ciberataques

07 Maig, 2020

Privacidad on-line, consejos para mantener tus datos a salvo

Los ciberataques están a la orden del día y son muchos los ciudadanos que ya han sufrido sus consecuencias a estas alturas. Entre ellas se encuentran las relacionadas con la suplantación de identidad, una fechoría que suele tener siempre el mismo origen: el robo de información personal. Es decir, un ataque a la privacidad on-line en toda regla. La cuestión es que, con la crisis del coronavirus, esa privacidad on-line se encuentra especialmente expuesta. La principal razón hay que buscarla en el importante flujo de información digital que circula estos días, especialmente la relativa a la propia pandemia. Vídeos, enlaces, memes… todo tipo de archivos saltan de correo en correo y de mensaje en mensaje. También todo tipo de información sobre nuestra situación actual en la que nos encontramos y que publicamos en redes sociales. Nuestros teléfonos móviles y nuestros ordenadores echan humo con la gran cantidad de datos que compartimos. Hasta el punto de que la Organización Mundial de la Salud (OMS) ha calificado la situación actual de “infodemia”, refiriéndose a la sobreabundancia de información que circula. Los ciberdelincuentes saben cómo aprovechar este flujo, así como nuestro deseo de recibir la máxima información posible. Por eso han encontrado la ocasión perfecta para tratar de hacerse con nuestros datos. Es el primer paso hacia una posible suplantación de identidad que puede crear más quebraderos de cabeza de los que parecen.Puede parecer que la suplantación de identidad es un problema que solo afrontan los famosos de vez en cuando. Esto se debe a que sus casos suelen ser los más sonados. Cada dos por tres oímos hablar de alguna personalidad a la que han hackeado su perfil en una red social para publicar cualquier cosa en su nombre. Sin embargo, cualquiera puede ser víctima de este tipo de actividad fraudulenta. Tal y como recuerda la Oficina de Seguridad del Internauta (OSI), cualquier persona que tenga en internet información personal como nombre y apellidos, edad, lugar de nacimiento o fotografías y no tenga controlado quién puede acceder a dichos datos puede ser víctima de suplantación de identidad. Incluso si esa información no está publicada en internet, siempre existe un cierto riesgo. En cuanto a los lugares donde se desarrollan las suplantaciones de identidad, suelen darse en redes sociales, ya que en ellas resulta sencillo recopilar información sobre una persona e incluso crear un perfil falso para hacerse pasar por ella. De hecho, es habitual el uso de bots que se hacen pasar por gente real para promocionar productos y servicios o sembrar discordia. Existen también ataques de phishing que utilizan malware para infectar nuestros equipos y hacerse con nuestra información personal. En estos ataques, los ciberdelicuentes suelen utilizar técnicas de ingeniería social para suplantar la identidad de entidades o personas conocidas con el fin de engañar a sus víctimas y obtener sus datos. Con ellos en su poder, tratarán de acceder en su nombre a distintos servicios. Los ataques de phishing suelen seguir este esquema: abrimos un correo electrónico o mensaje que parece enviar una persona o entidad de confianza; el mensaje solicita acceder a una web para facilitar información personal; la web parece legítima, por lo que facilitamos todos los datos solicitados, incluidos nombre de usuario, contraseña o número de identificación fiscal. A partir de ahí, los ciberdelincuentes tendrán a su disposición los datos necesarios para intentar suplantarnos, por ejemplo, en nuestras interacciones con el banco. También son habituales en este tipo de ataques los mensajes