Search Results for: ingeniería social

Hoy tratamos un tema interesante y más presente en nuestro día a día de lo que pensamos. Imagínate que tu jefe te pide que autorices un presupuesto o que le des acceso a información confidencial. ¿Qué vas a hacer? Pues claro, lo que te pide. ¡Sorpresa! ¡No es tu jefe! En realidad, es un hacker con malas intenciones. Si haces lo que te pide, puedes perder tu puesto de trabajo y ocasionar grandes problemas a tu compañía.

La ingeniería social se utiliza como método para llevar a cabo un ciberataque engañando o abusando de la buena fe de las personas.  Un ciberdelincuente tratará de usar la manipulación, para conseguir que sus víctimas descarguen un archivo malicioso, que hagan clic en un enlace cuando no deberían o incluso que revelen información personal, credenciales o datos confidenciales.

Tipos de ingeniería social y ejemplos

Cuando la ingeniería social se enfoca en una misma víctima y para lograr el objetivo, se comunica las veces que haga falta con ella, se llama hacer Farming. Sin embargo, cuando los ataques son mediante comunicaciones en masa y, normalmente, haciéndose pasar por grandes compañías, se llama hacer Hunting.

Seguro que te gustará saber que el método de ataque favorito de los ciberdelincuenteses la ingeniería social a través de correo electrónico. Pero hay muchos tipos de mensajes que se suelen utilizar:

1. Correos para que te descargues algún programa maligno, muy típicos.
2. Mensajes que buscan tu clic en un enlace hacía una página falsa.
3. El famoso “phishing”. Por ejemplo: parece un correo de tu banco y puedes rellenar algún espacio con tus datos solicitados y en realidad, solo los quiere el ciberdelincuente.
4. Cuando se hace una suplantación y normalmente es a tu empresa o a un superior/compañero de trabajo, se llama “spoofing”. ¡Mucho cuidado!
5. Si la suplantación se realiza a través de una llamada telefónica entonces hablamos de “vishing”. Previamente es necesario haber robado información personal a través de internet.
6. La ingeniería social también se utiliza a través de aplicaciones como WhatsApp o en mensajes de texto SMS, estos casos se denominan “smishing”. Es popular que los delincuentes se hagan pasar por bancos o que incluyan enlaces a webs fraudulentas.

¿Cómo suelen manipular a sus víctimas?

Ahora repasamos los métodos de engaño más utilizados, a la hora de ciberatacar con ingeniería social. Desconfía de cualquier petición sospechosa y presta atención a estos ejemplos:

• Se hacen pasar por un compañero de la empresa que solicita ayuda.
• Con contenido privado o sin él, amenazan con difundirlo si no se paga una suma de dinero.
• Simulan ser una autoridad para la persona, en la vida personal o laboral.
• Suplantan algún servicio contratado en el pasado y dicen que necesitan tus datos para cambiar algo o por las nuevas políticas de servicio.
• Ofrecen algo gratis a cambio de información personal y suelen utilizar el correo electrónico, SMS, o ventanas emergentes de sitios web maliciosos.

Los ciberdelincuentes suelen encontrar en los empleados la primera puerta de entrada a las empresas, porque tal y como hemos visto anteriormente, el concepto de autoridad o explotar la caridad de los demás son tácticas que suelen funcionar bien. Por ello, es recomendable concienciar sobre los peligros, para que las personas sean una barrera solida de defensa. Para conseguirlo es popular hacer campañas de concienciación en ciberseguridad dentro de las empresas, para los empleados e incluso también para sus familiares.

Si cualquier persona de la organización es capaz de abrir un email falso y descargar archivos comprometidos ¿de qué sirve tener las mejores herramientas tecnológicas?  Aquí tenéis un ejemplo de cómo solucionar la falta de cultura en ciberseguridad dentro de una organización.

