Hacking y el hombre del phishing que ataca con Gophish
Gophish es una herramienta de código abierto diseñada para simular ataques de phishing. Su propósito principal es ayudar a las organizaciones a entrenar a sus empleados y evaluar su nivel de conciencia y resistencia frente a este tipo de amenazas cibernéticas.
¿Para qué sirve Gophish?
Simulación de ataques: Permite a los equipos de seguridad crear y ejecutar campañas de phishing realistas, desde el diseño de correos electrónicos y páginas de aterrizaje falsas hasta el envío masivo de mensajes.
Concienciación y formación: Las empresas utilizan Gophish para exponer a sus empleados a escenarios de phishing controlados. Esto les permite aprender a identificar las tácticas de los ciberdelincuentes y a no caer en sus trampas.
Evaluación de la seguridad: Gophish ofrece un panel de control detallado que muestra métricas clave, como cuántos correos fueron abiertos, cuántos usuarios hicieron clic en los enlaces o cuántos ingresaron sus credenciales. Esta información es vital para identificar vulnerabilidades y mejorar las defensas de la organización.
Hacking Ético: Es una herramienta fundamental para los "red teams" (equipos rojos) en ciberseguridad, que la utilizan para poner a prueba la seguridad de una compañía desde una perspectiva ofensiva.
En resumen, Gophish es una herramienta poderosa y versátil para fortalecer la seguridad de una organización, ya que se enfoca en el "eslabón más débil" de la cadena de seguridad: el factor humano. Al simular ataques de phishing de manera controlada, las empresas pueden educar proactivamente a sus empleados y construir una cultura de ciberseguridad más robusta.
Utilizar Gophish para realizar una campaña de phishing simulada es un proceso estructurado que consta de varios pasos clave. Aquí te presento una guía general sobre cómo se utiliza esta herramienta:
1. Instalación y Configuración Inicial
Antes de poder usar Gophish, necesitas instalarlo y configurarlo.
Descarga y Ejecución: Gophish es un ejecutable que no requiere una instalación compleja. Simplemente lo descargas desde su repositorio oficial de GitHub, lo descomprimes y lo ejecutas.
Acceso a la Interfaz Web: Una vez en ejecución, Gophish te proporciona una dirección URL (normalmente
https://127.0.0.1:3333) para acceder a su panel de administración a través de un navegador web.Credenciales: El usuario por defecto suele ser
admin. La contraseña inicial puede sergophisho, en versiones más recientes, se genera aleatoriamente al iniciar el programa y se muestra en la consola. Es crucial cambiar esta contraseña por una más segura de inmediato.
2. Preparación de la Campaña
Una vez dentro de la interfaz de Gophish, debes preparar los elementos de tu campaña de phishing.
Perfiles de Envío (Sending Profiles): Debes configurar un servidor de correo (SMTP) que Gophish utilizará para enviar los correos electrónicos. Puedes usar un servidor interno de tu empresa, un servicio de terceros como SendGrid o Mailgun, o incluso un servidor de pruebas como Mailhog.
Usuarios y Grupos (Users & Groups): Crea los grupos de usuarios a los que vas a dirigir la campaña. Puedes añadir a los usuarios manualmente o importar una lista en formato CSV con sus nombres, apellidos, correo electrónico, y otros datos.
Plantillas de Correo (Email Templates): Aquí es donde diseñas el correo electrónico de phishing. Puedes crear una plantilla desde cero utilizando HTML o texto plano, o importar una plantilla de un correo real (en formato
.eml). Gophish te permite personalizar el contenido con variables como{{.URL}}para incrustar el enlace malicioso.Páginas de Aterrizaje (Landing Pages): Esta es la página web falsa a la que se redirigirá al usuario cuando haga clic en el enlace del correo. Puedes clonar una página web real (por ejemplo, una página de inicio de sesión de un banco o una red social) o crear una propia. La clave es que la página se vea lo más auténtica posible para engañar al usuario y capturar sus credenciales.
3. Creación y Lanzamiento de la Campaña
Con todos los elementos preparados, es hora de configurar la campaña de phishing.
Campaña (Campaigns): Ve a la sección de "Campaigns" y haz clic en "New Campaign".
Configuración: Asigna un nombre a la campaña y selecciona los elementos que preparaste en el paso anterior:
Grupo de Usuarios: Elige el grupo de usuarios que será el objetivo.
Plantilla de Correo: Selecciona la plantilla de email que creaste.
Página de Aterrizaje: Elige la landing page falsa.
Perfil de Envío: Selecciona el perfil SMTP que usarás para enviar los correos.
URL de la Campaña: Gophish te proporcionará una URL para tu campaña. Esta es la URL que incrustarás en tu plantilla de correo (
{{.URL}}).Lanzamiento: Revisa todos los detalles y lanza la campaña. Gophish comenzará a enviar los correos electrónicos a los usuarios seleccionados.
4. Análisis de Resultados
Una vez que la campaña está en marcha, Gophish te proporciona un panel de control con métricas en tiempo real.
Panel de Control: En la sección "Campaigns", puedes ver el estado de cada campaña y acceder a los resultados.
Métricas Clave: Las métricas que Gophish rastrea son vitales para entender el comportamiento de los usuarios:
Correos enviados: Cuántos correos se han mandado con éxito.
Correos abiertos: Cuántos usuarios han abierto el correo de phishing.
Clics en el enlace: Cuántos usuarios hicieron clic en el enlace malicioso.
Datos capturados: Cuántos usuarios introdujeron sus credenciales o información en la landing page falsa.
Correos marcados como spam: Si los usuarios reportaron el correo.
El análisis de estos resultados te permite identificar a los empleados que necesitan más formación y a la organización en su conjunto para fortalecer su postura de seguridad.
