Détection des messages d’ingénierie sociale – Blog de Marc Frédéric GOMEZ

Détection des messages d’ingénierie sociale | ASD/ACSC — Marc-Frédéric Gomez

🇫🇷 Version française

Date : 15 avril 2026 • Source : ASD/ACSC — Australian Cyber Security Centre • Type : Guide de détection — Ingénierie sociale • Niveau : CISO · CERT · SOC • TLP : CLEAR

Synthèse exécutive

L’ASD/ACSC publie une guidance structurée sur la détection des messages d’ingénierie sociale, couvrant le vecteur email, SMS, messagerie instantanée et plateformes de réseaux sociaux. Cette publication s’inscrit dans le cadre de la série Email Hardening de l’ACSC et constitue un référentiel de détection comportemental et technique applicable aux équipes CERT/CSIRT, SOC et aux RSSI dans leur stratégie de sécurisation des canaux de communication.

⚠ Contexte de menace 2025–2026 : Le rapport Verizon DBIR 2025 établit que le Business Email Compromise (BEC) représente entre 17 et 22 % de l’ensemble des incidents d’ingénierie sociale. Le BEC continue de constituer le vecteur d’incident le plus fréquent, avec 75 % des cas impliquant du session hijacking pour contourner le MFA — une progression de 38,5 % en 2023 à 75 % en 2024.

Taxonomie des messages d’ingénierie sociale

Type	Canal	Objectif principal	Sophistication
Phishing	Email	Collecte de credentials, malware	Moyenne
Spear Phishing	Email	Ciblage individuel post-OSINT	Élevée
Whaling	Email	Compromission d’exécutifs C-level	Critique
Smishing	SMS	Redirection vers site frauduleux	Moyenne
Vishing	Voix / IM	Usurpation support IT / banque	Élevée
BEC	Email	Fraude financière, exfiltration	Critique
Social Media Lure	LinkedIn, X, Telegram	Recrutement espionnage / APT	Critique

Mapping MITRE ATT&CK

Technique	ID ATT&CK	Description
Spearphishing Attachment	T1566.001	Pièce jointe malveillante ciblée
Spearphishing Link	T1566.002	Lien vers site frauduleux
Spearphishing via Service	T1566.003	Via messagerie sociale / Teams / Slack
Spearphishing Voice	T1566.004	Vishing / deepfake audio
Phishing for Info	T1598	Collecte de credentials
Internal Spearphishing	T1534	Post-compromission depuis compte interne
OSINT / Gather Victim Identity	T1589	Reconnaissance préalable via réseaux sociaux

Indicateurs comportementaux — Analyse SOC

L’ACSC identifie des marqueurs comportementaux communs à l’ensemble des vecteurs d’ingénierie sociale. Les analystes SOC doivent intégrer ces indicateurs dans leurs playbooks d’investigation :

Indicateurs de niveau 1 — Détection gateway email

Échec SPF (Sender Policy Framework) — domaine expéditeur non autorisé
Échec DKIM — signature cryptographique invalide ou absente
Politique DMARC p=reject ou p=quarantine non respectée
Domaine enregistré récemment (< 30 jours) — corrélation Whois
Typosquatting : micr0soft.com, bankk-secure.com
Discordance entre From: affiché et Return-Path: ou Reply-To:
Header X-Mailer inhabituel ou absent
TLS absent sur la connexion SMTP entrante

Indicateurs de niveau 2 — Analyse comportementale

Sentiment d’urgence artificielle : « urgent », « action requise sous 24h »
Invocation d’autorité : PDG, DG, cabinet d’audit, forces de l’ordre
Demande atypique sans canal de vérification secondaire
Lien vers domaine différent du domaine légitime (redirect chain)
Pièce jointe inhabituelle : ISO, LNK, OneNote, SVG, HTML
Personnalisation excessive (spear phishing) : prénom, poste, projet en cours
Demande de confidentialité / instruction de ne pas informer d’autres personnes

