Tag ciberdelincuentes

Las 5 principales técnicas que se utilizan para el robo de credenciales y comparte buenas prácticas para evitar caer en engaños.

Ecuador– Las credenciales bancarias representan uno de los activos más valiosos para las personas: obtenerlas significa para los cibercriminales tener en sus manos la llave que abre una caja fuerte virtual, y disponer del dinero de sus víctimas. Para ello, emplean diversas técnicas que, en caso de encontrar a usuarios desprotegidos, desprevenidos o descuidados, suelen dar sus frutos

ESET comparte las cinco principales estrategias que utiliza el cibercrimen para robar las claves bancarias, y de qué manera es posible protegerse de estos ataques:

1. Sitios falsos: Los estafadores emplean una URL que incluye el nombre del banco y que hasta tiene una apariencia similar al oficial. El nombre del sitio suele ser casi idéntico al nombre que utiliza el banco en sus cuentas de Twitter e Instagram, con una mínima diferencia (puede ser a veces de una sola letra). De hecho, una búsqueda en Google puede llevar a estos sitios fraudulentos que logran aparecer entre los primeros resultados de búsqueda, muchas veces en forma de anuncios.

Ya en el sitio falso, la estética y el diseño son idénticos a los de la página oficial. Y para acceder al supuesto homebanking es que incluye los campos en los que las víctimas deben ingresar credenciales de inicio de sesión, que en realidad serán para ciberdelincuentes. Una vez que la persona ingresa su nombre de usuario y contraseña, el sitio suele simular que verifica los datos entregados, cuando en ese tiempo en realidad los cibercriminales inician sesión con las credenciales robadas en el sitio legítimo del banco.

2. Malware: El malware ha evolucionado a pasos agigantados, de hecho se comercializan diferentes tipos de códigos maliciosos. Los troyanos bancarios, con gran presencia en toda la región, han causado daños por una cifra que asciende a los 110 millones de euros. 

Hay distintas manera en que los cibercriminales pueden colocar ese tipo de malware en los equipos de sus víctimas. Por un lado, mediante correos de phishing o mensajes de texto. También a través de anuncios maliciosos, el compromiso de un sitio web que recibe muchas visitas (ciertos códigos maliciosos se descargan automáticamente y se instalan en el equipo apenas el usuario visita el sitio) y hasta puede estar oculto en aplicaciones móviles maliciosas que simulan ser legítimas.

3. Llamadas telefónicas: Dado que los estafadores son profesionales en su rubro y suelen contar historias de manera muy convincente, se valen de la ingeniería social para engañar y robar información sensible, como las claves de acceso del banco. Los atacantes pueden llegar a la víctima mediante llamadas telefónicas masivas, con el único objetivo de lograr una comunicación más personal que a través de un correo electrónico: así la manipulación es más fácil de llevar a cabo. Como excusa de llamada pueden utilizar el informar sobre algún problema puntual con la cuenta bancaria o de un movimiento fraudulento asociado a la víctima. Para la supuesta resolución es que solicitarán información personal y las claves de acceso a la cuenta.

4. Perfiles falsos en redes: Otra táctica común y muy eficiente es el armar perfiles falsos en las redes sociales (léase Facebook, Instagram o Twitter), y desde allí llevar a cabo el engaño que termine en la obtención de credenciales de acceso bancario de víctimas desprevenidas o desinformadas.

5. Scraping: El scraping o “rascado” funciona una vez que una persona empieza a seguir la cuenta oficial de un banco en redes sociales para realizar una consulta, los ciberatacantes la contactan por privado, de manera inmediata, haciéndose pasar por el banco en cuestión. Si la víctima responde el mensaje sin verificar que se trata de una cuenta real o falsa, el supuesto asesor pedirá un número de teléfono para continuar con la consulta por esa vía. Allí utilizarán toda la información disponible en las redes sociales e internet en general para hacerle creer a la víctima de que realmente es un colaborador del banco y que está allí para darle soporte. Una vez que la víctima entra en confianza, el supuesto asesor pedirá la información bancaria, que le servirán para vaciar la cuenta.

Desde ESET comparten buenas prácticas que permiten reducir sensiblemente el riesgo de ser víctima de estafas:

• Verificar la dirección web visitada y confirmar que es la correcta.

• Comprobar que el sitio web tenga un certificado de seguridad válido, firmado por la compañía que dice ser.

• No brindar información personal o financiera, si no se cuenta con la seguridad de que el sitio web es legítimo.

