En la actualidad, diferentes plataformas digitales, como las redes sociales o la banca en línea, permiten habilitar esta autenticación de dos factores, la cual consiste en validar la identidad de un usuario a través de un segundo mecanismo de verificación (adicional a la contraseña habitual), para que pueda acceder a sus perfiles; usualmente, se trata de un código de un solo uso enviado por mensaje de texto, correo electrónico o una app específica, representando una capa adicional de protección. El bot, empleado por los delincuentes, es un software automatizado que solicita este código de 2FA a las víctimas con técnicas de ingeniería social para engañarlas, robarlo y así acceder a sus cuentas.

¿Cómo funciona la ciberestafa?

Los sitios de phishing descubiertos por los expertos de Kasperskyimitan las páginas oficiales de inicio de sesión de bancos, servicios de correo electrónico, entre otras plataformas en línea. Cuando una persona intenta acceder a alguna de sus cuentas desde estos sitios e introduce su nombre de usuario y contraseña, el ciberdelincuente roba esa información para intentar ingresar, desde las plataformas oficiales, al perfil de la víctima quien; en caso de tener activada la 2FA, recibirá el código en su dispositivo móvil.

Inmediatamente, el usuario recibe una llamada de un bot que simula ser empleado de una empresa de confianza. Éste utiliza una grabación convincente para persuadirlo de que comparta o introduzca por su cuenta, el código de seguridad que recibió en su dispositivo. Con el código y la información que se acaba de proporcionar, el ciberdelincuente puede ingresar a la cuenta de la víctima.

Los delincuentes prefieren hacer llamadas en lugar de enviar mensajes, ya que estas aumentan las posibilidades de que la víctima responda rápidamente. Los bots automatizados pueden imitar el tono y la urgencia de una llamada legítima, para hacerla más convincente; otra de sus ventajas es que pueden controlarse a través de paneles en línea o plataformas de mensajería como Telegram.

Además, tienen varias funciones y planes de suscripción: se pueden personalizar para hacerse pasar por diferentes organizaciones, utilizan distintos idiomas e incluso, permiten elegir entre voces masculinas y femeninas. Las opciones avanzadas incluyen la suplantación de números de teléfono para que el identificador de llamadas los registre a nombre de una organización legítima.

“Cada vez es más fácil obtener los códigos 2FA. Antes, el delincuente lo hacía manualmente al estilo man-in-the-middle; esperaba que la víctima introdujera el token por su cuenta en las páginas de inicio de sesión al solicitárselo. Hoy en día, con los robots, este proceso se ha automatizado, por lo que es fundamental estar atentos y utilizar las mejores prácticas de ciberseguridad para protegernos y no convertirnos en víctimas”, afirma Fabio Assolini, director del Equipo Global de Investigación y Análisis (GReAT) para América Latina en Kaspersky.

Consejos importantes

Aunque la autenticación de dos factores es una importante medida de ciberseguridad, no es invulnerable. Para protegerte de estas sofisticadas estafas, Kaspersky te recomienda:

• Comprueba automáticamente si hay filtraciones de datos que afecten a tus cuentas vinculadas a direcciones de correo electrónico y números de teléfono, tanto tuyos como de tu familia. Si detectas una filtración, como mínimo, cambia tu contraseña inmediatamente.
• Crea contraseñas fuertes y únicas para todas tus cuentas. Los estafadores sólo podrán atacarte con bots OTP si conocen tu contraseña. Por tanto, genera claves de acceso complejas y guárdalas de forma segura.
• Asegúrate de que estás en un sitio legítimo antes de introducir información personal. Uno de los trucos utilizados por los estafadores es dirigir al usuario a un sitio de phishing sustituyendo algunos caracteres en la barra de direcciones.
• Nunca compartas los códigos de un solo uso con nadie ni los introduzcas en el teclado de tu teléfono durante una llamada. Recuerda que los empleados legítimos de bancos, tiendas, proveedores de servicios, e incluso las autoridades, nunca te los pedirán.

La entrada Phishing y bots: la nueva estrategia de ciberdelincuentes para robar códigos de 2FA, advierte Kaspersky se publicó primero en Tecnogus.

Los entornos de trabajo remotos e híbridos se han convertido en la nueva norma, transformando la dinámica laboral a nivel global. A medida que las empresas adoptan estas modalidades, el correo electrónico ha adquirido una importancia aún mayor, consolidándose como una herramienta esencial para las operaciones diarias. Esta creciente dependencia, ha convertido al correo electrónico en un vector de ataque para los ciberdelincuentes, quienes aprovechan para lanzar campañas de phishing cada vez más sofisticadas y dirigidas.