Règle de détection Sigma — SPF/DKIM/DMARC Failure

title: Email Authentication Failure — Potential Phishing
id: ae4f2b3c-1a9e-4d7e-b3c2-9f1e2a3b4c5d
status: stable
description: |
    Détecte les emails en échec d'authentification SPF, DKIM ou DMARC
    pouvant indiquer une tentative de spoofing ou de phishing.
logsource:
    category: email
    product: office365
detection:
    selection:
        spf_result: 'fail'
        dkim_result: 'fail'
        dmarc_result|contains:
            - 'fail'
            - 'reject'
            - 'quarantine'
    condition: selection
falsepositives:
    - Serveurs de relais mal configurés
    - Envoi via ESP tiers sans alignement DMARC
level: medium
tags:
    - attack.initial_access
    - attack.t1566.002

Contrôles techniques — Niveau CERT/CSIRT

Authentification email : SPF · DKIM · DMARC

✅ Exigence 2026 : Microsoft (Outlook), Google et Yahoo imposent depuis 2024–2025 la conformité SPF + DKIM + DMARC (p=none minimum) pour les expéditeurs de plus de 5 000 emails/jour. DORA, PCI DSS 4.0 et NIS2 intègrent ces contrôles dans leurs exigences de sécurité des communications.

Protocole	Rôle	Limitation	Priorité déploiement
SPF	Autorise les IP de messagerie pour un domaine DNS	Limite à 10 lookups DNS — risque PermError	P1
DKIM	Signature cryptographique du message	Ne protège pas l’en-tête From visible	P1
DMARC	Politique d’action sur échec SPF/DKIM + alignement	Nécessite SPF et DKIM opérationnels	P1
BIMI	Affichage logo marque en boîte mail	Nécessite `p=quarantine` ou `p=reject`	P2
MTA-STS / TLS-RPT	Chiffrement TLS forcé entre serveurs email	Déploiement via DNS + HTTPS	P2

Mesures organisationnelles — Usage des réseaux sociaux et messageries

L’ACSC souligne que les services de messagerie et réseaux sociaux (Facebook, Instagram, LinkedIn, Telegram, TikTok, WhatsApp et autres) collectent des données extensives, incluant des métadonnées au-delà du contenu des messages. Ces données peuvent être stockées hors de la juridiction nationale et soumises à des accès légaux étrangers.

Ne jamais partager credentials, codes d’enregistrement ou de vérification, y compris avec des comptes se présentant comme support éditeur
Activer le MFA sur tous les comptes de réseaux sociaux professionnels
Segmenter email professionnel et email d’inscription aux services sociaux
Appliquer des profils privés et la suppression automatique des messages
Supprimer les métadonnées GPS des photos avant publication
Restreindre les permissions des applications mobiles (caméra, localisation, contacts)
Mettre à jour les applications régulièrement — les paramètres de sécurité peuvent changer lors des mises à jour

Posture CISO — Gouvernance et recommandations stratégiques

Au niveau direction, l’ingénierie sociale représente le vecteur d’entrée initial le plus fréquent dans les incidents de compromission. La résilience organisationnelle face à ce risque repose sur quatre piliers :

Pilier	Actions prioritaires	Référentiels applicables
Sensibilisation	Simulations de phishing, formation annuelle obligatoire, exercices de crise BEC	NIS2 Art.21, ISO 27001 A.6.3
Politique d’accès	Révoquer immédiatement les accès aux comptes sociaux professionnels en fin de mission, appliquer le principe de moindre privilège	CIS Control 6, Essential Eight
Contrôles techniques	Déploiement SPF/DKIM/DMARC `p=reject`, sandbox pièces jointes, filtrage URL, MFA phishing-resistant (FIDO2)	ACSC Essential Eight ML2, PCI DSS 4.0
Réponse aux incidents	Playbook BEC documenté, procédure de reprise de compte compromis, canal de signalement interne	NIST CSF 2.0, RFC 2350

