Imagina que entras en la web del banco de tu empresa. Escribes la URL de siempre, la página carga con normalidad, tiene el mismo aspecto, el mismo logo, el mismo formulario de inicio de sesión. Introduces tus credenciales. Y en ese momento, sin saberlo, acabas de entregar las claves de la cuenta bancaria de tu empresa a un ciberdelincuente. Eso es exactamente lo que hace el pharming: un ciberataque que redirige a un sitio web falso tan bien construido que ni el usuario más cuidadoso lo detectaría a simple vista.
Qué es el pharming y en qué se diferencia del phishing
El pharming es un tipo de ciberataque que redirige a los usuarios desde una dirección web legítima hacia un sitio web fraudulento sin que lo noten. A diferencia del phishing, que necesita que el usuario haga clic en un enlace sospechoso recibido por correo o mensaje, el ataque de pharming no requiere ningún error por parte de la víctima. El usuario escribe la URL correcta en el navegador, como ha hecho siempre, y aun así llega a un sitio web falso.
La analogía que mejor lo explica: el pharming es como si alguien cambiara los carteles de señalización de toda una autopista. El conductor va a donde quiere ir, conduce correctamente, sigue las señales. Pero las señales lo llevan a un destino falso. No hay trampa visible, no hay enlace sospechoso, no hay email de dudosa procedencia.
¿Por qué es más peligroso que el phishing? Sencillamente, porque elimina el factor de error humano de la ecuación. Con el phishing puedes entrenar a los empleados para que no hagan clic en un enlace de un remitente desconocido. Con el pharming, el usuario hace exactamente lo correcto y aun así cae.
Cómo funciona un ataque de pharming: los dos mecanismos
El pharming puede atacar de dos formas distintas, pero ambas tienen el mismo objetivo: redirigir el tráfico web del usuario desde el sitio legítimo hacia un sitio web fraudulento controlado por el atacante.
Pharming mediante archivo hosts (pharming local)
El atacante introduce un código malicioso en el dispositivo del usuario, generalmente a través de un archivo descargado o un adjunto infectado. Ese código modifica el archivo de hosts del sistema operativo, que es una tabla local que traduce nombres de dominio a dirección IP. Cuando el usuario escribe la dirección web de su banco, el sistema consulta ese archivo antes de ir a los servidores DNS y lo redirige directamente a la dirección IP del sitio web falso. El usuario ve exactamente la misma URL en el navegador pero está en un sitio completamente diferente.
Envenenamiento de DNS
El envenenamiento de DNS es la forma más sofisticada y peligrosa del ciberataque que redirige a un sitio web falso. En lugar de infectar el dispositivo del usuario, el atacante compromete directamente los servidores DNS del proveedor de internet o de la red corporativa. Los sistemas de nombre de dominio DNS son los responsables de traducir las direcciones web que escribimos en direcciones IP que los servidores entienden. Si esos servidores DNS están corrompidos, todos los usuarios conectados a esa red serán redirigidos al sitio web fraudulento, independientemente del dispositivo que usen o de lo cuidadosos que sean. Este tipo de pharming puede afectar a docenas de usuarios a la vez sin que ninguno haya hecho nada mal.
En ambos casos, el resultado es el mismo: el usuario llega a sitios web falsos que capturan credenciales de inicio de sesión, datos de tarjetas de crédito, información bancaria o instalan malware en el dispositivo.
Dato — IBM Cost of a Data Breach 2024: el 68% de las brechas de seguridad involucran el factor humano, incluyendo ataques de ingeniería social como el pharming. El coste medio de una brecha para una empresa mediana supera los 4,8 millones de dólares. Para empresas de menor tamaño, el impacto relativo sobre la facturación y la reputación puede ser definitivo.
Señales de alerta: cómo detectar que estás en un sitio web falso
El pharming está diseñado para ser invisible. Pero hay indicios que pueden delatar un sitio web fraudulento si se saben buscar:
El candado HTTPS no es garantía. Un sitio web falso puede tener certificado de seguridad. Lo que hay que verificar es que el nombre del dominio en la barra de direcciones web coincide exactamente con el sitio legítimo. Un carácter cambiado, una letra adicional o un dominio diferente es una señal de alerta inmediata.
El inicio de sesión se solicita sin haber hecho nada. Si al entrar en una página el sistema pide inmediatamente las credenciales de inicio de sesión sin ninguna actividad previa, desconfía. Los portales bancarios y corporativos legítimos no solicitan credenciales sin contexto.