De acuerdo con el informe de la empresa de seguridad Egress, el 94 % de las organizaciones fueron víctimas de ataques de phishing en 2023, lo que representa un aumento del 40 % en los incidentes de phishing desde 2022. Así mismo, los ataques BEC (Business Email Compromise) siguen siendo una opción lucrativa. De acuerdo con Trend Research, las detecciones de correo electrónico empresarial comprometido (BEC) aumentaron a 446,234 en 2023, lo que representa un crecimiento del 16 %. La cantidad de ataques BEC detectados a través de Trend Micro Writing Style DNA alcanzó los 166,034, mientras que se detectaron 280,191 a través del motor antispam, reflejando un aumento del 13 %. 

Estos datos subrayan la necesidad crítica de implementar medidas de seguridad avanzadas para proteger a las organizaciones contra estas amenazas en constante evolución.

El mercado de vulnerabilidades en la era digital 

Una vulnerabilidad es una debilidad, defecto, falla o error que representa una amenaza a la confidencialidad, integridad y disponibilidad de los datos dentro de un sistema. Los adversarios buscan aprovechar dichas vulnerabilidades presentes en el hardware, el software y el firmware, para explotarse de manera que comprometan los sistemas en los que residen.

Recientemente, la firma consultora Omdia proporcionó un análisis comparativo que refleja que las vulnerabilidades de alto nivel tienen efectos perjudiciales en la seguridad de la información de una organización. Estas vulnerabilidades críticas pueden comprometer significativamente la integridad, confidencialidad y disponibilidad de los datos, poniendo en riesgo la operatividad y reputación de la empresa afectada. 

Próximos pasos

Con el aumento de la sofisticación de las amenazas cibernéticas, las consecuencias financieras para las organizaciones se han vuelto considerablemente más graves. Trend Micro, líder mundial en ciberseguridad, continúa con su compromiso de hacer del mundo un lugar más seguro para el intercambio de información digital a través de la gestión proactiva de vulnerabilidades y la divulgación oportuna, considerándolos pilares fundamentales para mitigar estos riesgos.

La visibilidad en todas las empresas es fundamental en la nueva normalidad de los entornos de trabajo remotos e híbridos. En ese sentido, es necesario descubrir, evaluar y mitigar continuamente los riesgos en su superficie de ataque digital para mantener seguros a sus usuarios y mantener la reputación de las compañías fuera de los titulares. 

Imagen de freepik

La entrada El phishing en tiempos de trabajo híbrido y remoto se publicó primero en Tecnogus.

Kaspersky ha descubierto un nuevo esquema de phishing dirigido a cuentas empresariales en Facebook, que utiliza la infraestructura legítima de la plataforma para enviar correos electrónicos engañosos amenazando con la suspensión de estos perfiles. Los correos, procedentes de Facebook, contienen mensajes alarmantes como: «Quedan 24 horas para solicitar la revisión. Vea por qué«, para que las víctimas ingresen a los enlaces que se les proporcionan.

Al hacer clic en estos enlaces, se accede a una página auténtica de Facebook que muestra una advertencia similar. Después, el usuario es redirigido a un sitio de phishing disfrazado con la marca Meta, que promete reducir el plazo y resolver el problema de 24 a 12 horas. Por último, el sitio de phishing solicita inicialmente información básica de la cuenta objetivo, seguida de una petición del correo electrónico de la cuenta, o del número de teléfono y la contraseña.

¿Cómo logran llegar estos mensajes a la bandeja de correo electrónico de la víctima? Los atacantes utilizan cuentas de Facebook ya comprometidas para enviar este tipo de notificaciones. Cambian el nombre del perfil por el mensaje amenazador y la imagen por un signo de exclamación. Después, crean publicaciones en las que se etiquetan a las cuentas de las empresas objetivo. Como la entrega se realiza a través de la infraestructura real de Facebook, estas alertas tienen la garantía de llegar a sus destinatarios.

«Hasta las notificaciones que parecen legítimas y proceden de una fuente de confianza como Facebook pueden ser engañosas. Es crucial examinar cuidadosamente los enlaces que se le pide que siga, especialmente cuando se trata de introducir datos o realizar pagos. Esto puede marcar una diferencia significativa a la hora de proteger las cuentas de su empresa de ataques de phishing», comenta Andrey Kovtun, experto en seguridad de Kaspersky.