Sources

ASD/ACSC — Detecting Socially Engineered Messages : https://www.cyber.gov.au/resources-business-and-government/maintaining-devices-and-systems/system-hardening-and-administration/email-hardening/detecting-socially-engineered-messages
ASD/ACSC — Security Tips for Social Media and Messaging Apps : https://www.cyber.gov.au/resources-business-and-government/governance-and-user-education/user-education/security-tips-social-media-and-messaging-apps
ASD/ACSC — Email Hardening : https://www.cyber.gov.au/business-government/protecting-devices-systems/hardening-systems-applications/email-hardening
Verizon — 2025 Data Breach Investigations Report : https://www.verizon.com/business/resources/reports/dbir/
MITRE ATT&CK — Phishing T1566 : https://attack.mitre.org/techniques/T1566/

🇬🇧 English version

Date: 15 April 2026 • Source: ASD/ACSC — Australian Cyber Security Centre • Type: Detection Guidance — Social Engineering • Level: CISO · CERT · SOC • TLP: CLEAR

Executive Summary

The Australian Signals Directorate’s Australian Cyber Security Centre (ASD/ACSC) has published structured guidance on detecting socially engineered messages across email, SMS, instant messaging, and social media channels. This publication forms part of the ACSC’s Email Hardening series and provides a behavioural and technical detection framework applicable to CERT/CSIRT teams, SOC analysts, and CISOs developing their communications security strategy.

⚠ 2025–2026 Threat Context: The Verizon 2025 DBIR reports that Business Email Compromise (BEC) accounts for 17–22% of all social engineering incidents. BEC remains the most common incident type responded to, with 75% of cases involving session hijacking to bypass MFA — up from 38.5% in 2023.

Taxonomy of Socially Engineered Messages

Type	Vector	Primary Objective	Sophistication
Phishing	Email	Credential harvesting, malware delivery	Medium
Spear Phishing	Email	Targeted individual post-OSINT recon	High
Whaling	Email	C-level executive compromise	Critical
Smishing	SMS	Redirect to fraudulent site	Medium
Vishing	Voice / IM	IT helpdesk / bank impersonation	High
BEC	Email	Financial fraud, data exfiltration	Critical
Social Media Lure	LinkedIn, X, Telegram	Espionage recruitment / APT access	Critical

MITRE ATT&CK Mapping

Technique	ATT&CK ID	Description
Spearphishing Attachment	T1566.001	Targeted malicious attachment delivery
Spearphishing Link	T1566.002	Link to fraudulent/credential-harvesting site
Spearphishing via Service	T1566.003	Via social messaging / Teams / Slack
Spearphishing Voice	T1566.004	Vishing / deepfake audio
Phishing for Information	T1598	Credential and sensitive data collection
Internal Spearphishing	T1534	Post-compromise from internal account
Gather Victim Identity	T1589	OSINT reconnaissance via social networks

Behavioural Indicators — SOC Analysis

The ACSC identifies common behavioural markers across all social engineering vectors. SOC analysts should integrate these indicators into their investigation playbooks:

Level 1 Indicators — Email Gateway Detection

SPF failure — sending domain not authorised
DKIM failure — cryptographic signature invalid or absent
DMARC policy p=reject or p=quarantine not honoured
Recently registered domain (< 30 days) — Whois correlation
Typosquatting: micr0soft.com, bankk-secure.com
Mismatch between displayed From: and Return-Path: or Reply-To:
Unusual or absent X-Mailer header
TLS absent on inbound SMTP connection

Level 2 Indicators — Behavioural Analysis

Artificial urgency: « urgent », « action required within 24h »
Authority invocation: CEO, CFO, audit firm, law enforcement
Atypical request without secondary verification channel
Link to domain different from legitimate domain (redirect chain)
Unusual attachment: ISO, LNK, OneNote, SVG, HTML
Excessive personalisation (spear phishing): first name, position, current project
Confidentiality request / instruction not to inform others

Technical Controls — CERT/CSIRT Level

Email Authentication: SPF · DKIM · DMARC

✅ 2026 Requirement: Microsoft (Outlook), Google, and Yahoo have mandated SPF + DKIM + DMARC compliance (p=none minimum) for senders of 5,000+ emails/day since 2024–2025. DORA, PCI DSS 4.0, and NIS2 integrate these controls into their communications security requirements.

