Spoofing, el ataque menos conocido y más común

by | Mar. 2023 | Autenticación Biométrica

Si hay algo seguro en el panorama de ciberamenazas es que cada año los atacantes están intensificando su actividad, buscando la manera de atraer a más víctimas y obtener mejores resultados.  

Entre 2020 y 2021, las denuncias de casos de smishing y vishing se han incrementado en más de un 20% en el mundo, lo que subraya el afán de los ciberdelincuentes en atacar por diferentes medios y con diferentes técnicas.   

Y es que, el año pasado, nueve de cada 10 trabajadores en España recibió al menos un mensaje sospechoso en su bandeja de entrada. No obstante, según el informe ‘State of the Phish 2022’ de Proofpoint, el 57% de los usuarios confía en que su organización bloqueará automáticamente cualquier correo malicioso; y no es así. 

Por todo ello, es importante que los usuarios conozcan los tipos de técnicas que utilizan los ciberdelincuentes para realizar ataques informáticos. La mayoría de los usuarios en internet ya conocen el término phishing, pero hay otro tipo de ataque que también se produce con mucha frecuencia y conocemos menos: el Spoofing. 

Descarga nuestro caso de uso: Autenticación Biométrica de Voz en el Contact Center

¿Qué es el Spoofing y en qué se diferencia del phishing? 

El phishing y el spoofing son dos tipos diferentes de ataques informáticos que pueden parecer muy similares porque, en ocasiones, los ciberdelincuentes los utilizan de forma conjunta en un mismo ataque para tener más éxito. Pero existen diferencias entre ellos.   

El spoofing se puede definir como una suplantación que consiste en el empleo de técnicas hacking, es decir, técnicas utilizadas de forma maliciosa para suplantar la identidad de una web, entidad o una persona en la red, con el objetivo de conseguir información privada del usuario. 

La diferencia principal entre el spoofing y el phishing es que el phishing busca obtener información sensible de una persona haciéndose pasar por un agente de confianza, implicando técnicas de ingeniería social y con el objetivo de una respuesta emocional de la víctima mediante la creación de urgencia o lástima.  

Un ataque de spoofing ocurre cuando una persona (a la que se le denomina spoofer) pretende ser otra persona con el fin de inducir a su objetivo a que comparta sus datos personales o para que haga alguna acción en nombre del falsificador.  

Existen múltiples técnicas de spoofing a través de medios tecnológicos, como la suplantación por teléfono móvil, envío de emails fraudulentos, falsificación de dispositivos y direcciones, etc.  

Lo cierto es que el spoofing como técnica no es ilegal siempre y cuando el objetivo no sea fraudulento. Sin embargo, quien utiliza dicha actividad con una finalidad fraudulenta, dependiendo del tipo de fraude, puede ser multado y/o, incluso, sentenciado a prisión.   

¿Qué tipos de técnicas de spoofing existen? 

1. Spoofing por correo electrónico 

El spoofing por correo electrónico es el más común de todas las modalidades que se encuentran en la red hoy en día.  

Esta técnica tiene rasgos similares con el phishing ya que se trata de una técnica a través de la cual el spoofer envía emails a una gran cantidad de direcciones de correo electrónico suplantando identidades reales, usando logotipos oficiales y cabeceras

La forma más común son los emails con los enlaces adjuntos hacia páginas web falsas donde es la víctima quién, al introducir sus credenciales de log-in, envía la información al timador. 

2. Spoofing por dirección IP 

Todos los dispositivos que están conectados a la red cuentan con una dirección IP única. Este código se utiliza para mantener un orden en el reenvío de paquetes que se solicitan en la comunicación en la red pública. En pocas palabras, la dirección IP es la que permite el direccionamiento del tráfico.  

El spoofing por dirección IP tiene como propósito falsificar la dirección IP asignándose una IP fiable que no le pertenece, haciendo que el sistema de seguridad admita los paquetes entrantes y se lleve a cabo un ciberataque.  

Como bien hemos nombrado anteriormente, no todas las prácticas de spoofing son ilegales y esta es una de ellas. Por ejemplo, el uso de VPN está basado en esta técnica de spoofing, pero destacando que su finalidad principal es proteger la identidad del usuario, permitirle acceso a contenido restringido y prevenir ciber ataques.  

3. Spoofing DNS 

El Sistema de Nombres de Dominio (DNS) consiste en un protocolo de traducción de los nombres de sitios web a sus respectivas direcciones IP. Es la manera más sencilla de que el usuario acceda a cada sitio que desea visitar sin la necesidad de recordar su dirección IP.   

