Reconocer y evitar los ciberataques más habituales

Acceder a Internet por un motivo u otro es una necesidad para la mayoría de la gente, igual que conducir un vehículo. Pero tanto en un caso como en el otro, hay riesgos. De hecho, según la Agencia de Seguridad de Infraestructuras y Ciberseguridad de Estados Unidos, uno de cada tres hogares con ordenadores está infectado por software malicioso. Y el 65% de los estadounidenses que navegan por la red reciben al menos una oferta fraudulenta. Igual que aprendemos a conducir para evitar peligros, podemos aprender a identificar y evitar ciberataques para proteger nuestra información de los envites de los ciberdelincuentes. Aunque la mayoría de las ciberamenazas pueden desactivarse automáticamente usando servicios antivirus, firewalls u otras medidas de protección, las más peligrosas aprovechan el componente humano para sortear estas defensas. En algunos casos, los delincuentes interactúan directamente con la víctima (estos supuestos entrarían dentro de la categoría de ingeniería social) y en otros tienden una trampa con la esperanza de que un usuario poco precavido muerda el anzuelo (por ejemplo, aplicaciones falsas comercializadas en tiendas de aplicaciones no reguladas). En este artículo veremos estos dos tipos de amenazas y descubriremos cómo evitarlas. Y nos fijaremos también en la reutilización de contraseñas, el peligro que representa y cómo evitar cometer este tipo de errores.

Ingeniería social

Ingeniería social es un término que se utiliza para describir un amplio abanico de actividades fraudulentas con un patrón similar, concretamente, la interacción directa con la víctima (a través de correo, SMS, llamadas telefónicas u otros métodos) para que facilite información confidencial o acceda a un sitio web diseñado para infectar su ordenador con malware. Aunque todos estos ataques tienen un componente humano, los métodos y las señales de alerta van cambiando. A continuación vamos a repasar los principales tipos de ataques de ingeniería social. Phishing Se trata del ciberataque más habitual y las cifras lo corroboran: cada día se envían unos 3.400 millones de correos de phishing. A simple vista, estos correos parecen tener un origen legítimo y recurren a diferentes temas o enfoques, conocidos como “cebos”, para captar la atención del destinatario y conseguir que interactúe. A veces estos cebos tienen relación con las vacaciones o desastres naturales. Otras son correos de una empresa que informa de la filtración de la cuenta del receptor o incluye una “factura” falsa de una compra reciente con un importe considerable con un tiempo limitado para responder en caso de cobro incorrecto. Estos correos ponen presión psicológica en el destinatario para que responda, ya sea por su propio interés o para evitar ser víctima de otro fraude. Cómo protegerse de los ataques de phishing Tradicionalmente uno de los signos de alerta más reveladores eran las faltas de ortografía y gramática. Sin embargo, con la generalización del ChatGPT y otros grandes modelos de lenguaje, ahora los ciberdelincuentes lo tienen más fácil para crear correos con una gramática impecable y un contenido convincente, que son mucho más difíciles de detectar. El mejor consejo es extremar las precauciones al recibir consejos de remitentes desconocidos y seguir estas recomendaciones:

• Lea con atención toda la información del remitente en correos que le pidan que haga clic en un enlace o que llame a un centro de atención al cliente. Por ejemplo, podemos encontrarnos con un correo de una empresa conocida, pero al revisar la dirección del remitente darnos cuenta de que el dominio no es el esperado, como en el ejemplo siguiente:
• No haga clic en enlaces incluidos en correos enviados por remitentes que no conozca.
• En caso de duda, póngase en contacto directamente con la empresa que teóricamente le ha enviado el correo para asegurarse de que es legítimo, pero utilice la información de contacto que aparece en el sitio web principal de la empresa.
• Deje que su gestor de contraseñas le eche una mano. Si tiene activada la función de autocompletado de las cuentas conocidas, pero la información no se rellena automáticamente en el sitio web que ha visitado, quizás esté ante un caso de phishing.