Protocol	Role	Limitation	Deploy Priority
SPF	Authorises mail IPs for a DNS domain	10 DNS lookup limit — PermError risk	P1
DKIM	Cryptographic message signature	Does not protect the visible From header	P1
DMARC	Policy enforcement on SPF/DKIM failure + alignment	Requires operational SPF and DKIM	P1
BIMI	Brand logo display in inbox	Requires `p=quarantine` or `p=reject`	P2
MTA-STS / TLS-RPT	Forced TLS encryption between mail servers	DNS + HTTPS deployment required	P2

Social Media and Messaging Security

The ACSC notes that messaging and social media services (Facebook, Instagram, LinkedIn, Telegram, TikTok, WhatsApp and others) collect extensive data, including metadata beyond message content. This data may be stored outside national jurisdiction and subject to foreign legal access.

Never share credentials, registration codes, or verification codes — including with accounts claiming to be vendor support staff
Enable MFA on all professional social media accounts
Separate professional email from social service registration email
Apply private profiles and disappearing message settings where appropriate
Remove GPS metadata from photos before publishing
Restrict mobile app permissions (camera, location, contacts)
Update apps regularly — security settings may change with updates

CISO Posture — Strategic Governance

Social engineering remains the most frequent initial access vector in compromise incidents. Organisational resilience rests on four pillars:

Pillar	Priority Actions	Applicable Frameworks
Awareness	Phishing simulations, mandatory annual training, BEC crisis exercises	NIS2 Art.21, ISO 27001 A.6.3
Access Policy	Immediately revoke professional social account access at end of assignment; apply least privilege	CIS Control 6, Essential Eight
Technical Controls	SPF/DKIM/DMARC `p=reject` deployment, attachment sandbox, URL filtering, phishing-resistant MFA (FIDO2)	ACSC Essential Eight ML2, PCI DSS 4.0
Incident Response	Documented BEC playbook, compromised account recovery procedure, internal reporting channel	NIST CSF 2.0, RFC 2350

Sources

ASD/ACSC — Detecting Socially Engineered Messages : https://www.cyber.gov.au/resources-business-and-government/maintaining-devices-and-systems/system-hardening-and-administration/email-hardening/detecting-socially-engineered-messages
ASD/ACSC — Security Tips for Social Media and Messaging Apps : https://www.cyber.gov.au/resources-business-and-government/governance-and-user-education/user-education/security-tips-social-media-and-messaging-apps
ASD/ACSC — Email Hardening : https://www.cyber.gov.au/business-government/protecting-devices-systems/hardening-systems-applications/email-hardening
Verizon — 2025 Data Breach Investigations Report : https://www.verizon.com/business/resources/reports/dbir/
MITRE ATT&CK — Phishing T1566 : https://attack.mitre.org/techniques/T1566/

🇩🇪 Deutsche Version

Datum: 15. April 2026 • Quelle: ASD/ACSC — Australian Cyber Security Centre • Typ: Erkennungsleitfaden — Social Engineering • Ebene: CISO · CERT · SOC • TLP: CLEAR

Zusammenfassung

Das Australian Signals Directorate (ASD/ACSC) hat einen strukturierten Leitfaden zur Erkennung von Social-Engineering-Nachrichten veröffentlicht, der E-Mail, SMS, Instant Messaging und Social-Media-Kanäle abdeckt. Diese Publikation ist Teil der ACSC-Reihe Email Hardening und bietet CERT/CSIRT-Teams, SOC-Analysten und CISOs einen verhaltens- und technisch orientierten Erkennungsrahmen.

⚠ Bedrohungskontext 2025–2026: Der Verizon DBIR 2025 belegt, dass Business Email Compromise (BEC) zwischen 17 und 22 % aller Social-Engineering-Vorfälle ausmacht. In 75 % der BEC-Fälle wurde Session Hijacking eingesetzt, um MFA zu umgehen — ein Anstieg von 38,5 % im Jahr 2023.

