La ciberseguridad empresarial es a la vez urgente e importante. Por una parte, los datos superan ya el valor de la mayoría de las materias primas con las que trabaja una empresa. Por otra, la velocidad a la que los hackers elaboran nuevos virus, o nuevos sistemas para robar la información o causar daño es asombrosa. Esta semana te hablamos de un nuevo fraude de suplantación de identidad por SMS.

A mediados del mes pasado se detectó una campaña de SMS remitida supuestamente por Correos. El objetivo era dirigir a la víctima a una página web falsa. Recordemos que esta técnica de suplantar una página de una empresa o institución en la web se denomina phising. Se pretendía robar credenciales, datos personales o bancarios de la víctima que inocentemente clicaba en el enlace recibido por SMS. Es un caso clave de suplantación de identidad por SMS.

El texto del mensaje era similar a este:

Estimado cliente, su paquete no se ha podido entregar el 11/10 Porque no se han pagado las tasas de la aduana (1€). Siga las instrucciones: http://Xhx.me/uZ4yZ [hemos puesto un enlace falso para evitar riesgos]

Indicadores de suplantación de identidad por SMS

Veamos en el mensaje que hay varios indicadores de falsedad:

Por una parte, incluye una llamada a la acción para obtener un beneficio (recepción de un paquete).  Si nos fijamos en el enlace, es una  URL acortada que no responde a la web que dice ser (de hecho, en este caso los hackers ni siquiera se preocuparon de “maquillar” un poco la url para que pareciera de correos). Por último, si se pincha en el enlace (cosa que no se debe hacer) remite a una web que pertenece a otro dominio diferente al de la  página oficial https://www.correos.es. El enlace está dentro del dominio: https://correos.es.packageupdate.club  Claramente es un dominio diferente (si fuera el dominio de correos la URL comenzaría por https://www.correos.es/)

Sin embargo, donde sí han sido muy hábiles los hackers, es en que el mensaje se ubica en la misma sección donde anteriormente han aparecido mensajes similares de Correos por SMS (si los hemos recibido).

Los hackers han logrado pasarse por Correos, porque han utilizado un sistema de suplantación de identidad por SMS. Hay varias páginas desde las que se pueden enviar SMS falsos (otra cosa es que sea legal usurpar la identidad de un remitente). Por ejemplo, Smsgang /, Spofbox, o Pranktexts. Estas webs simulan que su servicio es una broma inocente, pero varias de las opciones que proponen conllevarían acciones ilegales. Los sistemas que utilizan los hackers no están tan accesibles, y permiten cambiar el campo FROM de los mensajes de SMS. Así, el usuario cree recibir un mensaje remitido por un remitente confiable.

Recomendaciones de ciberseguridad ante el phising

Ante este tipo de acciones fraudulentas, compartimos contigo las recomendaciones del Instituto Nacional de Ciberseguridad, son:

  1. TEN UN ANTIVIRUS: Ten siempre un antivirus con antiphising para correo y páginas web.
  2. Mantén actualizados tus sistemas y el antivirus, con las firmas al día y activado.
  3. ESTATE ALERTA: Permanece atento para reconocer los ataques de ingeniería social (mensajes urgentes o aduladores).
  4. VERIFICA: Si tienes duda de la veracidad de un mensaje o de su procedencia, contacta por otro medio con el remitente.
  5. CHEQUEA LAS URL: No hagas clic en una URL para introducir tus datos sin antes pasar el ratón sobre el enlace para comprobar si el sitio al que te redirige es legítimo, y verifica que sea segura (httpS:).
  6. CUIDADO CON LAS URL ACORTADAS: No se puede saber si el destino es legítimo o no. Los sitios legales nunca las utilizan para pedirte datos.
  7. CUIDADO CON LOS FORMULARIOS: Antes de introducir datos en un sitio web, lee y comprende la política de privacidad y el aviso legal.
  8. PRECAUCIÓN CON LOS ADJUNTOS. Ten precaución al  descargar ficheros adjuntos en correos electrónicos, SMS, mensajes en WhatsApp o redes sociales, aunque sean de contactos conocidos.
  9. CUIDADO CON LAS DESCARGAS. Al descargar un fichero, no hagas clic nunca en “habilitar el contenido” salvo que confíes en la fuente de donde procede.
  10. DESCONFIA DE LOS DESCONOCIDOS. No abras SMS, ni correos de usuarios desconocidos o que no hayas solicitado: hay que eliminarlos directamente.

Esperamos que con estas recomendaciones no muerdas el anzuelo de un hacker que intenta robar tus datos. Pero, si te pasa, no lo dudes: informa a tu banco o la entidad suplantada, y denuncia cuanto antes.