La inestabilidad y la duda son dos ganchos que los ciberdelincuentes utilizan para atacarnos y explotar nuestra información y, en este caso, la incertidumbre ha sido el estado común de muchas empresas y personas desde que comenzó la pandemia por COVID-19. Conscientes de esto, los piratas informáticos han adaptado y cambiado sus estrategias, sobre todo para hacerse pasar por empresas legítimas, para engancharnos a través de temas sensibles. Esto ha ocasionado un aumento exponencial no solo en la cantidad de correos y mensajes de phishing, sino en el volumen de ataques exitosos que vulneran la seguridad de las TI.
Las cifras
De acuerdo a Kaspersky, el promedio de correos fraudulentos enviados durante el tercer trimestre del 2020 fue del 48%, es decir, casi la mitad de todos los correos salientes implicaban una posibilidad de fraude. De acuerdo a sus sistemas de detección, se neutralizaron o evitaron 103,060,725 intentos de llevar a los usuarios a páginas comprometidas. Muchos de estos ataques de spam tuvieron origen en cinco países, los cuales se han mantenido en la clasificación desde los últimos años: Rusia con el 23.52%, Alemania con el 11.01%, Estados Unidos con el 10.85%, Francia con el 6.69% y China con el 6.33%. Así mismo y al observar la información, se muestra un claro crecimiento en la presencia de malware adjunto en los correos, pues se filtraron 51,025,889 archivos adjuntos maliciosos, aproximadamente ocho millones más que en pasadas detecciones. Finalmente, sobre la clase de organizaciones atacadas, las tres más propensas fueron tiendas en línea (19.22%), portales generales de internet (14.48%) y portales bancarios ( con el 10.89%), situación que deja en claro las dos misiones fundamentales de los phishers: obtener beneficios económicos y redirigir el tráfico en línea a páginas comprometidas por software malicioso, para obtener acceso a información personal.
Los mecanismos
Los atacantes se aprovechan de la sensibilidad de las personas, sobre todo por el contexto que estamos viviendo. Es por eso que muchos de los mensajes de phishing tienen que ver con algo relativo al COVID-19, sea sobre la vacuna o para algún supuesto beneficio económico dada la pérdida de empleos y la incertidumbre económica. Uno de los mensajes más comunes —basado medianamente en información real—, decía que Facebook está indemnizando a personas que se han visto directamente afectadas por la crisis sanitaria; esto no es del todo cierto pues la red social, en un comunicado previo, informó que daría subvenciones a empresas pequeñas y medianas, no a usuarios particulares. De acuerdo a este mecanismo de estafa, al dar click en un vínculo, el usuario es dirigido a una página donde debe dar muchos datos personales, desde números de identificación (y de seguridad social en Estados Unidos), hasta información bancaria.
Otra forma que se comenzó a utilizar de forma exponencial en este último trimestre han sido los correos de asistencia al cliente: mensajes en apariencia legítimos de algún proveedor de servicios conocido por el usuario, donde se pide que se identifique una transacción y, en caso de no reconocerla, que el cliente se comunique a un número de servicio, donde se recaba información personal del usuario.
Otro mecanismo de popularidad creciente es el secuestro de cuentas de WhatsApp, el servicio de mensajería más usado en el mundo, con un registro de 1,500 millones de usuarios. En esta estafa, los atacantes solicitan registrar el teléfono de la víctima desde otra terminal, lo que causa que al usuario legítimo le aparezca un código de acceso; posteriormente, los atacantes se contactan con la víctima diciendo que, presuntamente, pusieron su teléfono por error y solicitan que se comparta el código de acceso enviado. Si el usuario lo envía, la sesión de WhatsApp se cerrará en el dispositivo verdadero y el phisher tendrá acceso no sólo a las conversaciones, sino a todos los contactos. Esta clase de secuestro de cuentas suele explotarse para solicitar dinero a los contactos del usuario, quienes creen que están siendo contactados por la persona real.
Conscientes de los cambios en las formas laborales dados por el teletrabajo, muchos mensajes e intentos de phishing han buscado atacar al sector laboral desde los empleados. Kaspersky detectó que muchos correos, por ejemplo, corresponden a recordatorios falsos para reuniones en videollamada: "en uno de ellos se le pedía a la víctima que se uniera a una reunión en Zoom, para lo cual tenía que seguir un enlace adjunto. Pero, en lugar de la reunión, el usuario terminaba en la página de phishing [imitación de] We transfer. Si el usuario picaba el anzuelo e intentaba iniciar sesión en la cuenta corporativa de We transfer, los atacantes obtenían acceso a los datos de la empresa almacenados en esta nube". Por su parte, de acuerdo a CheckPoint Security, los servicios SaaS de Microsoft suelen ser los más suplantados por atacantes de phishing, quienen buscan tener acceso a las credenciales empresariales de las compañías que utilizan alguno de sus servicios, como la nube de Azure, la suite de Office 360 o One Drive.
Para protegerse
Hay que recordar que los ataques de phishing continuarán creciendo y sus mecanismos de persuasión serán cada vez más eficientes. El mecanismo más certero para evitar caer en una estafa es siempre estar alerta y desconfiar de todo: no hacer click en vínculos de correo y no dar o introducir tu información personal en un servicio que no sea legítimo. En caso de ser contactado por teléfono o mensaje, no compartas nada y, si dudas, contáctate de forma directa con tu proveedor de servicio, marcando algún teléfono legítimo.
Otro mecanismo recomendado y necesario para todo equipo, sea personal o corporativo, es el contar con alguna solución robusta de Ciberseguridad, la cual cuente con herramientas como gestión de conexiones entrantes y salientes, revisión de mensajes de correo y análisis contra malware. Ante la creciente incertidumbre, el mejor mecanismo es asegurarse y, con el aumento de las amenazas y su capacidad para aparentar legitimidad, la seguridad de tu información ya no es un tema que puedas tomar a la ligera.