Taxonomie Social-Engineering-Nachrichten

Typ	Kanal	Hauptziel	Komplexität
Phishing	E-Mail	Credential-Diebstahl, Malware-Verteilung	Mittel
Spear Phishing	E-Mail	Gezielter Angriff nach OSINT-Recherche	Hoch
Whaling	E-Mail	Kompromittierung von C-Level-Führungskräften	Kritisch
Smishing	SMS	Weiterleitung zu betrügerischen Websites	Mittel
Vishing	Telefon / IM	IT-Support- / Bankenidentitätsdiebstahl	Hoch
BEC	E-Mail	Finanzbetrug, Datenexfiltration	Kritisch
Social Media Lure	LinkedIn, X, Telegram	Spionage-Rekrutierung / APT-Zugang	Kritisch

MITRE ATT&CK Mapping

Technik	ATT&CK-ID	Beschreibung
Spearphishing Attachment	T1566.001	Gezielter bösartiger Dateianhang
Spearphishing Link	T1566.002	Link zu betrügerischer Website
Spearphishing via Service	T1566.003	Über soziale Messaging-Dienste / Teams / Slack
Spearphishing Voice	T1566.004	Vishing / Deepfake-Audio
Phishing for Information	T1598	Credential- und Datenbeschaffung
Internal Spearphishing	T1534	Post-Kompromittierung über internen Account
Gather Victim Identity	T1589	OSINT-Aufklärung über soziale Netzwerke

Erkennungsindikatoren — SOC-Ebene

Stufe 1 — E-Mail-Gateway-Erkennung

SPF-Fehler — Absende-Domain nicht autorisiert
DKIM-Fehler — kryptografische Signatur ungültig oder fehlend
DMARC-Richtlinie p=reject oder p=quarantine nicht eingehalten
Kürzlich registrierte Domain (< 30 Tage) — Whois-Korrelation
Typosquatting: micr0soft.com, bankk-secure.com
Abweichung zwischen sichtbarem From: und Return-Path: / Reply-To:
Ungewöhnlicher oder fehlender X-Mailer-Header
Kein TLS bei eingehender SMTP-Verbindung

Stufe 2 — Verhaltensbasierte Indikatoren

Künstliche Dringlichkeit: „dringend », „Handlung innerhalb von 24 Stunden erforderlich »
Autoritätsberufung: Geschäftsführer, Wirtschaftsprüfer, Strafverfolgungsbehörden
Ungewöhnliche Anfrage ohne sekundären Verifizierungskanal
Link zu einer Domäne abweichend von der legitimen Domain (Redirect-Kette)
Ungewöhnlicher Dateianhang: ISO, LNK, OneNote, SVG, HTML
Übermäßige Personalisierung (Spear Phishing): Vorname, Position, laufendes Projekt
Vertraulichkeitsanfrage / Anweisung, andere nicht zu informieren

Technische Kontrollen — CERT/CSIRT-Ebene

E-Mail-Authentifizierung: SPF · DKIM · DMARC

✅ Anforderung 2026: Microsoft (Outlook), Google und Yahoo verlangen seit 2024–2025 SPF + DKIM + DMARC-Konformität (p=none Minimum) für Absender von mehr als 5.000 E-Mails pro Tag. DORA, PCI DSS 4.0 und NIS2 integrieren diese Kontrollen in ihre Kommunikationssicherheitsanforderungen.