Por ejemplo, cuando escribe una dirección web en su navegador, su ordenador se pone en contacto con un servidor DNS y le pide que traduzca el nombre de dominio en una dirección IP. El servidor DNS responde con la dirección IP del servidor del sitio web, y su navegador se conecta al servidor utilizando esa dirección IP para recuperar el sitio web. 

El Spoofing de DNS es el método por el que se modifican las direcciones IP contenidas en los servidores DNS para redirigir al usuario a sitios web falsos o maliciosos

Esta práctica también es conocida como envenenamiento de caché: los cibercriminales introducen datos DNS corruptos en la terminal del usuario, lo que provoca que éste no acceda a las páginas web que desea visitar. 

4. Spoofing por Página Web 

Puede que esta técnica sea la más sencilla de entender ya que, consiste en la suplantación de una web con el fin de obtener los datos de los usuarios que navegan por la misma, bien sean direcciones de correo, contraseñas e incluso datos de su identidad digital.  

Esta página web falsa suele tener el mismo diseño que la original e, incluso, tiene una URL similar. El cracker imita la web de tal manera que el usuario no sea capaz de reconocer que no es oficial.  

El Spoofing telefónico, el fraude más desconocido

El Spoofing telefónico ocurre cuando el llamante falsifica deliberadamente la información transmitida a la pantalla del identificador de llamadas, de modo que la persona que recibe la llamada o el mensaje de texto cree estar en contacto con la persona, entidad financiera, empresa u organismo oficial que realiza la llamada. 

Falsear la cabecera SIP de las llamadas y suplantar la identidad de una persona, entidad o empresa para realizar un uso fraudulento es posible y nada complejo de llevar a cabo. Además, el spoofing telefónico es relativamente desconocido, pese a no ser nuevo, lo que supone una gran amenaza para las empresas y usuarios. 

¿Cómo evitar el spoofing telefónico? 

Los métodos de spoofing se vuelven más complejos cuanto más seguro es el método de identificación. Como hemos visto, hackear una contraseña, crear web falsas o maliciosas o hacerse pasar por un cliente en una llamada telefónica es relativamente sencillo para un ciberdelincuente. 

Por ello, las empresas deben garantizar que sus métodos de verificación de identidad sean los más sofisticados y seguros. 

Una de las mejores herramientas para contrarrestar los ataques de spoofing, sobre todo el telefónico, es el uso de tecnologías de verificación de identidad basadas en biometría e Inteligencia Artificial.  

Estos sistemas permiten verificar la identidad de las personas de forma rápida y segura a través de su voz. Sin embargo, también existen métodos de spoofing que intentan engañar a los sistemas de verificación de identidad con voces pregrabadas o sintéticas. 

Contar con soluciones completas de biometría de voz, como Recordia, que tengan capacidades antifraude capaces de detectar estos ataques es importante a la hora de conseguir la mayor seguridad posible. 

La autenticación biométrica de voz de Recordia permite asociar una huella de voz con un número de teléfono y detectar si la voz de la persona que llama coincide con la guardada en la base de datos.  

Además, Recordia permite gestionar listas negras que contienen registros de voz de individuos previamente identificados como fraudulentos. Comparando la voz del usuario con la de la lista negra, se puede determinar si una persona está intentando acceder a un sistema o realizar una transacción de forma no autorizada. Estas listas se actualizan constantemente para reflejar los últimos casos de fraude. 

Buenas prácticas para evitar el spoofing  

A continuación, os dejamos buenas prácticas que pueden ser usadas por empresas y usuarios para evitar el spoofing.  

  • Incorporación de la doble autenticación para los usuarios y sistemas.  
  • No tener la misma contraseña en diferentes portales, y cambiarlas de manera periódica evitará que si has sido una víctima de spoofing el cracker pueda acceder a todas tus cuentas. 
  • Tener activado el filtro antispam tanto en llamadas como en correos electrónicos, que nos ayudarán a identificar el spoofing, alertándonos de aquellos correos o llamadas en los que debemos tener sospecha.  
  • Cuando nos llega un correo sospechoso, no está demás dedicar unos minutos a examinar bien el mensaje, normalmente éstos contienen faltas de ortografía, gramática errónea o una lingüística inusual. 
  • Comprobar, cada vez que accedemos a una página web, que la URL comienza por ‘’HTTPS’’ o que un correo electrónico es válido puede ayudarnos a evitar ser una víctima de estas prácticas.  
  • Ser precavidos a la hora de descargarse archivos adjuntos en los correos procedentes de un remitente desconocido. Si fuera necesario, escribir de manera manual el enlace en el buscador.  
  • Mantener actualizado tanto el sistema operativo como el antivirus para todos los ataques. 

Descubre más sobre cómo evitar el spoofing telefónico con la autenticación biométrica de Voz de Recordia, haciendo click aquí.