• No divulgar ningún detalle por teléfono, incluso si la persona del otro lado suena convincente. Consultar de dónde están llamando y luego volver a llamar a esa organización para verificar. Es clave no utilizar los números de contacto proporcionados por esa persona.

• No hacer clic en enlaces ni descargar archivos de correos electrónicos, mensajes de redes sociales, mensajería instantánea (WhatsApp, Telegram), o de texto sospechosos o de remitentes desconocidos.

• Siempre utilizar software de seguridad para proteger el equipo contra el malware y otras amenazas, y mantenerlo actualizado.

• Descargar aplicaciones de tiendas oficiales, como la App Store o Google Play.

“El primer paso como siempre en estos casos es interiorizarse y mantenerse informado de las estrategias y técnicas que utilizan los cibercriminales para obtener las credenciales bancarias y cualquier otro tipo de información sensible. Y la principal aliada en esto de mantener las claves protegidas es una solución de seguridad, que cuide las operaciones en línea, pero sobre todo, las bancarias. Las soluciones de seguridad también evolucionaron y, por ejemplo, de ESET se destaca la “Protección de banca y pagos en línea”, que asegura que cada una de las transacciones estén protegidas dentro de un entorno seguro y confiable, brindando protección contra el fraude online. Además, el modo de navegador seguro ofrece protección automática para las operaciones bancarias en línea y encripta automáticamente la comunicación entre el teclado y el navegador (en todos los navegadores compatibles) para proveer una capa de seguridad adicional frente a keyloggers, malware y otros tipos de amenazas digitales.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Fuente: ESET, Ecuador

A continuación repasamos cómo los estafadores intentan ayudar a las víctimas a reparar un problema en su computadora que en realidad nunca existió.

Los delincuentes detrás de fraude conocido como la “estafa del soporte técnico” han estado durante años ofreciendo a las personas un falso servicio de soporte técnico y “resolviendo” problemas inexistentes. Utilizando un amplio repertorio de estrategias de ingeniería social que han sido probadas una y otra vez, estos delincuentes han logrado engañar exitosamente a una gran cantidad de personas para que entreguen su dinero o datos confidenciales, como contraseñas y detalles financieros. Por lo tanto, no es extraño que aún sigan sacándole jugo a este modelo de fraude, aunque utilizando técnicas más sofisticadas y no solo apelando a las llamadas telefónicas y las falsas ventanas emergentes que utilizan para engañar a sus víctimas y hacerles creer que hay un problema.

En los Estados Unidos casi 24.000 personas informaron haber perdido casi $348 millones debido a las estafas de soporte técnico en 2021, lo que representa un aumento del 137% en las pérdidas con respecto al año anterior, afirma el FBI. Sin embargo, es casi seguro que esto no capta la magnitud del problema, ya que muchas víctimas son reacias a realizar la denuncia correspondiente. Mientras tanto, una investigación aparte realizada por Microsoft en 2021 afirma que tres quintas partes de los consumidores globales se habían encontrado con este tipo de estafa en los 12 meses previos y “uno de cada seis cayó en la trampa”, a menudo perdiendo dinero en el proceso.

El lado positivo de todo esto es que se trata de un delito cibernético que se puede prevenir con una buena dosis de conciencia del usuario. Al detectar las primeras señales de advertencia, las personas pueden evitar ser víctimas de este esquema, ahorrando mucho tiempo, dinero y posiblemente lágrimas en el proceso.

¿Cómo funcionan las (últimas) estafas de soporte técnico?

Las estafas de soporte técnico han evolucionado significativamente durante la última década. Los primeros casos involucraron llamadas en frío de falsos agentes de soporte técnico que generalmente tenían su sede en India y afirmaban trabajar para Microsoft, Dell, Cisco u otra compañía de tecnología, incluidos proveedores de seguridad conocidos.

El investigador Jim Browning a través de su canal de YouTube comparte ejemplos claros de cómo funcionan estos call center desde los que llaman a las víctimas simulando ser representantes de soporte técnico de una empresa conocida.

De esta manera, los estafadores llamaban a las personas de la nada y, de una manera más o menos aleatoria, intentaban convencerlas de que su computadora tenía un problema que debía solucionarse de inmediato a cambio de una tarifa. El éxito de estos intentos se basaron en gran medida en encontrar víctimas con poco conocimiento de cómo funcionan realmente las computadoras y llegaron a ser respaldados por sitios web y páginas de Facebook que ofrecen “ayuda” a los usuarios de productos específicos.

