Seguridad Informática I.IV

2.3. Whaling

Cómo funciona y cómo protegerse.

Whaling: el arte de pescar directivos… y dejar temblando a toda la empresa

Cuando el ataque llega, suele tener apariencia de máxima confianza: una orden urgente del CEO, una notificación bancaria dirigida solo al responsable financiero o un supuesto documento interno para revisar. Si consiguen que la víctima pique, pueden obtener datos críticos, acceso a sistemas privilegiados o incluso provocar transferencias bancarias fraudulentas. Por eso se considera una de las amenazas más peligrosas para empresas de cualquier tamaño.

El Whaling es una forma de Spear Phishing altamente sofisticada dirigida a objetivos muy específicos y de alto valor, como:
    _ Directivos
    _ Funcionarios del Gobierno
    _ Empresarios
    _ Responsables financieros
    _ Administradores de sistemas
    _ Gestores de datos sensibles

Su nombre viene de “whale” (ballena), porque el atacante va a por “la gran presa”.

Es uno de los ataques más peligrosos porque combina ingeniería social avanzada, información personalizada y técnicas de manipulación psicológica.

Cómo funciona un ataque de Whaling. Los atacantes realizan un reconocimiento previo (OSINT):
    _ LinkedIn
    _ Redes sociales
    _ Noticias corporativas
    _ Información filtrada
    _ Documentos públicos

Con esos datos, preparan mensajes muy creíbles, normalmente:
    _ Correos simulando ser de otro directivo
    _ Solicitudes financieras urgentes
    _ Peticiones de acceso a sistemas críticos
    _ “Revisiones de contrato” o “documentos legales”
    _ Enlaces a portales suplantados idénticos a los reales

Su objetivo suele ser:
    _ Desviar fondos (fraude financiero)
    _ Robar credenciales corporativas
    _ Obtener acceso a sistemas internos
    _ Descargar malware avanzado
    _ Exfiltrar datos sensibles

Cómo protegerte del Whaling:
    1. Verificación directa siempre. Antes de cumplir cualquier solicitud inusual:
        _ Llama al directivo_ Verifica por un canal secundario interno
        _ Comprueba si la acción tiene sentido
    2. Revisa cuidadosamente el dominio del remitente. Los atacantes usan variaciones sutiles:
        _ micr0soft.com
        _ pago-empresa.support

    dominios muy parecidos al original
    3. No abras adjuntos inesperados. Especialmente:
        _ PDF con macros ocultas
        _ Archivos ZIP/7z protegidos
        _ Enlaces acortados
    4. Implementa doble factor (MFA) en todos los servicios. Incluso si roban tus credenciales, no podrán entrar.
    5. Forma a directivos y personal clave. Los altos cargos son los MÁS atacados y a veces los MENOS formados.

Herramientas y medidas recomendadas:
    _ Filtros avanzados anti-phishing (Proofpoint, Microsoft Defender, Gmail Enterprise). Detectan dominios sospechosos y comportamientos anómalos.
    _ Sistemas de verificación de transferencias. Para evitar fraudes financieros.
    _ Firmas digitales en correos corporativos. Ayudan a verificar identidad en envíos internos.
    _ Protección de correo con DMARC, SPF y DKIM. Impide suplantación externa.

Consejos rápidos:
    _ Si el mensaje viene de alguien “muy importante”, más cautela aún.
    _ Los atacantes investigan todo lo que publiques en redes.
    _ Verifica SIEMPRE por teléfono o Teams/Slack una solicitud urgente.
    _ Si algo suena demasiado confidencial o urgente… probablemente es un ataque.