que nos anuncian que hemos ganado un premio y que debemos proporcionar una serie de información personal para poder acceder a él. En plena pandemia de covid-19, este tipo de ataques se ha sofisticado y utiliza este tema como gancho para hacerse con datos de usuarios. Desde archivos con supuestos consejos en vídeo para mantenerse a salvo de la enfermedad que ocultan software malicioso hasta cibercriminales que se hacen pasar por la Organización Mundial de la Salud, todo vale para romper la privacidad on-line de los internautas.Las especiales circunstancias que vivimos en la actualidad exigen que seamos más cuidadosos que nunca con nuestra información personal. Los ataques de suplantación de identidad no solo afectan a la víctima de la estafa, sino también a las personas u organismos por los que se hacen pasar los ciberdelincuentes, que se pueden ver envueltos en un problema de manera totalmente inadvertida. Existen algunas medidas que podemos tomar para mantener nuestros datos a salvo y evitar que terceros puedan contactar con otros en nuestro nombre o acceder a distintos servicios on-line haciéndose pasar por nosotros. - Utilizar siempre contraseñas robustas: tanto para acceder al perfil de la red social como a nuestras aplicaciones bancarias, la OSI explica que elegir una buena contraseña es fundamental. También lo es gestionar estas credenciales de manera adecuada, sin compartirlas con nadie, sin utilizar la misma para varios servicios y haciendo uso de gestores para recordarlas cuando las necesitemos. En este sentido, CaixaBank ha sido el primer banco del mundo en utilizar la identificación biométrica en las aplicaciones propias y el reconocimiento facial en cajeros, que evita tener que introducir el PIN para realizar reintegros. Además, la entidad cuenta con sistemas robustos para proteger los datos de sus clientes frente a los ataques de los hackers. - Evitar el phishing: lo mejor para no sufrir las consecuencias de un ataque de phishing que termine con el robo de nuestra información es evitarlo. Para ello, conviene fijarse en los mensajes y correos que se reciben y estar alerta ante contactos inesperados o respuestas que no se han solicitado. También es preciso analizar con detalle los correos, sobre todo los que nos piden introducir credenciales en una web externa con cualquier excusa, y recordar que un banco nunca nos pedirá nuestros datos por correo electrónico, mensaje de texto o teléfono porque ya los tiene. Conviene examinar la dirección de correo del remitente, no fiarse de peticiones urgentes que impongan plazos para modificar claves de acceso y comprobar que los enlaces incluidos sean legítimos. Con solo pasar el puntero del ratón por encima del texto del enlace, podremos ver la dirección web a la que dirige y comprobar si coincide o no con la que apunta el contenido del mensaje. Que su redacción sea incorrecta también debe alertarnos. - Aumentar el grado de privacidad de nuestros perfiles: en redes sociales, conviene configurar los perfiles de la manera más privada posible, con el fin de evitar que usuarios desconocidos accedan a nuestra información personal. La OSI también aconseja asegurarse de la identidad de cualquier usuario que nos quiera agregar como amigo para evitar que cualquiera tenga acceso a nuestra información personal, fotos o vídeos. - Revisar la política de privacidad: la OSI recuerda que, si nos fijamos en las condiciones de servicio de las redes sociales, sabremos el uso que hacen de nuestros datos, su tratamiento y almacenaje y si se comparten con terceros. Seguir estos consejos nos ayudará a preservar nuestra privacidad en internet. Una precaución que, en estos momentos, es más importante que nunca.