Con el tiempo comenzaron a surgir anuncios engañosos, ventanas emergentes falsas, sitios web de soporte falsos y ataques que involucraban programas maliciosos similares a malware. De estas manera en las pantallas de las computadoras de las personas se desplegaban alertas que intentaban convencerlas de que algo andaba mal con su máquina.

De hecho, a medida que el tiempo pasó, estas estafas se fueron sofisticando y dieron un giro: comenzaron a atraer a la víctima para que sea ella quien llame al estafador (a menudo después de visitar un sitio web dudoso), en lugar de que los estafadores llamen en frío a las personas de una manera en gran medida aleatoria.

A continuación se muestran algunos ejemplos recientes de este tipo de alertas falsas:

¿De qué se trata la advertencia del FBI?

Algunas de las tácticas nuevas que utilizan, ahora también destacadas por el FBI, implican estos pasos:

• La víctima recibe un correo electrónico de un dominio que parece legítimo en el cual se advierte de una renovación inminente y automática de un servicio técnico (es decir, una garantía) por varios cientos de dólares. Se insta al destinatario a que se comunique con el número de teléfono o la dirección de correo electrónico indicados si no desea pagar.
• La víctima llama a los estafadores solicitando una explicación/reembolso.
• El estafador persuade a la víctima para que descargue el software de protocolo de escritorio remoto (RDP) para que pueda acceder a la máquina del usuario, realizar asistencia técnica y procesar el reembolso.
• El estafador afirmará haber emitido un reembolso y le pedirá al usuario que inicie sesión en su aplicación bancaria para verificar que se haya realizado correctamente. Esto proporcionará al delincuente acceso a esta cuenta.
• Una vez dentro de la cuenta bancaria online, el estafador congela a la víctima o le muestra una pantalla en blanco mientras secretamente transfiere los fondos de la cuenta de la víctima.

Por supuesto, esta no es la única variación de la estafa de soporte técnico que circula. Otra misiva compartida por el FBI afirma que los estafadores pueden llamar, enviar mensajes de texto o correos electrónicos para hacer el primer contacto con la víctima. Pueden hacerse pasar por representantes no solo de empresas de tecnología, sino también de instituciones financieras y bancarias, empresas de servicios públicos o incluso de Exchanges de monedas virtuales. El “problema” a resolver por el que supuestamente están llamando podría no ser una licencia o renovación de garantía, sino un correo electrónico o una cuenta bancaria comprometidos, o incluso un virus informático.

Los estafadores pueden entonces:

• Convencer a la víctima de que sus cuentas financieras se han visto comprometidas y que necesita mover sus fondos a otra parte.
• Tomar control de la máquina de la víctima remotamente a través de las mismas herramientas RDP.
• Abrir cuentas de monedas virtuales para transferir fondos desde la cuenta bancaria de la víctima.

Otras tácticas pueden incluir:

• Comprometer el dispositivo de un usuario mediante una “descarga automática” que provoca que se desplieguen falsas ventanas emergentes en el equipo de la víctima, las cuales advierten que algo anda mal y que necesitan llamar a un número para resolverlo.
• Usar el acceso remoto de la máquina de la víctima para instalar malware que roba información y de esta manera recopilar detalles de la tarjeta y otra información personal, y luego cobrarle a la víctima por el privilegio.

Cómo detectar y detener una estafa de soporte técnico

La buena noticia es que con un poco más de escepticismo y conciencia natural, los usuarios pueden evitar la vergüenza y el dolor asociados con ser víctimas de una estafa de soporte técnico. Considere lo siguiente:

• No responda directamente ni llame a los números publicados en correos electrónicos no solicitados. En caso de duda, busque manualmente el número de la empresa involucrada y llámela directamente para verificar.
• Si aparece una ventana emergente o un mensaje de error en la pantalla de su computadora y contiene un número de teléfono, resista la tentación de llamar al número.
• Si alguien llama para decir que su computadora tiene un problema, cuelgue.
• No conceda acceso remoto a la PC a nadie que no conozca personalmente, incluidos los representantes que llaman por teléfono.
• No comparta con nadie tus contraseñas.
• No inicie sesión en cuentas bancarias o financieras mientras proporciona acceso remoto en su computadora.
• Tenga en cuenta que los estafadores siempre intentarán apresurarlo para que tome decisiones apresuradas, a menudo haciendo que la víctima entre en pánico. Resista la tentación de hacerlo, respire hondo y piense.
• Si le preocupa la actividad fraudulenta, vigile de cerca las transacciones de su cuenta bancaria.
• Utilice un software de seguridad de un proveedor de confianza en todos sus dispositivos.

