Las estafas cibernéticas, el verdadero desafío

A medida que más y más dispositivos se incorporan a una red, crece el riesgo de sufrir estafas cibernéticas. En este contexto, es fundamental conocer las estafas dirigidas a los dispositivos, así como los indicadores que pueden ayudar a identificarlas y evitarlas.

Cuando se trata de protegerse y proteger a una organización contra las ciberestafas, no existe una solución única. Tanto las organizaciones como las personas continúan adoptando nuevos dispositivos y nueva tecnología, por lo que hay más riesgo de sufrir un ciberataque. Para proteger de manera efectiva la valiosa información que persiguen los ciberdelincuentes, es importante conocer los distintos ataques a los que se está expuesto.

Los ciberatacantes utilizan una amplia variedad de estrategias para acceder a un dispositivo o red, extorsionar o robar información valiosa. Cuando se trata de comprender las amenazas actuales y cómo protegerse y proteger a una organización contra ellas, conocer las diversas artimañas que buscan engañar a los usuarios ayuda a minimizar el impacto:

Estafas de phishing

Los ataques de phishing son muy comunes, tanto en redes corporativas como en las personales. Se llevan a cabo cuando un ciberdelincuente envía una comunicación (correo electrónico, llamada telefónica, mensaje de texto…) suplantando a otra persona, con el objetivo de extraer o acceder a credenciales, datos personales o información financiera, así como a información delicada relacionada con la organización. Según un informe de IBM, el 59 por ciento de las infecciones de ransomware exitosas se producen a través de estafas de suplantación de identidad. Para evitarlo es importante tener en cuenta una serie de indicadores que ayuden a reconocer mejor estos ataques:

• Verificar los contactos: Hay que tener cuidado si se reciben comunicaciones de una fuente que no se reconoce y que pide que se realice una acción, como proporcionar información personal o iniciar sesión en un sitio determinado. La mayoría, si no todas las compañías, nunca pedirán información personal a través de correo electrónico. Si esto sucede, debe considerarse una señal de alerta de que no son quienes dicen ser. Para evitar este tipo de estafas hay que verificar la dirección de correo o número de teléfono con la persona u organización.
• Localizar errores ortográficos y una gramática deficiente: Las organizaciones se toman su tiempo en leer sus comunicaciones antes de enviarlas. A menudo, los ciberdelincuentes de phishing no lo hacen. Si se recibe un mensaje de una fuente supuestamente confiable que incluye errores tipográficos, una gramática deficiente o una mala puntuación, es probable que sea una estafa.
• Comportamientos agresivos: Si el tema y la forma de un mensaje son demasiado agresivos, es probable que se trate de un ataque. Un ejemplo, son los correos electrónicos que entran en la carpeta de spam que dicen: “Urgente! Su cuenta está en descubierto. Contáctenos INMEDIATAMENTE”. El objetivo es asustar al destinatario del mensaje y que reaccione de la manera que desean los estafadores. En lugar de esto, es fundamental verificar el remitente del mensaje antes de responder con una acción inmediata.

Estafas de spear phishing

Si bien los ataques de phishing se envían en masa y ofrecen pistas relativamente fáciles de detectar, el spear phishing es mucho más sofisticado y dirigido. Los estafadores que practican este tipo de phishing investigan en profundidad a sus víctimas, así como la organización en la que trabaja, amigos, intereses, etc. para aumentar sus posibilidades de éxito. Para protegerse mejor del spear phishing:

• Utilizar un servicio de verificación de correo electrónico: Funciona al validar la fuente de los correos electrónicos que se reciben para cotejar si las identidades del Dominio administrativo (ADMD) coinciden o no con la dirección utilizada.
• Discreción a la hora de facilitar información: Si los usuarios no estuvieran entregando voluntariamente datos personales a los ciberdelincuentes, el phishing no sería una estafa efectiva.
• Mantener una buena higiene de seguridad: La implementación de hábitos simples y cotidianos contribuyen a evitar en gran medida que las estafas comprometan con éxito un dispositivo o red.

Estafas de cebo

Las estafas de cebo buscan usuarios desprevenidos con el objetivo de que realicen una determinada acción, como descargar un virus o facilitar información personal a cambio de un cebo: un software antivirus gratuito, películas que los usuarios pueden descargar, una memoria USB con la etiqueta ‘Información sobre salarios corporativos’ para que la víctima la instale en su ordenador… Si bien este tipo de estafas puede tomar muchas formas, la finalidad es siempre la misma: atraer a los usuarios para que instalen algo malicioso. Para protegerse hay que tener en cuenta una serie de indicadores:

• Evitar ofertas gratuitas: Como dice el refrán, “si parece demasiado bueno para ser verdad es más probable que sea una estafa”. Muchos ciberdelincuentes intentarán atraer a sus víctimas con promesas de descargas, envíos y suscripciones gratuitas. Por esto, hay que asegurarse de no solo verificar la fuente y leer la letra pequeña de los acuerdos, sino también de cotejar la organización que afirma hacer estas ofertas.
• Evitar unidades de almacenamiento externas o unidades de disco duro desconocidas: El asedio se puede realizar de forma digital o con unidades físicas que instalan software malicioso. Hay que asegurarse de conocer al propietario de la unidad antes de conectarla al ordenador.