Governance — CISO-Ebene

Säule	Prioritätsmaßnahmen	Rahmenwerke
Sensibilisierung	Phishing-Simulationen, obligatorische Jahresschulung, BEC-Krisenübungen	NIS2 Art.21, ISO 27001 A.6.3
Zugriffsrichtlinien	Sofortiger Entzug von Social-Media-Zugängen bei Beendigung von Aufgaben; Least-Privilege-Prinzip	CIS Control 6, BSI IT-Grundschutz
Technische Kontrollen	SPF/DKIM/DMARC `p=reject`-Deployment, Anhang-Sandbox, URL-Filterung, phishing-resistentes MFA (FIDO2)	ACSC Essential Eight ML2, PCI DSS 4.0
Incident Response	Dokumentiertes BEC-Playbook, Verfahren zur Kontowiederherstellung, interner Meldekanal	NIST CSF 2.0, RFC 2350

Quellen

ASD/ACSC — Detecting Socially Engineered Messages : https://www.cyber.gov.au/resources-business-and-government/maintaining-devices-and-systems/system-hardening-and-administration/email-hardening/detecting-socially-engineered-messages
ASD/ACSC — Security Tips for Social Media and Messaging Apps : https://www.cyber.gov.au/resources-business-and-government/governance-and-user-education/user-education/security-tips-social-media-and-messaging-apps
Verizon — 2025 Data Breach Investigations Report : https://www.verizon.com/business/resources/reports/dbir/
MITRE ATT&CK — Phishing T1566 : https://attack.mitre.org/techniques/T1566/

🇮🇹 Versione italiana

Data: 15 aprile 2026 • Fonte: ASD/ACSC — Australian Cyber Security Centre • Tipo: Guida al rilevamento — Ingegneria sociale • Livello: CISO · CERT · SOC • TLP: CLEAR

Sintesi esecutiva

L’Australian Signals Directorate (ASD/ACSC) ha pubblicato una guida strutturata per il rilevamento dei messaggi di ingegneria sociale, coprendo email, SMS, messaggistica istantanea e piattaforme di social media. Questa pubblicazione fa parte della serie Email Hardening dell’ACSC e fornisce un framework di rilevamento comportamentale e tecnico applicabile ai team CERT/CSIRT, agli analisti SOC e ai CISO.

⚠ Contesto delle minacce 2025–2026: Il Verizon DBIR 2025 indica che il Business Email Compromise (BEC) rappresenta tra il 17 e il 22% di tutti gli incidenti di ingegneria sociale. Il BEC rimane il tipo di incidente più comune, con il 75% dei casi che coinvolge il session hijacking per aggirare il MFA, rispetto al 38,5% del 2023.

Tassonomia dei messaggi di ingegneria sociale

Tipo	Canale	Obiettivo principale	Sofisticazione
Phishing	Email	Furto di credenziali, distribuzione malware	Media
Spear Phishing	Email	Attacco mirato post-OSINT	Alta
Whaling	Email	Compromissione di dirigenti C-level	Critica
Smishing	SMS	Reindirizzamento a siti fraudolenti	Media
Vishing	Voce / IM	Impersonificazione supporto IT / banca	Alta
BEC	Email	Frode finanziaria, esfiltrazione dati	Critica
Social Media Lure	LinkedIn, X, Telegram	Reclutamento spionistico / accesso APT	Critica

Mapping MITRE ATT&CK

Tecnica	ID ATT&CK	Descrizione
Spearphishing Attachment	T1566.001	Allegato dannoso mirato
Spearphishing Link	T1566.002	Link a sito fraudolento
Spearphishing via Service	T1566.003	Via servizi di messaggistica / Teams / Slack
Spearphishing Voice	T1566.004	Vishing / audio deepfake
Phishing for Information	T1598	Raccolta di credenziali e dati sensibili
Internal Spearphishing	T1534	Post-compromissione da account interno
Gather Victim Identity	T1589	Ricognizione OSINT via social network

Indicatori comportamentali — Analisi SOC

Livello 1 — Rilevamento gateway email

Errore SPF — dominio mittente non autorizzato
Errore DKIM — firma crittografica non valida o assente
Policy DMARC p=reject o p=quarantine non rispettata
Dominio registrato di recente (< 30 giorni) — correlazione Whois
Typosquatting: micr0soft.com, bankk-secure.com
Discordanza tra From: visualizzato e Return-Path: o Reply-To:
Header X-Mailer insolito o assente
TLS assente sulla connessione SMTP in entrata