Las estafas de soporte técnico existen desde hace más de una década y seguirán existiendo durante mucho tiempo más. Es posible que no estemos seguros de qué más esperar en 2023, pero armados con este conocimiento, al menos debería ser más fácil detectarlos.

Fuente: www.welivesecurity.com/

Estafadores en Argentina siguen haciéndose pasar por centros oficiales de vacunación y llaman por teléfono para solicitar un código de seis dígitos que les permite robar la cuenta de WhatsApp.

Al igual que reportamos el año pasado, los estafadores continúan utilizando el mismo modus operandi para robar cuentas de WhatsApp de las personas. Luego, se hacen pasar por los titulares de las cuentas y escriben a sus contactos para intentar engañarlos haciéndoles creer que tienen una urgencia y solicitan un préstamo o que haga una transferencia. Muchas veces, las personas contactadas, creyendo que están hablando con el titular de la cuenta, caen en la trampa y realizan la transferencia.

Cuando alertamos a los usuarios en 2021 sobre esta forma de actuar los delincuentes, supimos casos en los que se estaban haciendo pasar por el Gobierno de la Ciudad de Buenos Aires. En los últimos meses hemos visto varias denuncias donde las personas alertan que son contactados por un teléfono con la imagen del Ministerio de Salud de la Provincia de Buenos Aires.

Usuarios alertan en octubre de 2022 a través de Twitter sobre este modus operando haciéndose pasar por una persona del Ministerio de Salud.

Como hemos explicado antes, en un momento de la conversación los estafadores solicitan a la víctima que les envíe un código de seis dígitos que recibirá a través de SMS. Supuestamente este código es para acceder al turno de la vacunación. Sin embargo, se trata del código que envía WhatsApp al número de teléfono asociado a la app para corroborar que es verdadero propietario de la línea quien está intentando abrir una cuenta de WhatsApp en un teléfono.

Algunos usuarios han reportado que los ciberdelincuentes han ido un paso más e incluso han estado aprovechando la opción de enviar el código por buzón de voz, robando la cuenta de personas que en ningún momento enviar el código de verificación, tal como explica la siguiente persona en Twitter.

Sin embargo, según afirman algunos medios, WhatsApp está preparando ciertos cambios para proporcionar el código de verificación y reducir el robo de cuentas a través de todas estas modalidades.

Una vez que los atacantes ingresan a la cuenta de WhatsApp tienen acceso a la lista de contactos de las víctimas. Entonces lo que hacen es comunicarse con ellos y solicitar una transferencia de dinero. Lamentablemente, muchas personas caen en la trampa, por lo que es importante estar atentos y alertar a las demás personas.

Para evitar que roben tu cuenta de WhatsApp por esta vía, las personas pueden comunicarse con la compañía de telefonía móvil y cambiar la clave de seguridad para acceder a la casilla del buzón de voz, que generalmente viene por defecto, o solicitar que den de baja el buzón de voz para tu línea.

Quienes necesitan recuperar su cuenta, pueden comunicarse con soporte de WhatsApp a través de la dirección de correo support@support.whatsapp.com

Fuente: www.welivesecurity.com

El doxing es la práctica de publicar información personal de terceros con la intención de intimidar, extorsionar o afectar de alguna otra manera.

¿Qué tan riesgoso puede ser tener mis cuentas de redes sociales configuradas en modo público?¿O etiquetar el restaurante donde estoy teniendo esa deliciosa comida? ¡Casi todos lo hacen!

Intentemos dar vuelta a las preguntas: ¿Recuerdas haber buscado a alguien que acabas de conocer en las redes sociales para averiguar lo más posible sobre él/ella? ¿O tal vez un/a amigo/a no estaba respondiendo a tus mensajes de texto y fuiste a su Instagram para intentar averiguar qué estaba haciendo? No eres el único. Muchos de nosotros podemos hacer esto, y de hecho, ese es uno de los objetivos de las redes sociales. Sin embargo, no todo el mundo lo hace solo por curiosidad. Y ahí es donde empiezan los problemas.

Qué es el doxing

El doxing (también conocido como doxxing) es término en inglés que describe una práctica que realizan personas con malas intenciones que consiste en publicar, generalmente en línea, información personal de sus víctimas con la intención de avergonzarlas o intimidarlas. Una encuesta realizada en Reino Unido y publicada en junio de 2022 reveló que el 19% de las personas que participaron fueron víctimas de doxing.

