Phishing, el anzuelo en tu bandeja de entrada

El phishing es una técnica en la que un ciberdelincuente envía un correo electrónico a un usuario simulando ser una entidad legítima (red social, banco, institución pública, etc.). El objetivo es robar información privada, realizar cargos económicos o infectar el dispositivo. Para lograr esto adjuntan archivos infectados o enlaces a páginas fraudulentas en el correo electrónico.

¿Cuáles son los fraudes online más comunes?

Entre los casos más habituales se encuentra el email spoofing (suplantación de identidad por correo electrónico). A través de esta técnica los ciberdelincuentes envían correos con remitente falso para enviar spam, difundir malware o llevar a cabo ataques de phishing suplantando la identidad de perfiles con capacidad de toma de decisiones en la empresa, proveedores, clientes, etc. 

Entre los principales casos de fraude, en los que se utiliza la suplantación de identidad, cabe destacar:

• El falso soporte técnico de Microsoft: fraude en donde el estafador se hace pasar por un técnico de esta compañía con el pretexto de solucionar ciertos problemas técnicos en el equipo. El objetivo es principalmente obtener información confidencial de la empresa.
• El fraude del CEO: consiste en engañar a un empleado con capacidad para hacer movimientos bancarios o acceder a datos de cuentas de la empresa. Este recibe un correo, supuestamente de su jefe (puede ser el CEO, presidente o director de la empresa), en donde se le ordena que realice una operación financiera confidencial de carácter urgente. El objetivo es transferir fondos de la empresa a la cuenta del timador.
• El fraude de RRHH: en este caso el correo va dirigido al personal de RRHH haciéndose pasar por un empleado que solicita un cambio de cuenta para el ingreso de su nómina. Al igual que el fraude del CEO, el objetivo es que la empresa transfiera dinero a la cuenta del estafador.

Otro de los fraudes más comunes es la extorsión, en el que el ciberdelincuente chantajea a la víctima con contenido que presume tener en su poder. En la sección de avisos encontramos ejemplos como:

• Campaña de sextorsión: este tipo de campaña tiene muchas variantes, ya que los ciberdelincuentes van cambiando ligeramente el contenido del mensaje. El objetivo es extorsionar a los destinatarios con un supuesto vídeo de contenido sexual, que se enviará a la lista de contactos de la víctima si esta no ingresa la cantidad demandada en bitcoins por los ciberdelincuentes.

Algunas recomendaciones para evitar estos ataques:

• Sé precavido ante los correos que aparentan ser de entidades bancarias o servicios conocidos (Dropbox, Facebook, Google Drive, Apple ID, Correos y Telégrafos, Agencia Tributaria, etc.), siempre debes sospechar ante mensajes alarmistas o pedidos de urgencia.
• Sospecha si hay errores gramaticales en el texto, pueden haber utilizado un traductor automático para la redacción del mensaje trampa. Ningún servicio con cierta reputación enviará mensajes mal redactados.
• Las comunicaciones del tipo “Estimado cliente”, “Notificación a usuario” o “Querido amigo”, suelen ser un indicio de alerta.
• Si el mensaje te obliga a tomar una decisión de manera inminente o en unas pocas horas, es mala señal. Contrasta directamente si la urgencia es real o no directamente con el servicio o consultando otras fuentes de información de confianza: la OSI, Policía, Guardia Civil, etc.
• Revisa si el texto del enlace que facilitan en el mensaje coincide con la dirección a la que apunta, y que ésta corresponda con la URL del servicio legítimo.
• Un servicio con cierto prestigio utilizará sus propios dominios para las direcciones de email corporativas. Si recibes la comunicación desde un buzón de correo tipo @gmail.com, @outlook.com o cualquier otro similar, sospecha.
• Aplica la ecuación: solicitud de datos bancarios + datos personales = fraude.

¿Cómo podemos identificar un correo electrónico malicioso?

Recibimos cientos de emails fraudulentos en nuestras bandejas de correo y aunque la mayoría son eliminados  otros consiguen su objetivo, ser leídos.

¿Cómo podemos identificar estos emails para no picar el anzuelo?