INNOVACIÓN
16 Abril, 2020

Coronavirus y ciberataques, no bajes la guardia

“En tiempos de sobreinformación, la creatividad desaparece”. Así definía el neuropsicólogo Andrey Kurpatov algunos de los efectos de la sobrecarga de información durante el último Foro Económico Mundial de Davos. Lo que no preveía el experto es la capacidad de los ciberdelincuentes para idear nuevas formas de atacar a sus víctimas. Una creatividad que se ha disparado en medio de la pandemia del coronavirus, cuando ciudadanos y empresas demandan más información de la habitual. En las últimas semanas han comenzado a proliferar ciberataques relacionados con la crisis del coronavirus. Lo cierto es que el escenario es propicio para este tipo de delincuencia: el consumo de internet se ha disparado, con incrementos de tráfico cercanos al 40%, al igual que el teletrabajo. La elevada demanda de información sobre la pandemia por parte de ciudadanos y profesionales ha abierto nuevas oportunidades para los ciberdelincuentes. Mientras que algunos han prometido no actuar en ciertos casos mientras dure la pandemia, otros han decidido aprovechar la situación para difundir sus ataques. En cualquier caso, nunca se debe bajar la guardia ante la posibilidad de ser uno de sus objetivos. Y menos en una situación tan excepcional como la actual.Los ataques de secuestro de información, o ransomware, no han tardado en aparecer. Lo que ocurre es que, esta vez, lo hacen adaptados a la situación actual de pandemia. Es decir, aprovechan el tirón informativo que tiene estos días la temática del coronavirus para acceder a nuestros archivos, encriptarlos y solicitar después el pago de un rescate si queremos recuperarlos. Si sumamos todo esto a la sobrecarga de trabajo que sufren los profesionales de determinados sectores, como los de la sanidad, los ciberdelincuentes encuentran la ocasión perfecta para intentar secuestrar información sensible. Este fue precisamente el caso de un envío de ransomware reportado por la Policía Nacional. Consistía en el envío de correos electrónicos a personal sanitario de distintos hospitales españoles relacionados con la temática del coronavirus. Incluían archivos adjuntos con los que los ciberdelincuentes pretendían corromper la información del centro médico para pedir después un rescate. Este tipo de ataques de secuestro de información también se han detectado en otros países. Un ejemplo es el del ransomware que utilizaba el dominio coronavirusappsite para cumplir con su objetivo. Contenía un mapa de calor de Estados Unidos en el que se mostraban los focos de mayor contagio para captar la atención del internauta. En concreto, esta página solicitaba la descarga de una app móvil para continuar informado. Al hacerlo, se instalaba un ransomware llamado Covidlock, con su consiguiente mensaje de infección y solicitud de rescate.La ruptura de la normalidad también deja expuesta a la población ante las ciberestafas. Como en estos momentos buscamos constantemente información relacionada con el coronavirus, los ciudadanos estamos más expuestos a sufrir este tipo de engaños. De hecho, las cifras de uso de la temática del coronavirus como gancho para extender ciberataques entre la población se han disparado en marzo, coincidiendo con la declaración del coronavirus como pandemia global. Además, se ha detectado un incremento de hasta el 70% de correos con ataques de phishing que hacen uso de esta temática para recopilar información personal de manera fraudulenta. El propio FBI alerta sobre una oleada sin precedentes de este tipo de delitos, en este caso relacionados con la pandemia. En España, los últimos informes del Centro Nacional de Protección de Infraestructuras y Ciberseguridad (CNPIC, dependiente del Ministerio del Interior) han alertado sobre una quincena de ciberestafas con el señuelo del coronavirus. Para perpetrarlas, los delincuentes aprovechan el sentimiento de vulnerabilidad que empuja a muchos ciudadanos a buscar información sobre la pandemia.Hay que tener en cuenta que estas ciberestafas no llegan exclusivamente a través de correos electrónicos. También se utilizan aplicaciones, páginas web e incluso mensajes de texto para comprometer la seguridad de las personas y su privacidad. Un ejemplo es el uso de mensajes de texto para ofrecer una aplicación que ayuda a conseguir mascarillas sanitarias. Cuando se descarga la aplicación, se instala un virus que reenvía el mensaje a todos los contactos de la agenda del teléfono infectado. Otro ataque detectado utilizaba un mensaje de WhatsApp para suplantar al Ministerio de Sanidad y redirigir a una web de venta de mascarillas. También proliferan estafas con troyanos, como el conocido Cerberus, que afectan a dispositivos Android. Este ataque tiene como principal cometido el robo de credenciales bancarias o tipos RAT, con el foco puesto en la distribución y el robo de datos sensibles de la víctima.En un momento en el que nos vemos bombardeados constantemente por la difusión de información por medios electrónicos, el sentido común es más necesario que nunca. Protegernos de ciberestafas en un momento especialmente vulnerable como el que vivimos nos evitará más de un disgusto. Algunas recomendaciones para mantenerse a salvo de este tipo de ataques son las siguientes: - Eliminar, sin abrirlos, los correos electrónicos sospechosos o de cuyo origen no tengamos constancia. -  Evitar las cadenas de mensajes, que se utilizan en muchas ocasiones para recopilar datos de contacto, así como los mensajes que recibamos de conocidos con enlaces o adjuntos y que parezcan fuera de contexto o no encajen en la conversación. - No hacer clic ni pulsar sobre enlaces dudosos, ya que nos pueden redirigir a páginas web fraudulentas. - Ante la duda, contrastar siempre con personas de confianza y fuentes oficiales cualquier información que recibamos y nos resulte sospechosa. - Extremar las precauciones en las compras online, especialmente las de productos relacionados con la pandemia como mascarillas o guantes. - Mantener actualizados los sistemas de los dispositivos electrónicos, incluidos los antivirus. - No facilitar nunca claves ni contraseñas solicitadas a través de correo electrónico, mensajes de texto o cualquier otro canal. - Que una web empiece por https y presente un candado en la barra del navegador no garantiza que sea segura. De hecho, puede tratarse de una web fraudulenta. Conviene fijarse bien en si el enlace se corresponde realmente con el del sitio web al que queremos conectarnos. Siempre será más seguro teclear la dirección web auténtica en la barra de navegación que acceder a ella desde un enlace obtenido de otra fuente. Mantener a raya los ciberataques no es solo un acto de protección individual. En momentos como los actuales, la responsabilidad ciudadana es especialmente importante, por lo que también se debe evitar al máximo su propagación a otras personas. La calma y el sentido común son, una vez más, las mejores herramientas que tenemos a nuestro alcance para conseguirlo.