El término proviene de la abreviatura “docs” que en inglés se refiere a documentos, en referencia a los archivos filtrados en línea que contienen la información personal de la víctima. En última instancia, los criminales buscan a través de la publicación de información personal asustar, avergonzar y crear una enorme angustia, a veces exigiendo dinero a sus víctimas, otras veces por pura venganza o un sentido personal de justicia.

Si bien el doxing puede ser perpetrado por extraños -tanto individuos como grupos-, también puede ser llevado a cabo por conocidos, o incluso por personas de tu propio hogar. El doxing resulta especialmente peligroso porque sus consecuencias pueden abarcar desde el ciberbullying hasta el bullying y el acoso en el mundo real, pudiendo llegar incluso hasta agresiones o incluso asesinatos.

El dóxing es una práctica que incluso comenzó a ser utilizada por cibercriminales en ataques de ransomware. En 2019 algunos grupos de ransomware no solo infectaban con malware a sus víctimas que secuestraban todos los archivos, sino que comenzaron a robar información de sus víctimas antes de bloquear el acceso a la información. De esta manera, los cibercriminales comenzaron a presionar a las organizaciones para que paguen o de lo contrario publicarían la información privada de manera pública. Explicamos más cómo comenzó el doxing en el ransomware en el artículo: Ransomware y filtración de información: una tendencia que se consolidó en 2020.

¡Nada que esconder!

Como regla básica, muchos de nosotros ya somos cautelosos cuando se trata de proteger nuestra información básica en las redes sociales. Detalles como los números de teléfono o las direcciones de las casas a menudo se mantienen privados. Pero, ¿qué sucede con toda la otra información? ¿La ciudad donde vivimos?¿Dónde trabajamos? Todos estos son detalles que compartimos voluntariamente con el público.

Y tal vez puedes pensar, “¿Y qué?¡No tengo nada que ocultar!”. Ya que tendemos a considerar que nuestra existencia es definitivamente menos interesante que la vida de una celebridad. No obstante, lo que no tenemos en cuenta es que para alguien que quiere intimidarnos o extorsionarnos, ese no es realmente el punto. Solo se necesita realizar una búsqueda rápida en las noticias para ver que algunas personas han sido víctima de doxing luego de dejar una mala puntuación a un negocio. Una mujer, por ejemplo, fue identificada por la matrícula de coche en un video que alguien subió en el cual la filmaron en un momento de rabia, y en otro caso el número de teléfono de una mujer fue publicado en Craigslist en un anuncio de sexo falso como venganza por su opinión profesional publicada en un periódico local.

Fuente: Google Business support forum

Cualquier persona puede ser víctima del doxing

La razón por la que el doxing es un peligro tan retorcido es porque todos podemos ser víctimas de esta práctica. Y si bien nos corresponde a cada uno de nosotros definir a nuestra audiencia y ajustar nuestra configuración de privacidad en las redes sociales, no podemos evitar todas las acciones que llevan adelante personas con malas intenciones, algunas de las cuales incluso filtran información de otras personas solo por aburrimiento.

En los últimos años, sin embargo, el doxing ha adquirido un nuevo propósito. Se ha convertido en una herramienta de presión social sobre los individuos, exponiendo lo que las personas que perpetran el doxing cree que son las malas acciones de su víctima y el daño social.

En julio de 2022, un médico austríaco que regularmente daba entrevistas sobre la necesidad de vacunas contra la COVID-19 decidió acabar con su vida debido a la intimidación constante que recibía de personas que creían que la pandemia era un engaño. Anteriormente, el medico había sido confrontado en su lugar de trabajo por manifestantes que también le habían enviado amenazas de muerte. La divulgación pública de su información personal dio lugar a nuevas amenazas, incluso de personas fuera de Austria.

Hacer doxing y ser víctima de doxing

En febrero de 2022, en un extenso artículo sobre “responsabilidad en la era cripto”, BuzzFeed News expuso deliberadamente las identidades de los dos creadores de Bored Ape Yacht Club. El sitio web de noticias “buscó en los registros de negocios públicos para revelar las identidades de los dos fundadores principales”, cuyos nombres, edades, profesiones, ubicación y también la información antigua disponible en la web, ahora están disponibles para cualquiera.