Siguiendo su procedimiento habitual, la Agencia Tributaria comenzó el 11 de abril con la campaña de la Renta 2022 y este año nos advierte acerca de las suplantaciones de identidad que están tratando de hacer los ciberdelincuentes, en las que simulan ser la agencia a través de phishing o smishing.

Los objetivos de los cibercriminales siempre suelen ser los mismos: conseguir datos personales y si puede ser, datos bancarios. Llevamos muchos años viendo este tipo de ciberataques y la confianza de los usuarios, así como el desconocimiento de las posibles amenazas es el punto débil que suelen aprovechar. Por ello, desde Hijos Digitales te dejamos una serie de consejos que te permitirán estar alerta. ¡Toma nota!

¿Qué es el phishing? ¿Y el smishing?

El phishing es uno de los métodos de ingeniería social más utilizados por los ciberdelincuentes durante la campaña de la declaración de la renta. En este caso los mensajes nos llegan a través del correo electrónico haciéndose pasar por la entidad. Los ciberdelincuentes tratan de dar aspecto confiable al mensaje, incluyendo logos reales y solicitando el acceso a una página web.

En este caso, también están utilizando smishing, es decir, suplantación a través de mensajes SMS. ¿Por qué eligen enviarnos mensajes? Pues debido a que es un servicio muy presente en la mayoría de las áreas de la sociedad y normalmente, las personas confían más de los debido en este tipo de comunicaciones.

¡Cuidado con las páginas web! Son trampas muy bien hechas y a veces con un aspecto idéntico a las de verdad. Cuando nuestros datos son introducidos en estas páginas, los estafadores reciben nuestras credenciales directamente. Con la suplantación a la agencia tributaria lo más probable es que “los malos” vayan a por datos bancarios.

5 recomendaciones para no caer en el engaño

1. Pregúntate si conoces al remitente, si sabes el nombre, si la dirección electrónica es la habitual y si presenta coherencia.
2. Lo más sospechoso en estos casos suele ser que el cuerpo del mensaje presenta faltas ortográficas y gramaticales.
3. Si nos solicitan información para devolvernos lo que nos corresponde o indican algún error en el proceso, ¡cuidado! Las devoluciones se realizan de forma automática.
4. Las llamadas de urgencia o ejecución inmediata deben alertarte.
5. En el caso de ser un archivo adjunto, lo primero, ¿tiene sentido recibir un archivo adjunto por esta vía? Y después, desconfía de nombres genéricos y mira la extensión del fichero.
6. Nunca utilices un enlace que te hayan remitido en un correo, escribe directamente la dirección legítima en tu navegador. Comprueba el destino de un enlace antes de abrirlo. Para ello, se puede situar el puntero del ratón encima de dicho enlace, el navegador mostrará el enlace y podrá comprobarlo.

Tal y como explican en su página web, durante la campaña de Renta 2022, la Agencia Tributaria nunca te pedirá datos personales, bancarios o confidenciales, a través de mensajes de correo electrónico o SMS, y tampoco podrás encontrarte archivos adjuntos con tu información personal, facturas, etc. Los ataques de ingeniería social pueden ser muy elaborados. Sin embargo, si estamos alerta y tratamos de fijarnos en los detalles adecuados, los reconoceremos fácilmente. ¡La mejor protección es el sentido común!

Muchos de nosotros nos hinchamos a comer turrón durante las fiestas navideñas, ¡no podemos evitarlo! Lo que sí está en nuestra mano es prestar atención estas fiestas y evitar los errores más típicos en ciberseguridad.

En este post os traemos ocho tipos de riquísimo ciberturrón. Es difícil no caer en la tentación y cada uno de ellos representa un error muy común de la ciberseguridad.

Turrón de Lacasitos – sin control parental

¡Que delicia! Pero cuidado, sin control, los más pequeños pueden comer y jugar todo lo que quieran.

Hay que tener cuidado con la incesante cantidad de contenidos que llegan hasta nuestros niños y niñas por las redes sociales, juegos e incluso televisión. Atención especial a los juegos online, ya que muchas veces los mayores no somos conscientes del todo de a qué juegan los peques ni cuantas horas llegan a dedicarle.