1. – Deberás mirar el remitente, ¿esperabas recibir un correo de esa entidad o persona?
2. – ¿El asunto del correo capta tu atención? Si es así sospecha, la mayoría de correos fraudulentos utilizan asuntos llamativos o impactantes.
3. ¿Cuál es el objetivo del correo? Si es la petición de tus datos personales tiene que ser un indicador para encender las alarmas. Servicios como el correo o suministros del hogar no te pedirán esta información.
4. Redacción: ¿hay errores ortográficos o mala redacción? Piensa que un proveedor de servicios jamás enviará un correo con una mala sintaxis, si detectas esto entonces probablemente se trate de un fraude.
5. Links: ¿los enlaces llevan a una página legítima? Sitúa el mouse por encima del link sin abrirlo, si no se corresponde con el de la web real de la institución que te esté contactando entonces no lo abras.
6. ¿El correo contiene un archivo adjunto que no estabas esperando o que es sospechoso? Si la respuesta es sí lo mejor es que no los abras.

¿Por qué se llama así?

Ransomware se forma al unir las palabras «ransom» (del inglés, rescate) y «ware» (producto o mercancía, en inglés). 

Una vez que el delincuente cifra los datos, pide un rescate a la víctima, a través de un mensaje o ventana emergente, realizando un secuestro virtual. 

Este mensaje de tono amenazante advierte a la víctima de que la única forma mediante la que puede descifrar sus archivos, recuperar el sistema o evitar un posible filtrado de información, es realizar el pago de un rescate. 

Habitualmente incluyen un límite de tiempo para pagar, antes de que se produzca la destrucción total de los archivos secuestrados, su publicación o un incremento del valor del rescate, si no se paga a tiempo. Generalmente, el rescate se solicita a través de alguna criptodivisa (moneda virtual) como, por ejemplo, bitcoins. Es frecuente que utilicen «muleros», que son intermediarios que transfieren el dinero 

A cambio del pago, los ciberdelincuentes prometen facilitar el mecanismo para desbloquear el ordenador o descifrar los ficheros. Sin embargo esto no garantiza al 100% que los ciberdelincuentes cumplan con lo pactado; por este motivo, se recomienda no pagar el rescate para evitar la proliferación de este tipo de amenazas. 

Rescate en criptodivisas, ¿por qué?

Las criptodivisas son monedas virtuales que permiten el pago casi anónimo entre particulares, lo que dificulta su rastreo.

Son accesibles desde la red anónima Tor; allí se mezclan los fondos de distintas carteras, realizando una especie de lavado de la criptomoneda que dificulta que se pueda seguir el rastro de las transacciones. Esto facilita que los cibercriminales puedan extorsionar a sus víctimas sin que la policía pueda seguirles de forma inmediata la pista. 

¿Cómo ocurre la infección?

Al igual que ocurre en el caso de otros tipos de malware, los ciberdelincuentes utilizan una o varias de estas vías para infectar a la víctima; aprovechan los agujeros de seguridad (vulnerabilidades) presentes en el software de los equipos, sus sistemas operativos y sus aplicaciones. 

Tipos y actuación

Cada tipo de Ransomware actúa y penetra la seguridad de manera diferente, aunque todos se basan en una misma característica. De menor a mayor importancia podemos clasificarlos en:

Hoax ransomware: simula el cifrado utilizando técnicas de ingeniería social para extorsionar al usuario, exigiendo un pago por recuperar sus archivos o evitar que sean eliminados.

Scareware: utiliza el señuelo del falso software o soporte. Generalmente, aparece en forma de anuncio emergente que informa de una supuesta infección por virus y aporta una solución fácil y rápida, descargando un programa de limpieza que casi siempre es el malware.

Bloqueadores de pantalla: impiden el uso del dispositivo mostrando una ventana que ocupa toda la pantalla y no permite ser cerrada. En la ventana pueden aparecer dos tipos de mensaje: por un lado, se informa del cifrado de archivos y el procedimiento para recuperarlos, pero los archivos están intactos. Por el otro, aparece un mensaje de las fuerzas de seguridad que indican que se han detectado actividades ilegales y se solicita el pago de una sanción para desbloquear el equipo. Es también conocido como el virus de la policía.

Ransomware de cifrado: considerado el más peligroso de todos. Su principal objetivo es el cifrado de la información para exigir un rescate. Los ciberdelincuentes hacen uso de los últimos avances en cifrado de 2 Ransomware.

Dentro de esta variante hay una llamada wiper, esta no devuelve el acceso a los archivos, simplemente los elimina.

También está la variante Doxware que emplea una técnica conocida como “doxing”, esto consiste en amenazar al usuario con hacer públicos los datos personales extraídos.