Vishing Vishing es la abreviatura de “voice phishing”, es decir, el equivalente a phishing por voz. En general, el modus operandi es llamar a la víctima haciéndose pasar por una empresa conocida, una fuerza policial o una agencia tributaria para que esa persona facilite información confidencial, como el número de una tarjeta de crédito o de la seguridad social, contraseñas o datos sobre sus finanzas. Cómo protegerse de los ataques de vishing

• Permita a las personas que llaman desde números no conocidos dejar un mensaje en su buzón de voz.
• Póngase en contacto directamente con la empresa o la agencia que supuestamente le llama para asegurarse de que todo es correcto. Llame al número que aparece en el sitio web principal de dicha empresa o agencia en lugar de llamar al número indicado por el posible “visher”.

Smishing El smishing es muy parecido al vishing y al phishing, pero en este caso los atacantes utilizan mensajes SMS para contactar con sus víctimas. Algunos mensajes incluyen enlaces a sitios fraudulentos, mientras que otros son enviados teóricamente por fuerzas del orden, empresas de transporte o compañías conocidas. Su objetivo es informarle de que su cuenta ha sido hackeada y pedirle que se conecte (a un sitio falso) para obtener sus credenciales. Otra táctica bastante habitual consiste en enviar un mensaje a una persona haciéndose pasar por uno de sus jefes, que le pide que compre una tarjeta regalo en su nombre. En general, el jefe asegura estar reunido y necesitar ayuda de inmediato porque no puede encargarse personalmente de la compra. Esta estrategia transmite al destinatario una sensación de urgencia con la esperanza de que actúe rápido y no caiga en la cuenta de la estafa. Cómo evitar los ataques de smishing

• No responda ni haga clic en enlaces de mensajes de texto que haya recibido sin más.
• Póngase en contacto directamente con la persona que lo ha enviado antes de hacer nada.
• Elimine y, si es posible, denuncie la recepción de mensajes de smishing a su operador de telefonía y a la empresa que teóricamente está detrás del mensaje.

Aplicaciones maliciosas

Algunos delincuentes desarrollan aplicaciones que se parecen muchísimo a las apps de empresas conocidas con el objetivo de robar información o infectar el dispositivo móvil o el ordenador de un usuario con malware. Estas aplicaciones tienen un diseño idéntico a la oficial y pueden ser difíciles de identificar. Sin embargo, son varias las cosas que puede hacer para no caer en las redes de estos clones:

• Utilice solo tiendas oficiales de aplicaciones como la App Store de Apple o Google Play.
• Compruebe quién es el desarrollador de la aplicación. Por ejemplo, en el caso de LastPass aparece LogMeIn, Inc. como desarrollador en la App Store de Apple y GoTo Technologies en Google Play. Si aparece otro desarrollador o empresa, estaríamos ante una aplicación maliciosa.
• Fíjese en si hay errores ortográficos o gramaticales en la descripción de la aplicación.

Reutilización de contraseñas

Según el informe Psicología de las contraseñas 2022 de LastPass, casi el 62% de los usuarios utilizan variantes de una misma contraseñas. Y aquellos que han recibido formación sobre los peligros de reutilizar contraseñas solo abandonan esta práctica en un 31% de los casos y únicamente un 25% empieza a usar un gestor de contraseñas. La situación se complica cuando estas contraseñas se filtran, porque los ciberdelincuentes utilizan las credenciales robadas en sus ataques. Según el Informe de investigación sobre las filtraciones de datos de 2023 elaborado por Verizon, el 86% de los ataques a aplicaciones web básicas que consiguen su objetivo tienen su origen en el uso de credenciales robadas. Lo mejor para evitar estas situaciones es crear contraseñas únicas y complejas para cada una de sus cuentas. Para ayudarle, nada como un gestor de contraseñas. Y en un momento en que la autenticación sin contraseña empieza a estar sobre la mesa, vale la pena elegir un gestor que le permita dar el paso a esta nueva tecnología cuando esté preparado. Aunque las ciberamenazas están por todas partes, conocer los tipos de ataques más frecuentes y seguir estas recomendaciones prácticas puede ayudarle a evitar filtraciones de datos y otras desagradables consecuencias, tanto en su vida personal como en el trabajo o en su familia.