Desde hace ya casi un año, sí un año, las noticias sobre el Covid-19 se solapan unas frente a otras. Los abstractos datos estadísticos recogen diariamente el número de personas contagiadas, los enfermos fallecidos, las tasas de propagación del virus o la evolución en la disponibilidad de una vacuna.
El phishing y la ansiedad como palanca
La realidad es que el Covid-19 nos ha hecho sentir vulnerables. Y esa vulnerabilidad es la que están aprovechando los ciberdelincuentes a través del phishing para conseguir sus despreciables objetivos. Y decimos despreciables porque no hay peor delito que el que se perpetra contra la salud y la vida de las personas.
Los delincuentes han hecho del miedo y la ansiedad el mejor aliado para cometer sus fechorías. No han sido pocas las veces que nos hemos levantado con la noticia de que un ransomware había atacado a los sistemas informáticos de un centro hospitalario o a los servicios de entidades relacionadas con la salud o la logística.
Según la información recogida por Google, los Web de phishing entre enero y marzo de 2020 experimentaron un crecimiento de casi un 350%. La solicitud de certificados para proveer servicios HTTPS —los considerados seguros para los usuarios— tuvieron tasas de evolución prácticamente similares. No en vano, hubo momentos en los que se calculaba que en España se recibían más de 200.000 ataques online por hora.
Confinamiento y teletrabajo
El confinamiento de la población en España para frenar la propagación del virus disparó la utilización de la tecnología. Parecería como si nuestra relación con el mundo hubiera quedado circunscrita a los servicios a través de Internet. Y ¡qué mejor entorno para la propagación!
El teletrabajo, las videoconferencias familiares, los videojuegos, las plataformas de televisión o el uso de redes sociales han impulsado un tipo de ataque, el phishing, que con ese “caldo de cultivo” se ha convertido en una nueva pandemia virtual. De hecho, muchas son las variantes de phishing que han proliferado con el objetivo de sacar provecho de esta Internet-dependencia a la que nos hemos visto abocados.
Un listado incompleto…
Desde estas líneas queremos enumerar solo algunas de las técnicas de phishing que hemos identificado en los últimos meses. Obviamente la lista no puede ser exhaustiva, en tanto y en cuanto evoluciona día a día. Sin embargo, es suficientemente representativa de los tipos de ataque que en forma de ingeniería social han circulado, y aún circulan, por Internet.
Aquí va nuestra recopilación de las principales estrategias utilizadas por los ciberdelincuentes.
- Supuestos mensajes de “expertos” que ofrecen sus recomendaciones y soluciones ante el virus a precios irrisorios.
- Solicitudes de ayudas y colaboraciones económicas para diferentes colectivos —principalmente sanitarios o de población desfavorecida— a través de peticiones en redes sociales o correo electrónicos masivos.
- Mensajes SMS, aparentemente de organismos públicos y entidades financieras, que a través de links solicitan datos personales u ofrecen ayudas económicas o de cobertura laboral para momentos de dificultad.
- Vendedores de productos sanadores o de primera necesidad en condiciones muy atractivas.
- Supuestos videos con información relevante para combatir la pandemia que ocultan ataques de ransomware.
- Ofertas de trabajo para incorporación inmediata con el objetivo de atender servicios indispensables y que realmente solo recopilan datos personales.
- Servicios de soporte técnico (energético, informático, etc.) con requisitos que nos obligan a permitirles acceder a nuestros equipos personales.
- Envíos de presuntos cupones de descuento para compras de primera necesidad que ocultan malware.
- Información privilegiada sobre propagación del virus en las zonas de proximidad a cambio de pequeñas cantidades de dinero.
- Amenazas con publicar información aparentemente delicada o incluso contagiar a familiares si no se abona una cierta cantidad de dinero.
- Tradicionales “cartas nigerianas” sobre fallecimiento de allegados desconocidos con herencias que podemos reclamar.
- Noticias falsas que nos impulsen a tomar acciones precipitadas y erróneas.
- Plugins maliciosos para el uso en los navegadores web relacionados con el Covid-19.
- Vulnerabilidades de herramientas de comunicación en redes sociales que permiten acceder a comunicaciones privadas.
Enmascarados con otros recursos
A estos elementos debemos unir otros que pueden hacer los engaños más creíbles. Combinados, contribuyen a su objetivo de ganarse la credibilidad del usuario. Entre estos recursos están:
- Supuestos beneficios fiscales relacionados con la declaración de la renta.
- Descargas de aplicaciones adaptadas a afectados por el Covid-19.
- Devoluciones de subscripciones a servicios o productos no consumidos durante el periodo de confinamiento.
- Cancelaciones de reservas hoteleras.
Si continuáramos, la lista posiblemente se haría infinita, porque infinitas son las formas que tienen de maquinar los ciberdelincuentes.
¿Qué podemos hacer para evitarlo?
Al igual que los científicos llevan haciendo durante todo este tiempo, los usuarios de Internet también podemos investigar el “virus del phishing”.
Para ello debemos “estudiar y analizar los patrones de propagación” que emplean.
Estas son algunas de nuestras recomendaciones:
- Cuando recibamos un mensaje, por los mecanismos que fueren, en primer lugar y más importante, debemos identificar su verdadero origen. En la mayor parte de las ocasiones existen imperceptibles diferencias en cuanto al que sería el origen real del emisor. Por eso siempre es recomendable acceder al origen aparente del mensaje por medios alternativos. Por ejemplo, si se recibe un correo o SMS del banco o de un organismo público, es preferible ponerse en contacto con ellos por otros medios contrastados que responder de forma inmediata a la solicitud que nos realizan.
- Cualquier mensaje que pueda parecer “demasiado bueno para ser cierto” o que reclame nuestra participación urgente debe ser puesto en cuarentena. Resultará indispensable comprobar la información recibida y evitar caer en la tentación de reacciones precipitadas como descargar un fichero adjunto o conectarnos a la dirección de Internet que nos sugieren. Esta cautela será particularmente relevante cuando utilicemos teléfonos móviles, por ejemplo, si alguien sugiere descargarnos una aplicación determinada.
- Y por supuesto, debemos disponer de herramientas de protección en nuestros dispositivos que llegado el caso puedan detectar el problema y bloquearlo.
- Ocurre lo mismo con las noticias falsas. Las cadenas de mensajes que causan alarma entre nuestros contactos son también una forma de “contagio” del virus. La inquietud que pueden causar resulta en ocasiones más dañina que muchos otros ataques. La lectura sosegada y reflexiva de estos mensajes ciertamente ayudará a discriminar su veracidad.
En definitiva, debemos actuar de forma precavida y no bajar la guardia. De esta forma, si somos capaces de inhibir el efecto del virus y/o su propagación, también estaremos contribuyendo a extirparlo.
