Lejos de ser un concepto nuevo, el phishing se ha consolidado una de las principales causas de filtración de datos. Según un estudio de Deloitte, el 91% de todos los ciberataques comienzan con un correo electrónico de phishing y el 32% de las brechas exitosas implican el uso de técnicas de phishing. En este contexto, el phishing como servicio (PhaaS) está emergiendo como uno de los desarrollos de phishing más insidiosos, según analizan los expertos de TEHTRIS, empresa líder en la neutralización automática en tiempo real de ciberataques sin acción humana, en su último informe Threat Intelligence.
Si históricamente se requería un cierto nivel de experiencia para elaborar correos electrónicos convincentes, crear sitios web falsos y gestionar la infraestructura necesaria para lanzar y mantener una campaña de phishing, la aparición de PhaaS ha reducido drásticamente la barrera de entrada para llevar a cabo este tipo de operaciones. Las plataformas PhaaS operan a la sombra de Internet y, al tiempo que ofrecen una serie de herramientas y servicios -incluidos kits de phishing disponibles desde tan solo 2 dólares al mes-, se han vuelto accesibles a una amplia gama de atacantes, lo que ha cambiado el tamaño del panorama de amenazas y erosionado la confianza en el mundo digital.
Ciberdelincuentes a pesar de sí mismos: inmersión en campos de ciberdelincuencia en Asia
Los expertos de TEHTRIS alertan de que la facilidad para convertir en atacantes a cualquier persona con escasos o nulos conocimientos técnicos está promoviendo una de las facetas más oscuras del mundo de la ciberdelincuencia, los que han denominado como “campos de ciberdelincuencia”. Se trata de operaciones clandestinas, en las que las personas, a menudo atraídas mediante falsas ofertas de trabajo, son coaccionadas para llevar a cabo estafas online, incluido el phishing.
La ONU calcula que hay unas 120.000 víctimas en Myanmar y 100.000 en Camboya, mientras que decenas de miles de personas más se ven obligadas a trabajar en Laos, Filipinas y Tailandia. El Sudeste Asiático se ha convertido en un caldo de cultivo para los campamentos de ciberdelincuentes en los que, a las víctimas, se les prometen trabajos bien remunerados, pero se encuentran atrapadas, encarceladas y obligadas a participar en complejas estafas online dirigidas a personas de Europa y Norteamérica. Estas operaciones, a menudo camufladas bajo la apariencia de negocios online legítimos, emplean una variedad de esquemas fraudulentos, incluida la estafa de pig butchering (o estafa de la carnicería del cerdos), en la que las víctimas son seducidas por oportunidades de inversión fraudulentas.
Evolución de un campo de ciberdelincuencia en Myanmar entre 2021 y 2024
En estos recintos, algunos de los cuales albergan a miles de trabajadores, las víctimas de la trata se ven obligadas a participar en operaciones de estafa, sufriendo abusos físicos y manipulación psicológica. La escala de estas operaciones es enorme y la situación se ve agravada por la agitación política de Myanmar tras el golpe militar de 2021, que ha propiciado un entorno en el que estas empresas delictivas pueden operar con casi total impunidad. Esta anarquía, unida a la colaboración entre delincuentes chinos y grupos paramilitares locales, ha creado un refugio seguro para estas estafas, lejos del alcance de los mecanismos tradicionales de aplicación de la ley.
A escala internacional, se ha desencadenado una crisis en la que los países se debaten entre cómo proteger a sus ciudadanos para que no sean víctimas de estas estafas y cómo ayudar a sus nacionales que han sido víctimas de estas redes de ciberdelincuencia. Existe cierta coordinación en los esfuerzos por combatir esta lacra, como la alerta mundial de Interpol sobre el fraude alimentado por la trata de seres humanos y las iniciativas de países como Tailandia para interrumpir las cadenas de suministro que sustentan estas operaciones. Sin embargo, la eficacia de estas medidas se ve a menudo limitada por la complejidad de las dinámicas internacionales en juego y la escala del ecosistema de la ciberdelincuencia en la región.
“El fenómeno de los campos de concentración de ciberdelincuentes pone de relieve un aspecto sombrío de la industria de la ciberdelincuencia. La cuestión de si los avances en IA y automatización podrían reducir potencialmente la necesidad de operaciones de estafa operadas por humanos y, por extensión, la existencia de estos entornos coercitivos es compleja. Aunque la IA y la automatización plantean nuevos retos en el ámbito de la ciberseguridad, también ofrecen un rayo de esperanza para desmantelar este tipo de operaciones de explotación. Estas tecnologías tienen el potencial de transformar el panorama de la ciberdelincuencia, reduciendo posiblemente la dependencia de los centros de estafa operados por humanos, es probable que la transición sea gradual. Factores como la complejidad de las estafas, las consideraciones de costes y los esfuerzos en curso para combatir los abusos contra los derechos humanos desempeñarán un papel en la configuración del futuro de las operaciones de ciberdelincuencia”, señalan desde TEHTRIS.