Para evitar caer en estas tácticas de los ciberdelincuentes, Kaspersky recomienda:

• No abrir los enlaces recibidos en mensajes de correo electrónico sospechosos. Si se necesita iniciar sesión en la cuenta de su organización, escriba la dirección manualmente o utilice un marcador web.
• Utilizar soluciones que protejan a la empresa contra una amplia gama de amenazas, como las de la línea de productos Kaspersky Next que ofrecen protección en tiempo real, visibilidad de las amenazas, investigación y capacidades de respuesta de EDR y XDR para organizaciones de cualquier tamaño e industria. Dependiendo de sus necesidades actuales y de los recursos disponibles, puede elegir el nivel de producto más relevante y migrar fácilmente a otro si sus requisitos de ciberseguridad cambian.
• Invertir en capacitaciones adicionales de ciberseguridad para su personal a fin de mantenerlos al día con los conocimientos más recientes. Con la formación orientada a la práctica de Kaspersky Expert, los profesionales de InfoSec pueden avanzar en sus habilidades y ser capaces de defender a sus empresas contra ataques sofisticados. Puede elegir el formato más adecuado y seguir cursos en línea autoguiados o en directo dirigidos por un experto.

La entrada Kaspersky expone nuevos ataques de phishing dirigidos a cuentas comerciales en Facebook se publicó primero en Tecnogus.

El fraude digital se ha convertido en uno de los mayores desafíos económicos actuales, abarcando cualquier tipo de engaño o estafa realizada a través de medios digitales como internet, correo electrónico o redes sociales. Estos delitos buscan obtener información personal, datos financieros o dinero de las víctimas mediante tácticas engañosas y tienden a incrementarse en escenarios masivos como el Black Friday o durante eventos deportivos como la Copa América. Durante este último, los estafadores intensifican sus actividades, aprovechando el entusiasmo y la distracción de los aficionados.

Según Liliana Carreño, presidenta de Axede, “los estafadores utilizan tácticas cada vez más sofisticadas para hacerse pasar por entidades legítimas, engañando a las víctimas para que proporcionen datos sensibles o realicen transferencias de dinero. Entre las formas más comunes de fraude se incluyen el phishing, el fraude de tarjetas de crédito, el robo de identidad y las estafas de comercio electrónico”.

Para cometer estos delitos, los estafadores aprovechan el comportamiento humano con estrategias como:

• Explotación de la pasión futbolística: Los estafadores se hacen pasar por vendedores oficiales de entradas o merchandising de la Copa América.
• Presión por tiempo limitado: Crean ofertas «exclusivas» de último minuto para boletos de partidos importantes.
• Aprovechamiento de la euforia del torneo: Utilizan noticias falsas sobre jugadores o resultados para atraer clics en enlaces maliciosos.
• Manipulación emocional: Explotan el deseo de los fans de apoyar a sus selecciones para vender productos falsificados.
• Ofertas demasiado buenas: Promocionan paquetes de viaje o experiencias VIP a precios irrealmente bajos.
• Aprovechamiento de la curiosidad: Utilizan títulos o mensajes intrigantes para captar la atención y provocar clics en enlaces maliciosos.
• Efecto de autoridad: Se presentan como figuras de autoridad para aumentar su credibilidad y disminuir el cuestionamiento de sus víctimas.

Para disfrutar de la Copa América de manera segura, es fundamental seguir algunas recomendaciones clave. En primer lugar, los aficionados deben utilizar sólo canales oficiales para la compra de entradas y productos relacionados con el torneo; verificar siempre la autenticidad de las cuentas de redes sociales de equipos y jugadores para evitar fraudes; ser escépticos ante ofertas demasiado atractivas o urgentes, ya que pueden ser intentos de estafa; realizar todas las transacciones relacionadas con el torneo utilizando herramientas digitales confiables y plataformas seguras y verificadas; mantener sus dispositivos actualizados y utilizar conexiones seguras para proteger su información; y compartir su información personal solo en sitios verificados para garantizar seguridad y privacidad.

«Afortunadamente, la tecnología nos brinda herramientas innovadoras para hacer frente al fraude digital. Soluciones como la biometría de voz, de vida o documental, el reconocimiento facial y la autenticación multifactorial están revolucionando la seguridad en línea. Igualmente, es muy importante que los usuarios limiten la información que comparten a través de las diferentes plataformas, además de usar contraseñas sólidas, fuertes y únicas”, agregó la ejecutiva.

En términos generales, y de acuerdo con AXEDE, las proyecciones en el sector revelan que para el año 2025, alrededor de 1,400 millones de personas utilizarán la tecnología de reconocimiento facial para autenticar pagos, subrayando la creciente importancia de la biometría en la seguridad digital. Asimismo, se estima que para el mismo año, el 95% de las interacciones con consumidores serán ejecutadas por IA, incluyendo conversaciones telefónicas y en línea.

La vertiginosa evolución del fraude en línea se aprovecha de las vulnerabilidades psicológicas humanas. Por ello, comprender estas tácticas es fundamental para fortalecer nuestras defensas digitales y se convierte en una de las claves para contrarrestarlo. Axede se compromete a liderar la lucha contra el fraude en línea, proporcionando soluciones tecnológicas avanzadas y educación continua para crear un entorno digital más seguro para todos.