Estafas de soporte técnico

Solo en 2017, el FBI recibió alertas de unos 11.000 casos fraudulentos de soporte técnico, que supusieron un coste de más de 13 millones de euros por daños. En este tipo de ataques, los estafadores se presentan como empleados de soporte técnico, ya sea para la propia organización donde trabaja la víctima o como un servicio independiente, con el fin de obtener acceso a información personal. Al igual que el resto de estafas, su éxito o fracaso dependen de que la víctima caiga en un ataque de ingeniería social. En este sentido, es importante tener en cuenta algunas señales de alerta:

• Mantenerse atento a los mensajes no solicitados: Rara vez, el soporte técnico se ofrecerá a acceder o arreglar un equipo sin una solicitud previa. Los desarrolladores de software y hardware nunca rastrean sus soluciones y luego llaman para ofrecer asistencia. Si un técnico o una empresa se comunica a través de un anuncio emergente, un correo electrónico, una llamada telefónica no solicitada, o a través de las redes sociales, es probable que resulte ser una estafa. Las compañías han establecido procesos para actualizar sus productos y servicios, como parches y actualizaciones publicados, o formas de abordar los problemas que están integrados directamente en la solución.
• Evitar instalar cualquier cosa que proceda de una fuente desconocida: A menos que provenga directamente de una fuente en la que se confíe, una descarga desde la web conlleva un riesgo inherente de infectar un equipo. Al igual que las estafas de acoso, los ciberdelincuentes a menudo ofrecen ‘análisis de seguridad gratuitos’ o ‘limpieza de equipos’, que después infectan con malware.
• Verificar quien solicita el acceso remoto al dispositivo: El acceso remoto permite a los equipos de soporte hacerse con el control de un ordenador de forma remota para resolver un problema. Sin embargo, se puede usar la misma tecnología para acceder rápidamente a la información personal fuera del dispositivo. Si una fuente con la que no se está familiarizado solicita acceder al dispositivo, hay que evitarla.

Asegurar los dispositivos móviles

Los dispositivos móviles están siendo cada vez más atacados por estafas criminales. Las aplicaciones falsas utilizadas para extraer datos o para pedir un rescate por recuperarlos (ransomware) están a la orden del día, especialmente para los sistemas operativos Android.

• Evitar el enmascaramiento de malware como aplicaciones y actualizaciones legítimas: un número creciente de aplicaciones falsas están disponibles en tiendas de terceros (por ejemplo, Apkmonk). Además, los parches y actualizaciones que atacan aplicaciones y dispositivos también abundan (como el malware cryptojacking). Al mismo tiempo, hay que desconfiar de las aplicaciones que solicitan permisos innecesarios (como por ejemplo, solicitar permisos de administración)
• Usar WiFi seguro: Los espacios públicos y tiendas que ofrecen conexiones gratuitas de WiFi son lugares habituales para los ataques de tipo Main-in-the-middle, en los que los ciberdelincuentes transmiten la disponibilidad de servicios WiFi y luego los utilizan para capturar los datos que son trasmitidos desde el dispositivo a través de la WiFi comprometida. Cuando se utilice WiFi pública, se deben usar conexiones VPN para forzar el cifrado de la comunicación y evitar transacciones confidenciales. La mayoría de los dispositivos móviles están configurados para conectarse automáticamente a los SSID habituales, como los utilizados en las redes de nuestra casa, por lo que los ciberdelincuentes usan estos SSID sin contraseña, para engañar a los dispositivos y que se conecten automáticamente sin requerir ninguna acción por parte del usuario.

Dispositivos IoT

Los dispositivos IoT también son un vector de ataque cada vez más popular. Muchos dispositivos IoT son frágiles, tienen una conexión a Internet persistente y utilizan procesadores GPU potentes, lo que los convierte en ideales para la cripto-minería y los ataques DDoS.

• Actualizar las credenciales: La estrategia de ataque más común es simplemente intentar conectarse a un dispositivo IoT utilizando el nombre de usuario y contraseña predeterminados. Por esto, siempre que sea posible, hay que cambiar la contraseña de los routers, televisores inteligentes y sistemas de entretenimiento en el hogar, etc.
• Coches conectados: A medida que más y más dispositivos se interconectan, se vuelven vulnerables al eslabón más débil de la cadena. Los dispositivos como los coches conectados no solo son un objetivo para los atacantes, ya que contienen datos del usuario, información de contacto del teléfono e incluso información de pago, también puede suponer un riesgo para los conductores y pasajeros. Al comprar un automóvil conectado, es importante revisar y cambiar cuidadosamente sus configuraciones de seguridad predeterminadas y evitar las instalaciones de aplicaciones de fuentes desconocidas. Además, se debe revisar la seguridad y las credenciales de los dispositivos conectados a Bluetooth, especialmente aquellos que se conectan con la red del automóvil.

Las estafas cibernéticas pueden afectar a cualquier persona que ignore estas señales de advertencia. Al adoptar más y más dispositivos que se conectan a una red, el riesgo de ser víctima de una estafa aumenta. Identificar las estafas cibernéticas más comunes, así como reconocer los signos reveladores de esas estafas, ayuda a proteger la información sensible y la almacenada en las redes a las que se conecta.

La entrada Las estafas cibernéticas, el verdadero desafío aparece primero en Globb Security.