Te recomendamos restringir cualquier posible entrada de contenido no apto para menores, en cualquier dispositivo que haya por la casa. También puedes poner un horario para que no jueguen sin parar hasta altas horas de la noche.

Turrón de Coco – USB ajenos en tu dispositivo

¡Que rico turrón! Lo muerdes y el sabor a coco enseguida se esparce por el paladar, muy parecido a los virus que se extienden por tu equipo cuando le metes un USB ajeno que esté infectado.

Desde que existe internet y los ciberdelincuentes, siempre se ha utilizado esta técnica para infectar equipos y/o atacar sistemas enteros.

Es mejor no insertar USBs ajenos y si tienes dudas, no accedas a él sin antes hacer una revisión de seguridad con tu antivirus.

Turrón de Suchard – misma contraseña para todo

¿A quién no le gusta este chocolateado manjar? Pues a muy pocos, casi tan pocos como los que no reutilizan sus contraseñas.

Imagínate que utilizas la contraseña de la cuenta bancaria, que tiene una elevada seguridad, para una aplicación que tiene diversas vulnerabilidades. Si se filtraran datos de acceso en esa app, te daría igual, a no ser que sean tus datos para todo. Un poquito de ingeniería social, averiguar tu identidad, entidad bancaria de la que eres cliente y ¡pum! Posible estafa a la vista.

Existen gestores de contraseñas para poder tener muchas y no tener que recordarlas. Utilizar una libreta o papel no es una solución. Además, siempre usa contraseñas robustas, diferentes, con números, letras y otros símbolos. ¡Que sean muy difíciles de averiguar!

Turrón de yema quemada – identidad digital descuidada

En internet pueden averiguar casi todo de nosotros en pocos clicks ¡madre mía! Si tienes mucha información pública en la red, será como el atractivo olor del azúcar quemado de esta delicia, los ciberdelincuentes se verán atraídos.

Hay que prestar atención a toda la información que podemos estar dando acerca de nosotros o de nuestras familias. Subir fotos de lugares que frecuentamos, ubicaciones, documentos importantes o firmados, cosas íntimas o fotos de los más pequeños.

Si no quieres ningún problema con las personas que se dedican a espiar en las redes, aconsejamos pensar bien antes de hacer una publicación, todo lo que hagamos público está fuera de nuestro control. Cuida tu identidad digital y la de tus allegados.

Turrón de nata con nueces – hacer click en cualquier enlace

¡Turrón con frutos secos! ¿Pero sabes cuales son? Que no te de igual saber un poquito más, los enlaces pueden parecer sospechosos, hay que comprobarlos.

Los ciberataques suelen comenzar con un engaño y los enlaces enmascarados se usan muchísimo ya sea en un email, mensaje de texto, etc. Y si la estafa está bien hecha, es muy normal no prestar atención y comérsela, ¡lo que suele ocurrir con este rico turrón!

Es posible que estos engaños estén elaborados a la perfección, pero desconfía y fíjate en la página web del enlace y búscala en tu navegador, deberías poder encontrarla. También fíjate en cualquier oferta o llamada a la acción que sea excesivamente atractiva o demasiado buena para ser verdad. Además, las faltas de ortografía y gramática suelen ser un indicativo importante.

Turrón de Guirlache – no revisar URLs

¡Otra vez! Cuidado con la dulce tentación de ir a por todo lo que parece rico y agradable sin ningún control.

Crear una web falsa, donde suplantan a una empresa o servicio en quien confías, es una práctica muy común. Imagínate que sale el logo de tu tienda de ropa favorita y te piden usuario y contraseña, estarías dando a un desconocido tus credenciales de acceso y este es solo un ejemplo de muchos.

Hay que revisar que la web cumpla el protocolo “https”, esa “s” quiere decir que la información esta cifrada o encriptada, también puedes fijarte en si aparece un candado al lado de la dirección que aparece en tu navegador.