La entrada El phishing, fraude en tarjetas y robo de identidad son algunas tácticas que usan los estafadores en la Copa América se publicó primero en Tecnogus.

Check Point® Software Technologies Ltd. (NASDAQ: CHKP), proveedor líder en soluciones de ciberseguridad en la nube basadas en IA, presenta nuevas funcionalidades de seguridad de Check Point Harmony Email & Collaboration: sistema patentado de cuarentena, monitorización DMARC, almacenamiento y Smart Banners, que se suman a las 75 que ha lanzado desde  2023. Así mejoran las medidas preventivas para combatir la creciente amenaza de ciberataques con la suma de estas nuevas características que permiten una protección líder contra amenazas avanzadas en una única consola.

El electrónico sigue siendo el principal vector de ataque al que se lanzan campañas de phishing, malware y estafas de correo electrónico empresarial (BEC). Según una evaluación de CISA el 84% de los empleados caen en la trampa pasados los primeros 10 minutos de recibir correo de phishing, ya sea respondiendo con información sensible o interactuando con un enlace o adjunto falsificado. Ahora que los ataques de phishing son mejores gracias a la IA, es crucial que las empresas den máxima prioridad a la protección.

«Trabajamos para ofrecer una seguridad completa, así como por impulsar la innovación a través de nuestra nueva patente estadounidense de cuarentena unificada», comenta Gil Friedrich, VP de seguridad de correo electrónico.

 «Los ciberdelincuentes están encontrando nuevas formas de realizar estos emails y es necesario contar con una solución de seguridad 360 que contrarresta proactivamente tácticas de phishing sofisticadas», dijo Manuel Rodríguez, Gerente de Ingeniería de Seguridad para NOLA de Check Point Software.

La creciente complejidad de las amenazas que utilizan el correo electrónico requiere de estrategias de protección avanzadas, incluidos mecanismos de detección impulsados por IA. Como parte de Check Point Infinity Platform, las características de Harmony Email & Collaboration incluyen:

• Sistema patentado de cuarentena: esta característica agiliza la gestión del email y permite que los administradores y usuarios finales los visualicen y restauren en una consola única e integrada de Check Point todos los correos electrónicos en cuarentena tanto de Microsoft como de Harmony Email, lo que simplifica el proceso.
• Monitorización DMARC: permite a las empresas proteger su reputación de marca y prevenir ataques de suplantación a sus clientes y socios manteniendo una política DMARC estricta, sin impactar las operaciones comerciales.
• Archivado: permite almacenar todos los correos electrónicos internos, entrantes y salientes durante muchos años, así como el almacenamiento de otros servicios de la competencia y la recuperación en caso de pérdida de datos y usos legales.
• Smart Banners: educa a los usuarios sobre ciberseguridad, promueve el cumplimiento de políticas y permite la notificación precisa de correos electrónicos sospechosos, aunque sutilmente maliciosos.

La entrada Más del 80% de los empleados caen en la trampa del phishing se publicó primero en Tecnogus.

En el marco de la celebración del aniversario de X, dicha plataforma se ha convertido en un canal para la comunicación, la información y la interacción social. Sin embargo, con la popularidad de esta plataforma, también ha surgido un peligro latente: el phishing.

El phishing es una táctica en el mundo cibernético, donde los atacantes se disfrazan de manera hábil como entidades confiables para engañar a los usuarios desprevenidos y obtener acceso a información personal delicada. Aprovechando canales como mensajes directos, respuestas a tweets populares e incluso perfiles falsos que simulan la legitimidad de figuras de autoridad, los estafadores buscan obtener no solo datos sensibles, sino también contraseñas e incluso dinero. 

Phishing en X

Los hackers que operan en X emplean las mismas tácticas y técnicas de phishing que en otras redes sociales. Utilizan perfiles falsos o mensajes fraudulentos que aparentan provenir de la propia plataforma para engañar a los usuarios y obtener información confidencial. Puede enviar mensajes falsos haciéndose pasar por X, con la intención de persuadir a los usuarios para que revelen información sensible, como credenciales de inicio de sesión, datos personales o detalles de tarjetas de crédito. 

Para contrarrestar esta amenaza, la red social ha establecido claramente que solo envían correos electrónicos a los usuarios desde dos dominios: @twitter.com o @e.twitter.com lo que sirve como una pauta importante para que los usuarios distingan entre comunicaciones legítimas y fraudulentas. 

