sesión en el email de la víctima.