Livello 2 — Analisi comportamentale

Urgenza artificiale: « urgente », « azione richiesta entro 24 ore »
Invocazione di autorità: CEO, CFO, società di revisione, forze dell’ordine
Richiesta atipica senza canale di verifica secondario
Link a dominio diverso dal dominio legittimo (catena di reindirizzamento)
Allegato insolito: ISO, LNK, OneNote, SVG, HTML
Personalizzazione eccessiva (spear phishing): nome, posizione, progetto in corso
Richiesta di riservatezza / istruzione di non informare altri

Controlli tecnici — Livello CERT/CSIRT

Autenticazione email: SPF · DKIM · DMARC

✅ Requisito 2026: Microsoft (Outlook), Google e Yahoo richiedono la conformità SPF + DKIM + DMARC (p=none minimo) per i mittenti di oltre 5.000 email/giorno dal 2024–2025. DORA, PCI DSS 4.0 e NIS2 integrano questi controlli nei requisiti di sicurezza delle comunicazioni.

Postura CISO — Governance strategica

Pilastro	Azioni prioritarie	Framework applicabili
Sensibilizzazione	Simulazioni di phishing, formazione annuale obbligatoria, esercitazioni di crisi BEC	NIS2 Art.21, ISO 27001 A.6.3
Policy di accesso	Revoca immediata degli accessi ai social media professionali al termine dell’incarico; principio del minimo privilegio	CIS Control 6, Essential Eight
Controlli tecnici	Deploy SPF/DKIM/DMARC `p=reject`, sandbox allegati, filtraggio URL, MFA phishing-resistant (FIDO2)	ACSC Essential Eight ML2, PCI DSS 4.0
Risposta agli incidenti	Playbook BEC documentato, procedura di recupero account compromesso, canale di segnalazione interno	NIST CSF 2.0, RFC 2350

Fonti

ASD/ACSC — Detecting Socially Engineered Messages : https://www.cyber.gov.au/resources-business-and-government/maintaining-devices-and-systems/system-hardening-and-administration/email-hardening/detecting-socially-engineered-messages
ASD/ACSC — Security Tips for Social Media and Messaging Apps : https://www.cyber.gov.au/resources-business-and-government/governance-and-user-education/user-education/security-tips-social-media-and-messaging-apps
Verizon — 2025 Data Breach Investigations Report : https://www.verizon.com/business/resources/reports/dbir/
MITRE ATT&CK — Phishing T1566 : https://attack.mitre.org/techniques/T1566/

🇪🇸 Versión en español

Fecha: 15 de abril de 2026 • Fuente: ASD/ACSC — Australian Cyber Security Centre • Tipo: Guía de detección — Ingeniería social • Nivel: CISO · CERT · SOC • TLP: CLEAR

Resumen ejecutivo

El Australian Signals Directorate (ASD/ACSC) ha publicado una guía estructurada para la detección de mensajes de ingeniería social en los vectores de correo electrónico, SMS, mensajería instantánea y redes sociales. Esta publicación forma parte de la serie Email Hardening del ACSC y proporciona un marco de detección conductual y técnica aplicable a equipos CERT/CSIRT, analistas SOC y CISOs.

⚠ Contexto de amenazas 2025–2026: El informe Verizon DBIR 2025 establece que el Business Email Compromise (BEC) representa entre el 17 y el 22 % de todos los incidentes de ingeniería social. El BEC sigue siendo el tipo de incidente más frecuente, con el 75 % de los casos involucrando session hijacking para eludir el MFA, frente al 38,5 % en 2023.