Estos ataques incluso pueden desencadenar en otros métodos fraudulentos relacionados, como el engaño conocido como «pago por seguidores». En este método de phishing, los usuarios reciben mensajes de parte de los hackers ofreciendo aumentar su número de seguidores a cambio de una suma nominal, a menudo alrededor de los cinco dólares. Sin embargo, al proporcionar su información personal y los detalles de su tarjeta de crédito, abren inadvertidamente la puerta para que accedan a sus cuentas bancarias y realicen retiros no autorizados, o incluso para que inicien sesión en sus cuentas y perpetúen la estafa utilizando su lista de seguidores como objetivo. 

¿Cómo podemos protegernos del phishing en X?

• Verificar la autenticidad de los mensajes: Antes de hacer clic en cualquier enlace o proporcionar información personal, es fundamental verificar la autenticidad del remitente. Siempre es recomendable verificar la cuenta del remitente, buscar señales de autenticidad como el símbolo de verificación azul o revisar su historial de tweets para confirmar su legitimidad.
• Evitar hacer clic en enlaces sospechosos: Si un enlace parece sospechoso o proviene de una fuente desconocida, es mejor abstenerse de hacer clic en él. En su lugar, si es necesario acceder a un sitio web, es preferible escribir la dirección manualmente en el navegador.
• Mantener la cautela con los mensajes directos: Los mensajes directos en X son un objetivo común para el phishing. Mantenga cautela al interactuar con dichos mensajes directos, especialmente si contienen enlaces o solicitudes inusuales.
• Utilizar autenticación de doble factor: Habilitar la autenticación de dos factores puede proporcionar una capa adicional de seguridad a su cuenta. Esto dificulta que los estafadores accedan a la cuenta incluso si obtienen las credenciales de inicio de sesión.
• Reportar actividad sospechosa: Si encuentra un mensaje o cuenta sospechosa, no dude en reportarla. La plataforma tiene medidas para abordar el phishing y otras actividades maliciosas, y reportarlas puede ayudar a proteger a otros usuarios.

El phishing en X representa una amenaza real para la seguridad en línea. Sin embargo, con un poco de precaución y conocimiento, se puede proteger de caer en dichas trampas digitales. Al permanecer alerta, verificar la autenticidad de los mensajes y seguir prácticas de seguridad sólidas, podrá disfrutar de la experiencia en esta red social de manera más segura y protegida.

Acerca de Trend Micro

Trend Micro, líder mundial en ciberseguridad, ayuda a que el mundo sea seguro para el intercambio de información digital. Impulsada por décadas de experiencia en seguridad, investigación de amenazas globales e innovación continua, nuestra plataforma unificada de ciberseguridad protege a más de 500.000 organizaciones y millones de personas en nubes, redes, dispositivos y endpoints.

Trend Vision One ofrece técnicas avanzadas de defensa contra amenazas, detección y respuesta extendidas (XDR) e integración en todo el ecosistema de TI, incluidos AWS, Microsoft y Google, lo que permite a las organizaciones comprender, comunicar y mitigar mejor el riesgo cibernético.

Nuestro equipo de investigación de amenazas globales de Trend ofrece inteligencia y conocimientos incomparables que impulsan nuestra plataforma de ciberseguridad y ayudan a proteger a las organizaciones de todo el mundo de cientos de millones de amenazas diarias. Contamos con 7000 empleados en 65 países, especialmente centrados en la seguridad y apasionados por hacer del mundo un lugar mejor y más seguro. Trend permite a las organizaciones simplificar y proteger su mundo conectado. TrendMicro.com

La entrada Protegiendo su identidad en la Era del Phishing: Amenazas en X se publicó primero en Tecnogus.

El robo de datos personales se ha convertido en una de las principales preocupaciones en la era digital. Los ciberdelincuentes utilizan diversas estrategias para obtener información confidencial, como correos electrónicos falsos que suplantan la identidad de empresas reconocidas.

Un caso real: intento de infección con malware suplantando a PayU

Recientemente, recibí un correo electrónico que simulaba ser de PayU Colombia, una reconocida plataforma de pagos online. El asunto del mensaje era » Recaudo prejurídico-payucolombia» y el contenido indicaba supuestamente se había retenido un pago por una supuesta reversión que yo había solicitado, firmado por Ricardo Pumarejo, Dpto. de Normas y Cumplimiento. De entrada, el error en el título hace sospechar a cualquiera (escribir payucolombia pegado y no Pay U Colombia).

El correo electrónico me invitaba a descargar un archivo desde un enlace o desde un adjunto. Con solo pasar el puntero (sin ningún click) sobre el adjunto, aparece la extensión .tbz, un formato de archivo comprimido que seguramente usan los delincuentes para burlar los análisis antivirus que realizan compañías como Gmail o Microsoft.