Turrón de trufa – hacer caso a emails de cambio de contraseña no solicitado

¿De repente te llega un email para cambiar la contraseña de una de tus apps o servicios online y no lo has solicitado? ¡Cuidado! Muchos nos asustamos al pensar que vamos a perder el acceso a cualquier de estas aplicaciones pero, si no lo has solicitado, es más seguro acceder directamente desde la plataforma o página web en cuestión, que desde el email para verificar si es necesario un cambio. y hacerlo desde ahí

Turrón de Alicante – no bloquear equipo al ausentarse

Ojalá pudiéramos parecernos más a este rico turrón duro y ser férreos con la seguridad de nuestros dispositivos.

En el trabajo, en pisos compartidos con mucha gente, en lugares públicos debemos tener cuidado con dejar nuestro equipo desbloqueado. Una mirada o dos clicks de ratón, podrían causarnos serios problemas.

Lo peor es que la solución es muy fácil: ¡Bloquea tú equipo! Evitarás fugas de información y miradas indiscretas.

Turrón de Jijona – no actualizar software a última versión

¿No te gusta el turrón duro y prefieres el de Jijona? Una delicia, pero no seas soft con todo, suficiente con el turrón navideño.

El software puede estar plagado de vulnerabilidades, que poco a poco se van corrigiendo, primero se detectan, se analizan y luego desaparecen con una actualización. Por eso no debemos ignorar los mensajes que nos llegan pidiendo actualizar a la última versión, muchas veces se hace por nuestra seguridad y la protección de nuestros datos.

Todos los programas te pedirán actualizarlos y a veces no podrás usarlos hasta que no lo hagas. Te aconsejamos vigilar que todo esté actualizado lo antes posible.

Ahora así, ¡disfruta de los turrones sin sobresaltos!

Esperamos que hayáis prestado atención a nuestros consejos y que podáis disfrutar del turrón navideño sin errores de ciberseguridad. ¡Os deseamos unas felices fiestas y un próspero año 2023! Estamos encantados de que nos sigáis acompañando y contribuyendo a una mejora de la ciberseguridad, todos y cada uno de los pequeños gestos que vamos incorporando en nuestro día a día son necesarios.

¿Oís eso? ¿Gritos? ¿Sustos? ¿Risas también? Se acerca uno de los momentos más divertidos y terroríficos del año. Sí, hablamos de Halloween. La popular fiesta, arraigada en América del Norte desde hace un par de siglos, y que unos pocos años atrás dio el salto a Europa (regresando a su lugar de origen según las teorías que la sitúan como una fiesta pagana de origen Celta) para convertirse en una celebración frecuente, está llamando a nuestra puerta. ¿Truco o Dato?

Espera, ¿Truco o Dato? ¿No era truco o trato? ¿Estamos confundiendo términos? Según la tradición, los niñ@s recorren las casas, disfrazados de criaturas de pesadilla (zombis, momias, vampiros, hadas del bosque…) pidiendo caramelos. Para conseguirlos, usan la clásica frase “truco o trato”. Truco (jugarreta) si no consiguen lo que quieren; trato (no hay jugarreta) si consiguen su preciado y dulce botín. Entonces, ¿a qué viene lo de Truco o Dato?

Un evento social que llama a la estafa

Halloween es una fiesta muy esperada en todo el mundo, especialmente por los más pequeños de la casa. No obstante, hay otros que están deseando su llegada, y no precisamente para conseguir caramelos. Hablamos, como ya imaginaréis, de los cibercriminales. Todo acontecimiento social que se precie, sea cual sea y caiga en el mes que caiga, es un reclamo perfecto para este colectivo.

La publicidad, las campañas de marketing de las tiendas, el show, por así decirlo, es algo ligado a esta festividad. Todo se engalana para la ocasión; se pinta de naranja calabaza. Los que no se engalanan, sino que se ocultan entre las sombras para no ser descubiertos, son aquellos que aprovechan tan esperada festividad para lanzar su Truco a los incautos. Trucos=Estafas. Las ciberestafas en Halloween están siendo algo muy común en los últimos años.