La periodista fue amenazada con doxing en represalia por su artículo. En última instancia, el artículo generó una importante discusión sobre los límites entre el periodismo de investigación y el doxing, una discusión relevante ya que incluso los mismos periodistas son víctimas de doxing y, en consecuencia, de grandes niveles de acoso que incluso hasta amenazan sus vida…

Fuente: Twitter

Las generaciones más jóvenes en riesgo

El doxing está tan extendido y profundamente arraigado en el mundo en línea que se puede confundir fácilmente con otros tipos de violencia digital. Además, cuanto más tiempo pasan en línea las personas, más vulnerables se vuelven. Este es el caso de la Generación Z y la Generación Alfa.

El doxing puede comenzar a raíz de un simple desacuerdo o rivalidad en un videojuego online y puede provocar una enorme carga emocional a través del miedo a sus consecuencias y la vergüenza generada, principalmente si se trata de niños. Plataformas como Twitch, Steam, Discord y Roblox pueden dar una falsa sensación de seguridad, ya que la mayoría de las interacciones ocurren entre los ID (nombres de usuario) y avatares de los jugadores. Sin embargo, los pequeños detalles son suficientes para que determinados usuarios puedan obtener información personal, por ejemplo, buscando un ID de usuario específico en Twitter, donde pueden encontrar más información personal y una lista de amigos.

Fuente: Steam discussion board

Pero el doxing no se limita solo a los juegos. Los recursos escolares virtuales basados en plataformas de video o redes sociales también pueden convertirse en un peligro si no se establecen las reglas de privacidad adecuadas, tanto por parte de las escuelas como de las familias.

¿Se puede evitar ser víctima del doxing?

No hay una manera sencilla de responder a esta pregunta. En última instancia, si no tienes ninguna información en línea, será muy difícil para alguien encontrar algo sobre ti. Pero incluso si eres un usuario de internet típico -y en caso de que alguien realmente quiera filtrar tus datos personales por cualquier razón- lo más probable es que ya hayas compartido lo suficiente. Afortunadamente, hay algunas formas en las que puedes hacer que sea más difícil para cualquier recopilar información sobre ti:

• Limpia tu presencia en línea
• No compartas (más) ninguna información personal en línea
• Utiliza la autenticación de dos pasos o multi factor en todas tus cuentas
• Usa una contraseña única y segura
• Asegúrate de que tus videoconferencias y llamadas sean privadas y encriptadas.
• No abras enlaces antes de asegurarte de que fueron enviados intencionalmente y por alguien que conoces. En caso de duda, ¡pregunta primero! Si fueron enviados por un extraño, no los abras.

Qué hacer si eres víctima de doxing

• En primer lugar, no te culpes por las intenciones maliciosas de los demás. Ten en cuenta que todos estamos en riesgo.
• Reportar y bloquear a la persona acosadora a través de las herramientas disponibles en la plataforma donde se está produciendo el hecho.
• Toma capturas de pantalla de todos los detalles que consideres que pueden llegar a ser relevantes para respaldar tu caso.
• Asegúrate de que todas tus cuentas de redes sociales son privadas; considera la posibilidad de ponerlas en pausa por un tiempo.
• Avisa a tus amigos o familiares para que estén al tanto de lo que está sucediendo, principalmente si la dirección de tu casa o trabajo ha sido expuesta.
• Reporta a tu banco lo que está sucediendo; asegúrate de que los datos de tus tarjetas estén protegidos.
• .Considera contactarte con la policía local. Si bien el doxing en sí mismo puede no ser considerado un crimen donde tú te encuentres, el fraude financiero y el daño físico que resulta del mismo sí lo es.

La Internet del futuro no tiene que ser peligroso

El doxing es serio, y puede ser una herramienta que arruina la vida, especialmente en un mundo donde, a pesar de estar todos interconectados, estamos cada vez más divididos por la opinión. Exponer los datos personales de las personales de las personas puede convertirse, con el tiempo, en un juego de ping-pong donde todos seremos afectados.

Pero este tipo de consciencia es, a su vez, lo que puede protegernos para el futuro. Ya se están celebrando importantes debates para tipificar como delito el doxing, impedir su ulterior crecimiento y la creación de un marco para proteger a las víctimas. Lo mejor que podemos hacer por ahora es entender que estos ataques pueden sucederle a cualquiera y tener precaución mientras estamos en línea.

Fuente: www.welivesecurity.com

Una introducción a los riesgos y amenazas a las que están expuestas las empresas financieras y los pasos que pueden tomar para contrarrestarlas.