Evidentemente, no descargué ningún archivo. Si bien el correo refiere los números iniciales de una tarjeta de crédito y, contrario a lo que veíamos años antes, no se observan clamorosos errores ortográficos, la fachada podría hacer creíble este engaño, pero aquí se debe apelar a la desconfianza para no ser víctimas de los delincuentes, sin olvidar que Colombia está en el top 5 de países víctimas de ciberataques en Colombia.

Por último, revisé la dirección del correo remitente y fue una nueva ‘bandera roja’ para identificar un intento de infección con malware. Desde secuestro de datos a robo de información, los ataques como este cada vez son más frecuentes en Colombia y otros países de Latinoamérica, razón por la cual es indispensable prepararse para enfrentar estas amenazas.

Consejos para no caer en engaños por correo electrónico

Al calor de la recepción de un correo así, no es extraño que las personas descarguen los documentos adjuntos sin fijarse en los detalles o realizarse unas preguntas, por ello es importante tomarse lo que llamo “los 10 segundos de seguridad”, que abre una pequeña franja temporal para organizar ideas y darle espacio a la razón, no a la emoción. En esos 10 segundos se hace una pausa para no actuar impulsivamente y, de esta forma, seguir con una fase de análisis.

Esperar y consultarse

Luego de esos “10 segundos de seguridad” tan necesarios para frenar ese caballo desbocado de la curiosidad y/o inseguridad, vale la pena hacerse preguntas para validar la comunicación.

• ¿Hice transacciones con Pay U?

Si su respuesta es sí, podría continuar con:

• ¿Solicité alguna reversión?
• ¿Mi tarjeta de crédito inicia por el número citado en el correo?

Es muy poco probable que usted obtenga 3 respuestas afirmativas en este caso puntual. Ya sea para este correo o cuando realice este ejercicio con e-mails que reciba y le parezcan extraños, si usted obtiene más de un Sí, lo mejor es que se contacte directamente con las compañías. Nunca descargue ningún archivo adjunto ni responda los correos. Insisto, es mejor pecar de desconfiado que ser crédulo y abrirle la puerta a los ciberdelincuentes.

Siempre acudir directamente a las compañías por sus canales de comunicación oficiales, te podrá dar la seguridad de recibir información fiable para confirmar que, efectivamente, este correo es falso.

Más consejos para evitar el phishing:

• Desconfía de los correos electrónicos que solicitan información personal o que ‘obliguen a descargar’ un archivo: PayU u otras empresas legítimas nunca te solicitarán datos confidenciales por correo electrónico.
• Verifica la dirección de correo electrónico del remitente: Es bueno asegurarse de que la dirección coincida con un correo electrónico oficial de la empresa que supuestamente envía el mensaje.
• No hagas clic en enlaces sospechosos ni descargues archivos adjuntos: Si tienes alguna duda sobre la autenticidad de un correo electrónico, no hagas clic en ningún enlace ni descargue los archivos adjuntos.
• Si tienes dudas, pregunta a alguien conocido: Es posible que recibas un correo y genere dudas o simplemente no sepas qué hacer en un caso similar. Para estos escenarios, pregunta a un familiar o a tus amigos sobre los pasos a seguir. Seguro tienes alguien en tu núcleo cercano que entiende de tecnología y te guiará en el proceso de forma segura.
• Mantén actualizado tu antivirus y software de seguridad: Esto te ayudará a protegerte de malware y otras amenazas informáticas.

Fuente de la portada: Imagen de freepik

La entrada Robo de datos a través de correos falsos de PayU: ¡No caigas en la trampa! se publicó primero en Tecnogus.

Mientras navegamos por las dimensiones digitales del amor y el afecto en este Día de San Valentín de 2024, el panorama es vasto y plagado de trampas. Ya en enero se crearon 18.171 nuevos dominios que contenían ‘Valentine’ o ‘amor’, lo que indica un aumento del 39% con respecto al mes anterior y un aumento del 17% con respecto al año anterior. De manera alarmante, se descubrió que 1 de cada 8 de estos dominios eran maliciosos o riesgosos, lo que subraya los peligros ocultos en nuestra búsqueda de conexión.

La amenaza no termina ahí; semanalmente, 1 de cada 27 organizaciones enfrentó intentos de acceder a estos peligrosos sitios web: un marcado aumento del 34 % con respecto al mes anterior y un enorme 175 % con respecto al enero anterior. Esta tendencia pone de relieve los crecientes riesgos de ciberseguridad que acompañan a eventos importantes como el Día de San Valentín.

El atractivo seductor de las estafas y el phishing

Los ataques de phishing, la forma más común de ingeniería social, manipulan a los usuarios para que divulguen información confidencial o hagan clic en enlaces maliciosos. Con el auge de herramientas de inteligencia artificial como ChatGPT, estas estafas se han vuelto más sofisticadas y aprovechan dominios falsos y chatbots para imitar entidades legítimas o incluso posibles parejas románticas.

