El Phishing-as-a-Service (PhaaS) ha transformado la suplantación de marcas en una amenaza masiva y accesible, obligando a bancos y fintechs a proteger a sus clientes antes de que accedan a sus plataformas. Descubre cómo funcionan estos kits y qué soluciones existen.

El phishing ya no es un delito reservado para expertos en ciberseguridad. Con la llegada del Phishing-as-a-Service (PhaaS), cualquier atacante puede adquirir kits listos para usar, páginas falsas de inicio de sesión y herramientas de automatización por menos de 120 dólares. Esto ha reducido la barrera de entrada y multiplicado los ataques contra instituciones financieras en toda la región, advierte AppGate, compañía especializada en acceso seguro y prevención de fraude.

¿Qué es el Phishing-as-a-Service y por qué es tan peligroso?

El PhaaS es un modelo de negocio en el que los ciberdelincuentes alquilan o compran kits de phishing preconfigurados para lanzar campañas a gran escala. Estas herramientas incluyen:

• Plantillas que imitan marcas de confianza, como bancos o plataformas de pago.
• Páginas de inicio de sesión falsas con apariencia legítima.
• Técnicas anti-bot y anti-análisis para evadir detecciones.
• Paneles de gestión para monitorear víctimas en tiempo real.
• Captura de credenciales, cookies y tokens de sesión, incluso eludiendo la autenticación multifactor (MFA).

Plataformas como Tycoon2FA, mencionada por Microsoft en sus informes, permiten a actores con pocos conocimientos técnicos eludir la MFA y escalar el compromiso de cuentas. Lo más alarmante es que estos kits se comercializan abiertamente en Telegram y Signal, lo que facilita su acceso a cualquier persona con intenciones maliciosas.

¿Cómo afecta el PhaaS a bancos y clientes en Latinoamérica?

El daño va más allá del robo de credenciales. Cuando una campaña de phishing suplanta a una institución financiera, la confianza del cliente se ve gravemente afectada. Desde la perspectiva del usuario, la marca de su banco fue utilizada para engañarlo, y esto erosiona la reputación de la entidad. Lo cierto es que, en una región donde la adopción de la banca digital crece aceleradamente, el impacto del PhaaS puede ser devastador.

Muchas defensas tradicionales actúan después de que el cliente inicia sesión o realiza una transacción. Sin embargo, los ataques impulsados por PhaaS comienzan fuera de la plataforma bancaria: en sitios web falsos, enlaces maliciosos, campañas de SMS o redes sociales. Para cuando el usuario llega a la página real de su banco, el atacante ya puede tener sus credenciales, tokens de sesión o datos personales.

¿Qué soluciones existen para combatir el PhaaS?

Ante este escenario, las instituciones financieras deben adelantar su línea de defensa. Según Manuel Giraldo, Senior Manager de Prevención de Fraude para América Latina de AppGate, la clave está en:

• Monitorear amenazas fuera del perímetro tradicional, como sitios web falsos o dominios fraudulentos.
• Implementar autenticación adaptativa y controles basados en riesgo.
• Educar a los clientes sobre cómo identificar intentos de phishing.

La combinación de estas estrategias permite proteger la superficie de confianza digital desde el primer contacto del cliente con una amenaza, no solo cuando intenta acceder a su cuenta.

El futuro: ¿hacia dónde va el fraude digital?

El PhaaS ha cambiado la economía del fraude. Ya no se requiere ser un experto para lanzar campañas efectivas: basta con comprar un kit, lanzarlo y esperar resultados. Vale la pena señalar que, en un contexto donde la digitalización avanza a pasos agigantados, las instituciones financieras de Latinoamérica deben actuar con urgencia. La defensa ya no puede comenzar en el inicio de sesión; debe estar presente en cada etapa del recorrido del cliente.