Las empresas que operan en la industria de servicios financieros no están ajenas al hecho de que con frecuencia son blancos de diversas formas de delitos financieros y fraude. Sin embargo, el escenario ha ido cambiado con el paso del tiempo y los actores maliciosos han adaptado sus tácticas para adaptarse mejor al mundo digital. Los ciberdelincuentes ahora utilizan diferentes modalidades de fraude y extorsión, además de atacar directamente a las empresas para llenarse los bolsillos.

Se puede tomar dimensión de la gravedad que representa la amenaza del ciberdelito para las empresas si consideramos el costo que tiene una brecha de datos en este sector. Según datos de la última edición del informe anual que realiza IBM titulado Cost of a Data Breach Report, el costo promedio de una brecha de datos en el sector de servicios financieros fue de $5.85 millones de dólares en 2020, una cifra superior a la de $3.86 millones de dólares que manifestaron los encuestados del resto de los sectores económicos.

Es más, el sector financiero sigue siendo un blanco atractivo para los actores maliciosos, especialmente dada la cantidad y el tipo de información que recolectan de sus clientes. En caso de existir una filtración exitosa, los datos pueden ser utilizados por los atacantes para cometer fraude a través del robo de identidad o para ser comercializados en mercados de la Dark Web, lo que podría provocar un daño a la reputación para la entidad que fue comprometida y también daños financieros y a la reputación para los clientes afectados.

Según la edición 2020 del informe Data Breach Investigation Report que realizó Verizon, se estima que el 63% de los ataques que apuntan a las instituciones financieras son efectuados por actores externos motivados por la ganancia económica. En estos casos, las organizaciones pueden esperar que los cibercriminales lleven adelante ataques de credential stuffing, ataques de ingeniería social, fraude, ataques de denegación de servicio distribuido (DDoS) y de malware.

La pandemia del COVID-19 ha exacerbado los riesgos, especialmente porque muchas compañías fueron forzadas a pasar del trabajo presencial al teletrabajo, una movida que presenta su propio combo de desafíos. Dado que este cambio fue tan repentino muchas compañías probablemente no tuvieron suficiente tiempo para instituir políticas de ciberseguridad que puedan afrontar los probables puntos débiles que tendrán los empleados por estar trabajando repentinamente desde casa.

Hay una clara necesidad de las organizaciones para mejorar sus medidas de seguridad para mitigar las chances de ser víctimas de los ataques dirigidos hacia ellas. De hecho, una reciente encuesta de ESET a 10.000 consumidores y líderes de negocios en varias partes del mundo reveló que 45% de las empresas han experimentado una brecha de seguridad.

El aspecto humano en la seguridad

Los empleados son la base de sus organizaciones, sin dudas. Sin embargo, como dice el viejo adagio “errar es humano”. El informe de IBM encontró que el factor humano es una de las tres principales causas de las filtraciones de datos, siendo un factor determinante en el 23% de las brechas.

Los errores cometidos por los empleados pueden adoptar una variedad de formas: por ejemplo, pueden ser víctimas de phishing o ataques de ingeniería social más dirigidos, o pueden configurar mal un sistema. Los dos primeros errores son particularmente amenazantes si consideramos el desplazamiento hacia el trabajo remoto impulsado por la pandemia. Dado que las empresas no estaban preparadas para la transición rápida e inesperada, en lugar de poder implementar un plan bien pensado, muchas se vieron obligadas a actuar de manera apresurada, lo que provocó que los trabajadores remotos recién incorporados no recibieran ninguna capacitación adicional en ciberseguridad.

Los atacantes podrían utilizar uno de los delitos en línea más dañinos desde el punto de vista financiero: la estafa conocida como Business Email Compromise (BEC). En este tipo de ataque, el ciberdelincuente apunta a su víctima comunicándose desde una cuenta de correo electrónico comprometida perteneciente a un miembro de la empresa (generalmente de mayor jerarquía) o a un miembro de una empresa con la cual se tiene una alianza comercial, solicitándoles que realicen una tarea legítima, como comprar y enviar artículos o transferir pagos. Sin embargo, en lugar de proporcionar datos de una dirección o cuenta bancaria legítima, el estafador agrega la suya propia, robando el dinero a la compañía. Alternativamente, las organizaciones apuntadas pueden recibir un correo electrónico fraudulento que contiene un enlace o un archivo adjunto que oculta malware, que en caso de ser descargado infectará la computadora e incluso puede llegar a extenderse por la red.