“Para muchos eventos importantes, los estafadores acostumbran anticiparse a la fecha, difundiendo correos electrónicos de phishing y spam promocionando ofertas especiales para atraer a los usuarios a ingresar a sitios web fraudulentos y potencialmente maliciosos, lo que podría provocar pérdidas de dinero, robo de información o incluso infecciones de malware”, afirma Manuel Rodríguez, Gerente de Ingeniería de Seguridad para NOLA en Check Point Software.

Estas acciones podrían ser mediante promociones de descuento, como se ve en un correo electrónico enviado desde “Defense Gutters Offer” que sugiere una oferta de “20% de descuento, más un 10% adicional para personas mayores y personal militar”, pero contiene un enlace al sitio web meioside\. xyz, que se registró por primera vez en enero de 2024 y varios proveedores de seguridad lo detectaron como malicioso.

Un ejemplo adicional es un correo electrónico enviado desde la dirección info@bestqualitymak\.com, que no se puede rastrear hasta un sitio web activo. Este correo electrónico ofrece completar una encuesta y recibir una taza especial de Stanley Valentine, con una foto que parece ser falsa para la marca Stanley real (que tiene un sitio web oficial: stanley1913.com). También añade una sensación de urgencia al decir que «esta oferta de encuesta vence hoy». Los proveedores de seguridad identifican el sitio web en el enlace (bajo el dominio aimhighfly\.com) como malicioso y actualmente no está activo. Es posible que esto se haya utilizado para robar información personal y de pago.

¿Cómo detectar correos electrónicos de phishing?

• Archivos adjuntos inusuales: tenga cuidado con los correos electrónicos con archivos adjuntos sospechosos, como archivos ZIP o documentos que requieren habilitar macros.

• Gramática o tono incorrecto: aunque la IA ha mejorado la calidad de los correos electrónicos de phishing, las inconsistencias en el lenguaje o el tono aún pueden ser señales de alerta.

• Solicitudes sospechosas: cualquier correo electrónico que solicite información confidencial o haga demandas inusuales debe tratarse con escepticismo.

Mantenerse a salvo

• No responda, ni haga clic en enlaces ni abra archivos adjuntos: interactuar con un correo electrónico sospechoso solo aumenta el riesgo.

• Informar y eliminar: informar correos electrónicos sospechosos antes de eliminarlos puede ayudar a proteger a otros de ser víctimas de estafas similares.

• Invierta en soluciones antiphishing: herramientas como Check Point Harmony Email & Collaboration Suite Security que ofrece protección integral contra intentos de phishing, salvaguardando sus comunicaciones digitales.

Este Día de San Valentín, mientras abrimos nuestros corazones al amor, abramos también nuestros ojos a los riesgos que acompañan a los compromisos en línea. Si nos mantenemos informados sobre las tácticas utilizadas por los hackers y tomamos medidas proactivas para protegernos, podemos garantizar que nuestras experiencias en línea sigan siendo positivas y seguras. Recuerde, cuando se trata de phishing, la concienciación es su mejor defensa.

Los correos electrónicos de phishing son uno de los tipos de ciberataques más comunes porque son efectivos y fáciles de realizar. Si bien es importante conocer las tácticas de phishing más comunes y conocer las mejores prácticas antiphishing, las soluciones antiphishing pueden ayudar a detectar y bloquear intentos de campañas de phishing. Check Point Harmony Email & Collaboration Suite Security brinda protección completa para Microsoft 365, Google Workspace y todas sus aplicaciones de colaboración y uso compartido de archivos.

La entrada Protegiendo el corazón y la billetera contra el phishing este día de San Valentín se publicó primero en Tecnogus.

El phishing de consentimiento es una táctica de estafa que existe desde hace muchos años. Pero mientras que los estafadores de phishing de consentimiento se han dirigido históricamente a grandes sectores de usuarios de criptomonedas a través de la proliferación de aplicaciones de criptomonedas falsas, los estafadores de romance (también conocidos como estafadores de carnicería de cerdos) parecen haber adoptado esta técnica con gran efecto en los últimos años.

El phishing de consentimiento se diferencia de otras estafas de criptomonedas por un pequeño pero importante detalle. Normalmente, los estafadores engañan a sus víctimas para que les envíen criptomonedas, generalmente a través de una falsa oportunidad de inversión o haciéndose pasar por otra persona. Pero en una estafa de phishing de consentimiento, el estafador engaña al usuario para que firme una transacción de blockchain maliciosa que otorga a la dirección del estafador la aprobación para gastar tokens específicos dentro de la cartera de la víctima, lo que permite al estafador vaciar la dirección de la víctima de esos tokens a voluntad. Algunas víctimas han perdido decenas de millones por estas estafas.