Prevención / Piensa como un hacker:

Son muchos los expertos que afirman que la mejor prevención para el Ransomware es ponerse en la piel de los hackers y pensar como ellos lo harían. Para prevenir y anticiparse es necesario ponerse la máscara. Para muchas empresas no es un descaro contratar a hackers éticos o ex-hackers para mejorar la seguridad de su empresa.

1. 1. Concienciación y formación de los empleados y usuarios.

• Antivirus actualizado.

1. 1. Solicitudes de instalación emergentes peligrosas.

• Click en enlaces.

1. 1. Descargas de aplicaciones de fuentes desconocidas.

• Copias de seguridad.

1. 1. Actualización del sistema operativo y aplicaciones.

• Control de privilegios.

1. 1. Solución anti-phishing para el correo electrónico.

• Plan de actuación.

Con este mapa en tiempo real creado por Kaspersky se pueden observar todo tipo de ataques (entre ellos el Ransomware), en tiempo real.

La concienciación es el primer paso para la prevención, es por esto que el Ransomware no es de los ciberataques más grandes numéricamente, aunque ver el aumento por segundo impacta.

España es el 9º país más atacado según las gráficas obtenidas por Kaspersky. Con esta gráfica también podemos ver la necesidad mundial de la ciberseguridad.

Caso real del fraude del CEO:

Esta historia relata el caso de Aurora y Sergio, hermanos titulares y propietarios de una clínica de fisioterapia ubicada en el centro de Cántabra. 

En la clínica tienen una plantilla con 13 trabajadores, 9 fisioterapeutas y 2 administrativos para la gestión de la clínica y ellos dos, que además de propietarios, realizan trabajos de campo. 

Un día uno de los administrativos, Alfonso, recibió en su dispositivo móvil un correo, supuestamente proveniente de Aurora, en el que se pedía premura para la realización de una operación financiera confidencial y muy urgente:

Alfonso, desconocedor de la situación, respondió rápidamente de forma afirmativa. Si observamos con detenimiento el correo electrónico de la supuesta Aurora contenía errores significativos de redacción que hubieran podido levantar algún tipo de sospecha.

Los ciberdelincuentes respondieron rápidamente pero cometieron un error, pedían datos sensibles como el saldo de la cuenta, para la adquisición de una nueva máquina y esto no concordaba con la estrategia de la clínica ni con las buenas prácticas diarias.

Llegados a este punto, Alfonso contactó rápidamente con Aurora para consultarle si efectivamente había sido ella. Automáticamente ambos se dieron cuenta de que la clínica había sido objeto de un intento de robo de información a través de Phishing. 

¿Cómo llevaron a cabo el engaño?

Este engaño, también conocido como whaling por tratarse de phishing dirigido a «peces gordos», basa su funcionamiento en enviar un correo fraudulento a algún empleado de alto rango, contable o con capacidad de acceso a datos sensibles, información personal o bancaria, haciéndole ver que el remitente es el CEO o máximo mandatario de su organización. Este mensaje suele pedir ayuda para realizar una operación financiera confidencial y urgente. 

Caso real del falso soporte técnico:

Luis es el dueño de una pequeña tienda online gestionada desde su oficina de Sevilla.

Un cierto día recibió una llamada telefónica de una persona que decía ser de Microsoft en Londres. El interlocutor que hablaba en inglés con un tono amenazante le explicó que habían recibido numerosos informes de los equipos de la empresa con errores y advertencias de seguridad, indicando que esos equipos estaban en peligro y se podrían bloquear, por lo que podría afectar a su trabajo.

Al sospechar, Luis, le pidió al operador que identificara los equipos afectados y también cómo había vinculado la IP  de sus equipos con su número de teléfono. Automáticamente el operador le contestó con evasivas y subiendo el tono amenazante. Finalmente lo amenazó con el bloqueo de sus equipos y de la actividad de su empresa y luego finalmente colgó el teléfono.

¿Qué pudo haber pasado?

Los ciberdelincuentes se ganan la confianza de las víctimas, ofreciéndose a solucionar el problema, pidiéndole las credenciales de acceso al equipo o la instalación de herramientas de control remoto para poder conectarse y solucionar el problema. Una vez hecho esto, el equipo y la información confidencial que contiene son vulnerables. Con los datos aportados y el control del equipo, pueden: secuestrar el ordenador y pedir rescate para su liberación, hasta robar datos o realizar transacciones económicas si les hemos dado los datos bancarios o los almacenamos de forma predeterminada en el equipo.

Más de 1 millón de usuarios licenciados

Más de 5 millones de receptores 

Contáctanos para más información: [email protected]