Taxonomía de mensajes de ingeniería social

Tipo	Canal	Objetivo principal	Sofisticación
Phishing	Correo electrónico	Robo de credenciales, distribución de malware	Media
Spear Phishing	Correo electrónico	Ataque dirigido post-OSINT	Alta
Whaling	Correo electrónico	Compromiso de ejecutivos C-level	Crítica
Smishing	SMS	Redirección a sitios fraudulentos	Media
Vishing	Voz / IM	Suplantación soporte TI / banco	Alta
BEC	Correo electrónico	Fraude financiero, exfiltración de datos	Crítica
Social Media Lure	LinkedIn, X, Telegram	Reclutamiento espionaje / acceso APT	Crítica

Mapeo MITRE ATT&CK

Técnica	ID ATT&CK	Descripción
Spearphishing Attachment	T1566.001	Archivo adjunto malicioso dirigido
Spearphishing Link	T1566.002	Enlace a sitio fraudulento
Spearphishing via Service	T1566.003	A través de mensajería social / Teams / Slack
Spearphishing Voice	T1566.004	Vishing / audio deepfake
Phishing for Information	T1598	Recopilación de credenciales y datos sensibles
Internal Spearphishing	T1534	Post-compromiso desde cuenta interna
Gather Victim Identity	T1589	Reconocimiento OSINT a través de redes sociales

Indicadores de comportamiento — Análisis SOC

Nivel 1 — Detección en gateway de correo

Fallo SPF — dominio remitente no autorizado
Fallo DKIM — firma criptográfica no válida o ausente
Política DMARC p=reject o p=quarantine no respetada
Dominio registrado recientemente (< 30 días) — correlación Whois
Typosquatting: micr0soft.com, bankk-secure.com
Discrepancia entre From: mostrado y Return-Path: / Reply-To:
Cabecera X-Mailer inusual o ausente
TLS ausente en la conexión SMTP entrante

Nivel 2 — Análisis conductual

Urgencia artificial: « urgente », « acción requerida en 24 horas »
Invocación de autoridad: CEO, CFO, firma auditora, fuerzas del orden
Solicitud atípica sin canal de verificación secundario
Enlace a dominio diferente del dominio legítimo (cadena de redirección)
Adjunto inusual: ISO, LNK, OneNote, SVG, HTML
Personalización excesiva (spear phishing): nombre, cargo, proyecto en curso
Solicitud de confidencialidad / instrucción de no informar a otros

Controles técnicos — Nivel CERT/CSIRT

Autenticación de correo: SPF · DKIM · DMARC

✅ Requisito 2026: Microsoft (Outlook), Google y Yahoo exigen el cumplimiento de SPF + DKIM + DMARC (p=none mínimo) para remitentes de más de 5.000 correos/día desde 2024–2025. DORA, PCI DSS 4.0 y NIS2 integran estos controles en sus requisitos de seguridad de las comunicaciones.

Postura CISO — Gobernanza estratégica

Pilar	Acciones prioritarias	Marcos aplicables
Concienciación	Simulaciones de phishing, formación anual obligatoria, ejercicios de crisis BEC	NIS2 Art.21, ISO 27001 A.6.3
Política de acceso	Revocar inmediatamente accesos a redes sociales profesionales al finalizar la asignación; principio de mínimo privilegio	CIS Control 6, Essential Eight
Controles técnicos	Despliegue SPF/DKIM/DMARC `p=reject`, sandbox de adjuntos, filtrado de URL, MFA resistente al phishing (FIDO2)	ACSC Essential Eight ML2, PCI DSS 4.0
Respuesta a incidentes	Playbook BEC documentado, procedimiento de recuperación de cuentas comprometidas, canal de notificación interno	NIST CSF 2.0, RFC 2350

Fuentes

ASD/ACSC — Detecting Socially Engineered Messages : https://www.cyber.gov.au/resources-business-and-government/maintaining-devices-and-systems/system-hardening-and-administration/email-hardening/detecting-socially-engineered-messages
ASD/ACSC — Security Tips for Social Media and Messaging Apps : https://www.cyber.gov.au/resources-business-and-government/governance-and-user-education/user-education/security-tips-social-media-and-messaging-apps
Verizon — 2025 Data Breach Investigations Report : https://www.verizon.com/business/resources/reports/dbir/
MITRE ATT&CK — Phishing T1566 : https://attack.mitre.org/techniques/T1566/