Una petición de ayuda muy poco fiable

Es difícil saber cómo prever o controlar las reacciones de los usuarios frente a diferentes engaños que circulan por la Red, como son los enlaces maliciosos en correos electrónicos, los archivos adjuntos en mensajes, la solicitud de información confidencial en formularios web, la publicidad online, las llamadas que se hacen pasar por técnicos de servicios de grandes empresas u ofertas de trabajo fraudulentas, entre otros. Por lo que, en la actualidad, los ciberdelincuentes nos usan como puerta de acceso para poner en práctica sus engaños, además el aumento de la sofisticación de los ciberataques, complica la facilidad para reconocerlos.

Mantenerte en constante aprendizaje te ayudará evitar situaciones similares a la que te relatamos a continuación, con el padre de la familia Cibernauta como protagonista.

¿Qué le ocurrió?

Nuestro protagonista se encontraba mirando fotografías dentro de una plataforma social muy popular, llamada “Fotogram” que permite subir tus fotografías favoritas, compartirlas con otros usuarios, valorarlas, etc.

Esa misma tarde, recibió un mensaje privado de uno de sus mejores amigos. Este le informaba de que su madre se había puesto muy enferma y debían recurrir a un tratamiento muy caro, solicitando a nuestro protagonista su ayuda económica.

El padre, muy preocupado, no dudó en realizar numerosas preguntas sobre el estado de salud de la madre. Sin embargo, su amigo no hacía más que ignorarlas e insistir en solicitarle una transferencia bancaria.

Sin conseguir respuestas, el padre de la familia Cibernauta decidió llamar a su amigo directamente y hablar con él.

Para sorpresa de ambos, el amigo le explicó que su madre se encontraba de maravilla, ya que justo acababa de volver de un viaje a Marbella.

Además, le comenta que en ningún momento se había conectado a la plataforma “Fotogram”, ni había enviado ningún mensaje.

Acto seguido, el amigo, con la mosca detrás de la oreja, intentó acceder a su cuenta en dicho servicio. Para su sorpresa le apareció un mensaje de error que le indicaba que su contraseña era incorrecta.

Al parecer, su cuenta había sido hackeada. Un ciberdelincuente había conseguido sus claves de acceso y se había hecho pasar por él para tratar de engañar a sus contactos.

Gracias a la intervención del padre de la familia Cibernauta y su buen juicio, su amigo supo que su cuenta había sido hackeada, evitando ser víctimas de una estafa.

Pero, ¿cómo supo el ciberdelincuente a quién atacar?

Una forma de obtener víctimas mediante técnicas de ingeniería social, es hacerse pasar por alguien de confianza para después, articular el fraude o engaño con mayor facilidad.

En este caso en concreto, el procedimiento que siguió el ciberdelincuente fue el siguiente:

1. El amigo del padre tenía la cuenta de una red social pública en la que todas sus publicaciones eran visibles a cualquier persona.
2. Supo que eran amigos de la infancia gracias a los comentarios, las publicaciones y fotos que aparecían en la cuenta.
3. El ciberdelincuente, al hackear la cuenta del amigo por un ciberataque de fuerza bruta, descubrió que el padre de la familia Cibernauta había estado haciendo numerosos viajes, por lo que intuyó que no carece de problemas económicos.
4. Finalmente, teniendo toda la información que necesitaba para hacerse pasar por su amigo, pone en marcha la trampa para intentar que el padre de la familia realice un pago, bajo la excusa de la enfermedad de la madre de un amigo, un tema claramente delicado y sensible.

A este tipo de estafas dirigidas a una persona específica, con el objetivo de robarle información o dinero, también se conoce como spear phishing.

¿Cómo los ciberdelincuentes encuentran tu información?

Quizás te estés preguntando cómo un ciberdelincuente puede conseguir la víctima adecuada y contextualizar o adaptar una trampa. La respuesta es el “OSINT”, que consiste en recopilar información a partir de fuentes de acceso público, y gracias a las redes sociales, blogs, foros y otros medios de comunicación, hoy en día es mucho más sencillo.

Esto depende, en gran medida, de la configuración de privacidad que tenga el usuario. Si dedicamos un tiempo a la configuración, resultará mucho más complejo poder realizar ciberataques personalizados, disponiendo, únicamente, del correo del usuario. Sin embargo, si descuidamos la información que publicamos y no prestamos atención a la configuración de privacidad y seguridad que facilitan los distintos servicios, con una solo foto, se podrá realizar, por ejemplo, una búsqueda en Google Images, y de este modo, recopilar más información.