La tecnología avanza, pero una de las claves de los ciberataques más exitosos es la sencillez. Al menos así ocurre en España, donde un correo electrónico fraudulento pero bien redactado o un SMS que suplanta la identidad de un banco o empresa de paquetería enviado en el momento justo puede ser una mina de oro para los ciberdelincuentes.
Uno de los propósitos de ese tipo de fraudes suele ser el robo de información. Lo más buscado por los estafadores es conseguir acceso a los datos bancarios, ya que con una sola campaña exitosa de SMS pueden obtener hasta 600.000 euros de un centenar de víctimas. Pero también pueden buscar otro tipo de contraseñas o credenciales empresariales, lo que habitualmente suele ser la antesala para suplantar la identidad de ese ciudadano o colarse en los sistemas de la compañía, desde donde comprometer a víctimas de mayor calado.
Basados en la sencillez pero con el método perfeccionado, los ciberataques que persiguen el robo de información se han multiplicado en España en 2022. Las empresas y usuarios españoles se han colocado a la cabeza del ranking mundial en la recepción de este tipo de ofensivas, según los datos de la firma de ciberseguridad internacional ESET, que ha presentado este miércoles su informe sobre las principales ciberamenazas para España en lo que va de año.
“Siguen empleando técnicas conocidas, aunque van perfeccionando poco a poco suplantar entidades que todo el mundo conocemos, usando plantillas nuevas o incluso reutilizando antiguas”, explica Josep Albors, director de Investigación y Concienciación de ESET España. “Lo que buscan los delincuentes aquí es que sea suficientemente convincente, que esté bastante bien escrito para no despertar sospechas y que cualquiera pueda llegar a abrir un correo o abrir el enlace de un SMS de este tipo”, continúa.
Como ejemplo de cómo los ciberdelincuentes han refinado sus ganchos, el experto ha citado varios correos electrónicos fraudulentos que fueron redactados en lenguas cooficiales como el catalán o el euskera. Los tiempos en los que este tipo de mensajes eran detectables por sus faltas de ortografía o los errores de concordancia han quedado atrás, según ha expuesto.
También se ha perfeccionado lo relativo a los envíos. Aunque la distribución masiva e indiscriminada sigue existiendo, los cibercriminales cada vez se apoyan más en el conocimiento que pueden llegar a tener de sus objetivos gracias a los hackeos que exponen grandes cantidades de datos personales. Cuando la afectada es una compañía, los estafadores pueden utilizar sus redes para “comprometer a su vez a clientes y proveedores”, refleja Albors.
Tercer país con más intentos de phishing
La gran propagación de ataques que buscan robar información es una de las consecuencias de que el correo electrónico sea todavía una de las vías más efectivas para perpetrar un ciberataque en España. Según los datos de ESET, somos el tercer país a nivel mundial donde se ha detectado un mayor número de amenazas lanzadas a través de email.
Entre esos millones de correos fraudulentos, el método de infección más utilizado es el troyano conocido como Win/exploit.cve-2017-11882, que explota un agujero de seguridad en Microsoft Office. Como indica el nombre de la amenaza, esa vulnerabilidad fue corregida y parcheada en 2017. “Esto significa que en España están aprovechándose de agujeros de seguridad que tienen cinco años de antigüedad”, destaca Albors.
En España los ciberdelincuentes están aprovechándose de agujeros de seguridad que tienen cinco años de antigüedad. Eso dice poco en cuanto a la cultura de seguridad de muchas empresas
“El parche está disponible desde hace cinco años, pero nadie se ha molestado en parchear o usar una versión posterior de Office que ya lo tuviera solucionado. Eso lo aprovechan los delincuentes. Eso dice poco en cuanto a la cultura de seguridad de muchas empresas en España, que si tienen una aplicación que les funciona no se van a molestar en cambiarla o incluso en parchearla. En algunos casos es por puro desconocimiento. En otros puede ser porque esa aplicación no se está utilizando de forma legal y no quieran parchear para que se detecte que su uso es ilícito”, detalla el experto.
Los SMS y la sensación de urgencia
Por último, los investigadores han detectado también un notable aumento en los SMS fraudulentos, que en los últimos tiempos están demostrando ser una herramienta tan útil para las mafias como el correo electrónico. Sus entidades favoritas para suplantar son los bancos y las empresas de paquetería.
“Hemos de decir que BBVA se lleva la palma en los últimos meses. [Los ciberdelincuentes] están haciendo una campaña muy intensa para suplantar a esta entidad, lo que está haciendo que muchos usuarios, tanto clientes de este banco como de otros, caigan víctimas de esta trampa”, alerta Albors.
En este sentido, el gran problema está siendo que los usuarios confían en el SMS como un método de comunicación de alertas por parte de las empresas. El método de los ataques siempre es comunicar una situación de urgencia para transmitir a la víctima que no tiene tiempo para pensar, diciendo por ejemplo que su cuenta ha sido intervenida y que debe pinchar en un enlace para desbloquearla.
La clave es que hay muchos usuarios que no tenían constancia de que a través de un SMS se pudiese suplantar a una entidad bancaria y no lo percibían como un riesgo
Este aumento de los ataques por SMS también está siendo analizado por los organismos públicos. “La clave de todo esto está en que el usuario, en el caso del correo electrónico, sí que sabía que podía suponer una amenaza en un momento dado. Sin embargo, hay muchos usuarios que no tenían constancia de que a través de un SMS se pudiese suplantar a una entidad bancaria o cualquier otro servicio y por tanto, no lo percibían como un riesgo”, explica Ruth García, experta del Instituto Nacional de Ciberseguridad.
La recomendación de este centro es no confiar en esta vía de comunicación ni en los enlaces que se incluyan en este tipo de mensajes. En vez de ello, la práctica más aconsejable en caso de duda es acceder al perfil de cliente a través de la página web o aplicación oficial. “Es fundamental concienciar y que la gente sepa cómo funcionan estos fraudes para poder mitigarlo”, continúa García.
Si se ha accedido a alguno de estos enlaces, es fundamental avisar a la empresa que ha sido suplantada y denunciar, pide la experta. “Si hemos sido víctimas de uno hay que denunciarlo, porque la suma de denuncias de muchos usuarios hace que se faciliten luego las investigaciones de las fuerzas de seguridad”.