Un estudio de Symantec revela que el 25% de las visitas a un sitio de phishing se produce durante la primera hora del lanzamiento del fraude. Transcurridas 12 horas habrá recibido el 60% de las visitas. Si los servicios antiphishing tardan más tiempo en desactivarlos, ¿cuál es su efectividad real en la prevención del fraude?
El estudio, que se ha llevado a cabo durante varios meses, analiza los logs correspondientes a 6.158 ataques, y pone números a algo que todos sabíamos: en un fraude por phishing las primeras horas son cruciales y concentran el mayor porcentaje de las visitas y estafas.
Durante las 6 primeras horas del ataque se llegarían a concentrar el 51,6% de las visitas, entre las 6 y 12 horas aumenta un 10,7%, entre las 12 y 24 horas se suma un 13%, y el 24,6% de las visitas restantes se suceden transcurridas las primeras 24 horas.
Estos datos dejan en entredicho la efectividad de los servicios antiphishing reactivos que mantienen medias superiores a las 6 horas de cierre, ya que no evitarían la mayoría de las visitas y por tanto la rentabilidad del ataque. Esto explica en parte que, pese a la inversión en este tipo de servicios, los ataques a ciertas entidades sigan siendo periódicos.
Desde el punto de vista del atacante, un servicio antiphishing de una entidad que cierre en el menor tiempo posible repercutiría negativamente en su negocio, y por tanto es de preveer que migrara sus ataques a otras entidades que no entorpecieran tanto el fraude.
Por ello la velocidad en el cierre de las infraestructuras de phishing es crucial en la prevención, tanto por los casos puntuales, como por estrategia a medio plazo que conlleve una disminución en los ataques a una entidad al dejar de ser un objetivo rentable.
¿Deberían las entidades exigir tiempos de reacción a los servicios antiphishing?
Queda claro que a mayor tiempo de reacción aumenta la rentabilidad del atacante, lo que también favorecería que la entidad sufra nuevos ataques. Como efecto colateral la empresa que ofrece el servicio antiphishing tendría que llevar a cabo más actuaciones, y también saldría beneficiada económicamente. Algo falla en la ecuación.
Dada la importancia de la velocidad de reacción, es lógico pensar que la entidad requiriera establecer algún tipo de escala basada en tiempos. No debería pagar lo mismo por la desactivación de un phishing en 1 hora que en 24, debería incentivar y premiar la mayor celeridad posible en las actuaciones, inclusive no pagar aquellas que se dilaten demasiado en el tiempo.
La realidad es que el cierre de una infraestructura de phishing depende de factores externos que no puede controlar la empresa de seguridad, y por lo tanto la efectividad en casos concretos, o en determinadas campañas, puede ser muy variable. No obstante, eso no debe ser ápice para que se establezcan mecanismos que incentiven los mejores resultados.
De los últimos 100 casos de phishing gestionados por el servicio antifraude de Hispasec, 47 de ellos se cerraron en menos de 1 hora. La media de cierre se sitúa en 3 horas 1 minuto.
bernardo@hispasec.com
Más información:
Server Log Analysis of Phishing Web Sites
http://www.symantec.com/enterprise/security_response/weblog/2007/12/server_log_analysis_of_phishin.html
Deja una respuesta