INNOVACIÓN
30 Desembre, 2019

Smishing, el enemigo impredecible en la mensajería instantánea

El SPIM (acrónimo de Spam over Instant Messaging) es un mensaje no deseado con finalidad comercial, normalmente maliciosa, que se distribuye a través de aplicaciones de mensajería instantánea, SMS o mensajes privados en páginas web. SPAM y SPIM son muy similares, la única diferencia entre los dos es el medio por el que recibimos este mensaje fraudulento. El envío de SPIM se conoce con el término smishing, que proviene de la unión de SMS y phishing, una práctica que engloba todos los fraudes que se llevan a cabo mediante sistemas de mensajería instantánea. Con el desarrollo de las nuevas tecnologías y los avances en la comunicación interpersonal, se abren nuevas vías de cibercrimen de las que debemos estar informados. Términos como phishing o vishing están a la orden del día en cuanto a ciberataques. A estos dos últimos se suma el no tan conocido smishing. ¿Qué característica común comparten estos ciberataques? La suplantación de identidad.Los ciberdelincuentes, mediante programas informáticos automatizados, rastrean la agenda de direcciones del usuario de las aplicaciones de mensajería instantánea. Una vez ha conseguido la lista de contactos, el ciberdelincuente envía un mensaje al usuario que, dependiendo de la aplicación utilizada, aparecerá en forma de ventana emergente o de texto en una conversación. Estos mensajes suelen incluir un enlace a una página web o documento, generalmente de carácter fraudulento. El objetivo es conseguir que el usuario haga clic en el enlace adjunto en el mensaje enviado, dando lugar a la descarga de malware que le permitirá acceder a la cuenta y al dispositivo del usuario. A diferencia del SPAM, que podemos identificar antes de abrirlo y eliminarlo sin riesgos, el envío de SPIM puede hacernos caer en la trampa al aparecer durante la conversación con algún familiar o amigo, y conseguir que hagamos clic sobre el enlace por error al pensar que procede de la persona con la que conversamos.Aunque todos corremos el riesgo de recibir un mensaje fraudulento, existen una serie de recomendaciones a seguir para detectar si estamos ante un ciberataque de smishing: - Si recibimos un mensaje de un contacto conocido que está fuera de contexto o que no encaja en la conversación mantenida, preguntarle antes de hacer clic. - No hacer clic en enlaces o elementos adjuntos si no estamos seguros de la identidad del remitente. - Comprobar la procedencia de cualquier enlace recibido antes de hacer clic sobre él. - Configurar adecuadamente las opciones de privacidad de las aplicaciones de mensajería instantánea que utilizamos para evitar que nos lleguen mensajes de remitentes desconocidos. - Mantener actualizadas tanto las aplicaciones de mensajería como nuestros dispositivos. Sin duda alguna, la información y la concienciación son el primer paso para combatir el fraude electrónico, que afecta tanto a particulares como a empresas. Nuestro consejo ante estas amenazas: doble check antes de hacer clic en un enlace sospechoso y, si no lo ves claro, confirma el mensaje por otra vía de contacto.

