El playbook de phishing contra despachadores — qué envían los atacantes a tu equipo esta semana.
Recolectamos 412 correos reales de phishing enviados a centros de despacho en EE. UU. en Q1. Cinco patrones representan el 88%. Muéstrale esto a tu equipo el lunes por la mañana.
Su departamento de despacho gestiona más correos electrónicos entrantes por hora que cualquier otro puesto de la empresa. Brókeres, cargadores, conductores, factoring, seguros; todo llega a una sola bandeja de entrada bajo presión de tiempo. Es precisamente por eso que a los atacantes les encanta.
Patrón 1 — La confirmación de tarifa falsa
Un atacante suplanta a un bróker con el que su despachador trabajó la semana pasada y envía una 'rate con revisada' en formato PDF. El PDF contiene una macro que instala un troyano de acceso remoto. Mitigación: bloquee las macros en la puerta de enlace, sin excepciones.
Patrón 2 — El 'currículum del conductor'
Dirigido a las bandejas de entrada de reclutamiento. Parece un currículum de CDL, a menudo como un archivo .htm o .zip. Abre un recolector de credenciales con su propio logotipo. Mitigación: dirija todos los currículums a través de su ATS, nunca por correo electrónico directo.
Patrón 3 — Restablecimiento de credenciales de la bolsa de carga
'Su contraseña de DAT / Truckstop caduca en 24 horas'. Dominio similar. Mitigación: MFA en cada bolsa de carga y una regla escrita de que los restablecimientos de contraseña nunca se realizan a través de enlaces de correo electrónico.
Patrón 4 — Alerta de fraude de tarjeta de combustible
Suplanta a Comdata, EFS o WEX. Pide al despachador que 'verifique los últimos 4' números de la tarjeta. Mitigación: rellamada fuera de banda a un número conocido, siempre.
Patrón 5 — La solicitud de cambio de factoring
El más costoso de los cinco. El atacante envía un correo electrónico a su cliente fingiendo ser usted, pidiéndole que redirija el ACH a una cuenta nueva. Para cuando se da cuenta, se han perdido dos semanas de facturas. Mitigación: política de verificación de cambio de banco por ambas partes y aplicación de DMARC en su dominio.
Capacite al personal de despacho igual que capacita a sus conductores en la inspección pre-trip. Con la misma cadencia, con la misma seriedad.
Reserva una llamada estratégica de 30 minutos.
Sal con un plan — incluso si nunca trabajamos juntos.
Reservar llamada →