¿Cómo actúa un cibercriminal en Halloween?

Uno de los aspectos que hemos comentado anteriormente es que, durante las semanas previas a la celebración de Halloween, las campañas de publicidad inundan televisiones, calles, radios y, lo más problemático, las redes sociales e internet en general. Y son estos momentos los que causan auténtico terror, sobre todo si el objetivo cae en la trampa. El modus operandi del cibercriminal es muy sencillo de ejecutar, pero no tan fácil de destapar. El buen ojo todo lo ve, pero debe ser entrenado para ello.

Partiendo de la base que el principal reclamo de Halloween son las campañas de publicidad orquestadas en los medios, una de las técnicas más usadas por los cibercriminales es el Web Spoofing, o suplantación web. A través de una web falsa, similar a otra legal, el cibercriminal intenta acceder a nuestro dispositivo para controlarlo, robar toda la información albergada en él, tomar posesión de nuestras cuentas, etc. El objetivo final es que el afectado pague un rescate para su recuperación. Dependiendo de la víctima, el reclamo puede ser mayor o menor. ¡Ojo con meterse en una web de dudosa legalidad desde un PC Corporativo! Los efectos podrían ser desastrosos no solo para ti, sino también para tu empresa. La información corporativa es muy valiosa.

¿Cómo reconocer un intento de Web Spoofing? Si bien los cibercriminales cada vez pulen más sus técnicas, siguen cometiendo errores que, con un ojo analítico bien desarrollado, pueden ser descubiertos. Los más evidentes son los relacionados con la ortografía. Muchos de estos ciberdelincuentes proceden de países extranjeros, y apenas cuentan con los conocimientos suficientes del idioma de la web que pretenden suplantar. Es muy común encontrar webs donde, en lugar de escribir Halloween, ponen: Haloween, Hallowen o Halloweenn. Otro detalle a tener en cuenta es el diseño de la web, donde podemos ver errores en las imágenes usadas: mala calidad, que no coincide con la original, posición errónea…

¿Qué otros métodos pueden usar los cibercriminales para engañar a las víctimas? La Ingeniería Social sigue siendo la estrella en lo que a ciberestafas se refiere: phishing y smishing están a la cabeza en cualquier situación que se precie. Un correo electrónico con ofertas falsas aprovechando la festividad de Halloween; un SMS en nuestro smartphone anunciando que hemos sido seleccionados como ganador de un concurso con motivo de Halloween… Hay tantos ejemplos que es difícil enumerarlos.

¿Cómo evito un susto de muerte?

No os asustéis, no estamos hablando de pasar directamente al camposanto. Hablando metafóricamente, quizás sí… Evitar caer en una estafa es sencillo, pero solo si estamos tanto al corriente de la problemática actual como de la forma de evitarlo. Entonces, respondiendo a la pregunta, el mejor aliado de la potencial víctima no es otro que la duda. Dudar de la legitimidad de cualquier correo electrónico, SMS o web es nuestra principal arma para evitar que Halloween se convierta en una “fiesta mortal”.

Si llega un correo electrónico, vigilar el remitente, un posible enlace vinculado o el archivo adjunto puede suponer la diferencia entre caer en la trampa o salir airoso de ella. En el caso de recibir un SMS, de nuevo, comprobar de forma minuciosa en enlace -que suele venir acotado y con un formato extraño- y el remitente. Por otra parte, si vemos una web con faltas de ortografía, iconografía mal diseñada o fuera de lugar, salir de ella en el acto y evitar pinchar en los enlaces internos.

Con estos consejos, vuestra noche de Halloween no solo será apacible, sino que además habréis demostrado que los cibercriminales, independientemente de la época en la que nos encontremos, no os van a pillar desprevenidos. ¡Feliz Halloween a todos!