INNOVACIÓN
29 Novembre, 2019

Fraude electrónico: cómo protegerte de lo último en ciberestafas

El fraude electrónico es terreno abonado para la creatividad. Tanto para la de los ciberdelincuentes como para la de los equipos de seguridad que tratan de minimizar sus ataques e, incluso, anticipar sus próximas jugadas. De hecho, este tipo de problemas se ha convertido ya en el primer riesgo global para las empresas, junto con la pérdida de beneficios. Su imprevisibilidad y la velocidad a la que evolucionan tienen mucho que ver con esto. También los ciudadanos son víctimas del fraude electrónico. Este mismo año se desarticuló en España una trama de 45 ciberdelincuentes que habían conseguido estafar cerca de 900.000 euros a unas 2.400 víctimas. Cada 24 horas se envían en el mundo unos 6.400 millones de correos electrónicos falsos, fraudulentos o peligrosos. De ellos, buena parte corresponde a la omnipresente amenaza del phishing, que consiste en suplantar la identidad de una persona o de una compañía para obtener información personal y bancaria de los usuarios. Para combatir este tipo de amenazas, la concienciación es esencial. Por este motivo, conviene estar al día de las últimas tendencias en ciberestafas, que afectan tanto a empresas como a particulares. El fraude del CEO, el fraude de facturas o el romance scam son algunos ejemplos de a qué se dedican últimamente los cibercriminales.Qué mejor manera de persuadir a un empleado que hacerse pasar por su jefe. Lo hemos visto en cientos de películas, así que solo era cuestión de tiempo que los ciberdelincuentes se pusieran manos a la obra. De hecho, la suplantación de identidad se suele dar en el mundo empresarial para obtener dinero o información confidencial, entre otros motivos. Añadir herramientas online a la ecuación es una evolución lógica de este fraude. Como resultado de todo esto, surgió una de las principales amenazas online que traen de cabeza a las fuerzas de seguridad. El fraude del CEO consiste, básicamente, en un delincuente que se hace pasar por un alto cargo de una empresa para desviar fondos de manera fraudulenta. En concreto, el estafador comienza por estudiar a las víctimas y recaba información sobre la empresa. Una vez que conoce el organigrama y las operaciones habituales de la compañía, suplanta la identidad del CEO o de un alto cargo de la organización. Para ello, normalmente piratea su cuenta de e-mail o incluso crea una dirección falsa. Posteriormente, envía correos electrónicos o llama por teléfono para solicitar la transacción de un pago extraordinario, por ejemplo, para la compra de una empresa extranjera. Siempre piden que todo se haga de manera urgente y confidencial para que la víctima desista de verificar la operación. Al final, el empleado engañado realiza los pagos a las cuentas que controla el estafador. Para prevenir este tipo de ataques, conviene tomar una serie de medidas. Debemos confirmar la legitimidad de la operación por otra vía de comunicación. Por ejemplo, si nos han hecho la petición por correo electrónico, es mejor llamar por teléfono para confirmar su veracidad. La prudencia a la hora de difundir información en redes sociales sobre tu empresa y cargo también es recomendable, ya que los delincuentes utilizarán todo lo que tengan a mano para suplantar la identidad. Si no has podido evitar que se produzca el fraude, informa urgentemente a tu sucursal bancaria y denuncia los hechos a la policía para minimizar daños. No borres los correos electrónicos, los registros telefónicos ni la documentación que hayan aportado los estafadores, porque son pruebas que podrás presentar en una investigación.En el caso del fraude de facturas, la identidad que se suplanta es la de un proveedor o un empleado para desviar cobros. En este caso, los delincuentes estudian las relaciones de las empresas con sus proveedores, incluidos los pagos regulares que efectúan. Con esta información, se ponen en contacto con la empresa para solicitarle que, de ahora en adelante, realice los pagos a un nuevo número de cuenta bancaria fraudulenta. El fraude solo se descubrirá cuando el proveedor legítimo reclame el impago de las facturas que la empresa ha abonado, en realidad, a los estafadores. Ante una petición de cambio de número de cuenta de un proveedor, también es conveniente confirmar con él la operación por otra vía de comunicación, por ejemplo llamando por teléfono. Observar con cuidado las facturas recibidas para advertir si hay algún cambio, e incluso eliminar la información sobre clientes o proveedores, puede ayudar también a evitar estos problemas.El uso de medios digitales para hacer nuevas amistades o incluso encontrar el amor está a la orden del día. Son muy útiles para encontrar personas con intereses similares y, además, su uso es muy sencillo. Eso sí, en este tipo de aplicaciones se encuentran algunos perfiles falsos que engañan a los usuarios de diversas maneras. Por ejemplo, moviéndolos a realizar pagos o a comprometer su privacidad bajo excusas falsas o mediante extorsión. En el caso del romance scam, los estafadores recaban información de perfiles abiertos de otras personas en redes sociales, lo que les permite montar una historia convincente. A partir de ahí, crean perfiles falsos, que pueden ser tanto masculinos como femeninos, en función de la víctima, y entablan relación con ella para después invitarla a continuar su contacto fuera de la web. Suelen enviar imágenes para demostrar que se trata de personas reales, aunque generalmente son imágenes robadas a otros usuarios reales o imágenes de archivo que encuentran por internet. Con los datos que obtiene el delincuente de las conversaciones con su víctima, se gana su confianza y la somete a distintos tipos de fraude. Por ejemplo, le pide dinero para costearse el avión o el hotel para ir a visitar a la víctima, entre otras excusas. Incluso se llegan a simular secuestros exprés para que la víctima pague el rescate. También están a la orden del día las amenazas de publicación de imágenes íntimas que la víctima pueda haber compartido para obtener su dinero. El sentido común suele ser la mejor medida para prevenir estos ataques, ya que conviene desconfiar de las historias que suenan demasiado bien para ser verdad. La prevención, el sentido común y la responsabilidad en el uso de los nuevos medios digitales son el primer paso para evitar el fraude. También para anticiparse a cualquier ocurrencia que los ciberdelincuentes puedan tener en el futuro. Por eso es tan necesario promoverlos.

INNOVACIÓN