Para mitigar las posibilidades de que ocurra cualquiera de estos escenarios, las empresas deben proporcionar una formación adecuada en ciberseguridad a sus empleados. Los programas de capacitación para enseñar a los empleados cómo detectar correos de phishing u otro tipo de ataque que utilice la ingeniería social deben realizarse de forma rutinaria. Además, una buena medida sería proporcionar periódicamente a los trabajadores consejos para el trabajo remoto seguro y protegido, así como orientación sobre cómo comunicarse utilizando herramientas de videoconferencia teniendo en cuenta la seguridad, o cómo proteger el acceso remoto a los sistemas de la empresa de una manera segura.

Al tomar las medidas necesarias, la empresa podrá protegerse a sí misma de sufrir daños monetarios o a la reputación en el futuro. Un beneficio adicional es que estas prácticas de ciberseguridad resultarán útiles mucho después de que haya pasado la pandemia, ya que no todas las empresas están ansiosas por volver a trabajar desde la oficina.

El factor técnico

Si bien educar a los empleados es un aspecto importante para impulsar las prácticas de ciberseguridad, es solo una pieza de un rompecabezas más grande. La mayor parte de la defensa contra las ciberamenazas debe recaer sobre las soluciones técnicas implementadas a lo largo de toda la infraestructura del negocio. Aunque algunos pueden cuestionar la necesidad de invertir sumas considerables, siempre es preferible esperar lo mejor, pero planificar lo peor. Según la encuesta de ESET, el 28% de las empresas no están invirtiendo activamente en nuevas tecnologías para ayudar a proteger las finanzas o al menos no saben si lo están haciendo.

Toda empresa, sin importar su tamaño, debe tener un plan de continuidad del negocio en caso de que ocurra un ciberataque. Un plan adecuado siempre debe incluir copias de seguridad de los datos y, si el presupuesto lo permite, un backup de toda la infraestructura. Estas copias de seguridad  pueden resultar útiles, especialmente si se produce un ataque de ransomware. Sin embargo, para que las copias de seguridad sean eficaces, deben actualizarse periódicamente y evaluarse con frecuencia para garantizar que funcionan correctamente.

Lectura recomendada: Tipos de backup y los errores más comunes a la hora de realizarlo

Todos los sistemas operativos y software deben ser actualizados y parcheados periódicamente. Si contrata a un profesional o tiene un departamento dedicado a la seguridad de la información, lo más probable es que ellos mismos administren estas actualizaciones o configuren sus sistemas de manera que se actualicen automáticamente a la última versión disponible. Lo mismo debe hacerse si sus sistemas son administrados por terceras partes. La importancia de este paso no debe subestimarse, sobre todo si recordamos lo que ocurrió en 2017 gracias al infame ransomware WannaCry, que se propagó a través de máquinas sin parchear.

Los ataques de DDoS que tienen como objetivo interrumpir la capacidad de proporcionar servicios de las víctimas son otra de las amenazas con la que pueden tener que enfrentarse las empresas. Si una empresa se convierte en víctima de un ataque DDoS, sus sistemas se inundarán de solicitudes que superarán la capacidad de dar respuesta a los sitios web y los desconectará. Esto podría traducirse fácilmente en cientos de miles de dólares en ingresos perdidos para el negocio apuntado por los atacantes. Para reducir las posibilidades de que eso suceda, las empresas deben adquirir servicios de mitigación de DDoS, así como utilizar un proveedor de Internet que tenga suficiente ancho de banda, equipo y habilidades para manejar tales ataques y reducir la afluencia de tráfico malicioso.

En resumen

Mientras las organizaciones financieras sigan siendo blancos lucrativos para la mayoría de los cibercriminales, deberán continuar trabajando en mejorar sus defensas para mitigar la posibilidad de ser víctimas de las mayorías de las amenazas. Sin embargo, para construir mecanismos de defensas lo suficientemente fuertes las empresas necesitan tener un enfoque holístico y balanceado, que consiste en invertir tanto en capacitación para empleados como en soluciones tecnológicas adecuadas y planes de continuidad de negocios.

Fuente: www.welivesecurity.com

«Los fraudulentos enseguida aprovechan temas candentes para generar correo basura, anuncios publicitarios y sitios web falsos. Y en este caso la historia se está repitiendo», advierte Andréi Yankin, director del Centro de seguridad informática de la compañía Jet Infosystems.

 

«Si un usuario sigue el enlace o abre el archivo adjunto, un programa maligno como el troyano Emotet se cuela en su ordenador», alerta Diáguilev.