El sitio tiene un comportamiento técnico diferente al habitual. Los sitios web falsos a veces presentan diferencias sutiles: imágenes que no cargan bien, formularios con comportamiento incorrecto o un diseño ligeramente distinto al habitual. Con el tiempo el ojo se entrena para detectarlos.
Alertas del navegador o del antivirus. Los navegadores modernos y los sistemas de seguridad actualizados pueden detectar sitios web falsos conocidos. Si el navegador advierte de un posible riesgo al acceder a una página, no ignorar el aviso bajo ningún concepto.
Cómo protegerse del pharming: medidas concretas para tu empresa
Protegerse del pharming requiere actuar en tres niveles: el dispositivo, la red y los hábitos del equipo.
Mantener actualizados los sistemas operativos y navegadores. Las actualizaciones corrigen vulnerabilidades que los atacantes usan para instalar el código malicioso que modifica el archivo de hosts. Un dispositivo sin actualizar es una puerta abierta a cualquier ataque de pharming local.
Usar DNS seguros y verificados. Las empresas pueden configurar sus redes para usar servidores DNS de confianza con filtrado de dominios maliciosos conocidos. Servicios como Cisco Umbrella o Cloudflare for Teams filtran el tráfico DNS y bloquean el acceso a sitios web falsos antes de que el usuario llegue a verlos, actuando directamente sobre los sistemas de nombre de dominio DNS de la red corporativa.
Verificar siempre la URL antes de introducir datos sensibles. Antes de hacer cualquier inicio de sesión en banca, correo corporativo o herramientas de gestión, verificar que la dirección web es exactamente la correcta. Evite hacer clic en enlaces recibidos por correo o mensajería para acceder a servicios sensibles: escribe directamente la URL en el navegador.
Activar la autenticación multifactor en todos los accesos críticos. Aunque el pharming capture las credenciales de inicio de sesión, la autenticación multifactor añade una segunda barrera que el atacante no puede superar fácilmente sin el segundo factor. Es la medida de mayor impacto por menor esfuerzo.
Proteger la red corporativa contra el envenenamiento de DNS. El envenenamiento de DNS puede afectar a todos los usuarios de una red si el router o los servidores DNS de la empresa no están bien configurados y actualizados. Un proveedor de seguridad informática puede auditar la configuración de la red y aplicar protecciones específicas que impidan que los atacantes corrompan las credenciales de nombre de dominio DNS de la empresa.
Formar al equipo en detección de anomalías. No solo en cómo no hacer clic en un enlace sospechoso, sino en cómo verificar que una página es el sitio legítimo antes de introducir datos. La diferencia entre el phishing y el ataque de pharming en la formación es sutil pero decisiva: en el segundo caso el usuario no comete ningún error evidente, así que la detección requiere hábitos de verificación activa.
¿La red de tu empresa está protegida contra el envenenamiento de DNS? Consulta nuestro servicio de seguridad informática y auditamos tu configuración sin compromiso.
Preguntas frecuentes sobre el pharming
El phishing necesita que el usuario haga clic en un enlace sospechoso, generalmente recibido por correo. El ataque de pharming no requiere ninguna acción del usuario: redirige a los usuarios hacia el sitio web fraudulento aunque escriban correctamente la dirección web en el navegador. Por eso el pharming es más difícil de prevenir solo con formación.
Sí. El envenenamiento de DNS puede comprometer los servidores DNS que usa toda la red corporativa, afectando a todos los dispositivos conectados simultáneamente. Por eso la configuración y el mantenimiento de los sistemas de nombre de dominio DNS de la red es una medida crítica de seguridad empresarial.
No completamente. Un sitio web falso puede tener certificado HTTPS y parecer completamente seguro a simple vista. El HTTPS garantiza que la conexión está cifrada, pero no garantiza que el sitio legítimo al que te has conectado sea realmente el original. Hay que verificar siempre el dominio exacto en la barra de direcciones web, no solo el candado.
Actuar inmediatamente: cambiar las contraseñas de las cuentas afectadas desde un dispositivo diferente y una red diferente, contactar con el banco si se han introducido datos bancarios o de tarjetas de crédito, avisar al responsable de IT de la empresa y ejecutar un análisis completo de seguridad en el dispositivo afectado para detectar posible malware instalado durante el ataque de pharming.
¿Tu empresa está protegida contra el pharming y otros ciberataques?
En Sale Systems auditamos la seguridad de tu red, configuramos protecciones DNS y formamos a tu equipo para detectar ataques como el pharming antes de que causen daño.
Ver servicio de seguridad informática Sin compromiso · Respuesta en menos de 24 h · Mantenimiento informático Madrid
