Cada vez son más comunes los delitos conocidos como «Hombre en el medio» (Man-in-the-middle), relacionados con el robo de contraseñas y la suplantación de identidad. Los ciberdelincuentes se hacen pasar por nuestra empresa ante clientes y proveedores, haciendo que los pagos que tenemos pendientes de recibir vayan a la cuenta bancaria del ciberdelincuente.
Todo empieza por un ataque en el que nos roban la contraseña, por ejemplo, del correo electrónico. A partir de ese momento, ya tienen acceso a nuestras comunicaciones. Detectan las gestiones de operaciones comerciales que hacemos y, justo cuando llega el momento de que recibamos el pago por nuestros productos o servicios, el ciberdelincuente envía un email al cliente informando de que el número de cuenta bancaria ha cambiado, y solicitando hacer el pago a una nueva cuenta. Si nuestro cliente no está atento y no verifica esa información (mediante una llamada de teléfono, por ejemplo), entonces realiza el pago. Nosotros nos daremos cuenta cuando reclamamos el pago que deberíamos haber recibido.
¿Cómo nos roban las contraseñas?
Básicamente los ciberataques aprovechan la falta de información e ingenuidad humanas para que les entreguemos nuestros datos de acceso. Tienen su origen en un email, un SMS, una llamada o mediante dispositivos. Veámoslas.
Phishing
Recibimos un correo electrónico sobre algún asunto urgente procedente de una entidad de confianza como un banco, un ministerio o un cliente. Estos mensajes suelen contener un enlace a un sitio web diseñado de forma que suplantan a la web legítima de esa entidad y en el cual nos pedirán las credenciales para iniciar sesión. Estos sitios web falsos registrarán las credenciales introducidas pasando así a manos de los atacantes.
Smishing
Esta técnica consiste en el envío de un SMS por parte de un ciberdelincuente a un usuario simulando ser una entidad legítima; red social, banco, institución pública, etc., con el mismo objetivo que el anterior.
Vishing
Igual, pero mediante una llamada en la que, por ejemplo, se hacen pasar por el servicio técnico de Microsoft (caso real).
Warshipping
Consiste en que recibimos por paquetería un regalo informático que al activarlo y conectarlo a nuestra red nos robará nuestras credenciales y datos.
Cómo evitar los ataques
Estos sencillos consejos te ayudarán a minimizar el riesgo de sufrir un ciberataque. Tenlo siempre en cuenta.
- Identificar la legitimidad de los correos. Usemos siempre el sentido común. Si recibimos un email mínimamente sospechoso, por ejemplo con una redacción poco correcta, debemos desconfiar.
- Por otro lado, ni bancos ni organismos oficiales piden nunca credenciales por correo electrónico.
- Siempre que se pueda, usar la autenticación en dos factores (contraseña y código por SMS o tarjeta de códigos).
- Evitar en lo posible redes wifi públicas y, al conectarnos a ellas, hacerlo siempre mediante VPN.
- Aprende a manejar los navegadores web que usas y ajustar en ellos los mejores parámetros de seguridad.
INCIBE
Si sufres un ataque, notifícalo en la Línea de Ayuda en Ciberseguridad de INCIBE (017), los canales de mensajería instantánea de WhatsApp (900 116 117) y Telegram (@INCIBE017), o a través del formulario de contacto para empresas, que encontrarás en la web de INCIBE. Expertos en la materia resolverán cualquier conflicto online relacionado con el uso de la tecnología y los dispositivos conectados.