Es importante tener en cuenta que, en general, los estafadores de consentimiento envían los fondos de la víctima a un monedero distinto del que ha recibido la aprobación para realizar transacciones en su nombre. El patrón en la cadena suele ser el siguiente:

• La dirección de la víctima firma la transacción que autoriza a la segunda dirección gastar sus fondos
• La segunda dirección, a la que nos referiremos como la dirección aprobada del gastador, ejecuta la transacción para mover los fondos a una nueva dirección de destino.

En general, si las transacciones se realizan de esta manera, y la dirección aprobada del gastador es la que inicia la transacción que vacía el dinero, en lugar de la dirección de la víctima, como se esperaría en una transacción no maliciosa, es probable que se trate de un caso de phishing de consentimiento. Sin embargo, sería necesario investigar más a fondo para saberlo con certeza.

Muchas aplicaciones descentralizadas (dApps) en blockchains habilitadas para contratos inteligentes, como Ethereum, requieren que los usuarios firmen la aprobación de transacciones que dan permiso a los contratos inteligentes de las dApps de mover los fondos en posesión de la dirección del usuario. Las aprobaciones concedidas a las dApps protegidas suelen ser seguras porque los contratos inteligentes correctamente diseñados sólo pueden utilizar esa aprobación cuando el usuario se lo indique, o cuando dicha aprobación sea necesaria para el funcionamiento normal de la dApp. En esos casos, lo normal es que la dirección del usuario de la dApp sea la que inicie la transacción para gastar los fondos. Pero, los estafadores de consentimiento pueden aprovecharse del hecho de que muchos usuarios de criptomonedas están acostumbrados a firmar aprobaciones de transacciones – el truco está en qué permisos se dan, y la fiabilidad de la parte que recibe ese permiso. Por ejemplo, en una estafa de phishing de consentimiento, los estafadores promocionaron una historia falsa de una estafa de de este tipo de Uniswap, y crearon una página falsa de Etherscan en la que los usuarios podían comprobar la aprobación de sus transacciones conectando sus monederos y firmando una aprobación de transacción para ver si habían sido víctimas – esa última transacción era el núcleo de la estafa real de phishing de consentimiento.

Sin embargo, las investigaciones sugieren que los estafadores de consentimiento se dirigen cada vez más a víctimas concretas, entablan relaciones con ellas y utilizan tácticas asociadas a estafas románticas para convencerlas de que firmen la aprobación de una transacción. Taylor Monahan (alias @tayvano_), jefe de producto de Metamask, ha realizado un seguimiento del phishing de consentimiento al estilo de las estafas románticas en un panel personalizado de Dune Analytics.

Identificamos un conjunto de 1,013 direcciones implicadas en lo que parece ser phishing de consentimiento selectivo partiendo de una lista más pequeña de direcciones de phishing de consentimiento cuyos propietarios se sabe que utilizan tácticas de estafa romántica. A continuación, identificamos otras direcciones conectadas a las de la lista inicial que habían realizado transacciones similares, lo que nos permitió construir una red más completa de la actividad en cadena de los usurpadores de identidad interconectados. Calculamos que las víctimas de las direcciones con las que empezamos, más las que identificamos en función de su patrón de actividad, han perdido aproximadamente 1,000 millones de dólares por estafas de phishing de consentimiento desde el inicio de la elaboración de nuestro conjunto de datos en mayo de 2021. Si bien es importante tener en cuenta que este total de 1,000 millones de dólares es una estimación basada en patrones en cadena, y que parte podría representar el lavado de fondos ya controlados por los estafadores, es probable que esta cifra sea solo la punta de un iceberg mucho más grande. Las estafas románticas se denuncian muy poco, y nuestro análisis partió de un conjunto limitado de casos denunciados.

Los presuntos estafadores de phishing de consentimiento que estamos rastreando vieron su pico de ingresos en mayo de 2022. En total, en 2022 las víctimas perdieron unos 516.8 millones de dólares debido al phishing de consentimiento, en comparación con solo 374.6 millones de dólares en 2023 hasta noviembre. Al igual que muchas otras formas de delitos basados en criptomonedas, la gran mayoría de los robos por phishing de consentimiento son obra de unos pocos actores con mucho éxito. Podemos ver esto en el siguiente gráfico de distribución, que muestra los ingresos por phishing de consentimiento de nuestras 1,013 direcciones durante el periodo de tiempo estudiado, y la cantidad acumulada de todo el valor robado mediante phishing de consentimiento por las direcciones de nuestra muestra en orden descendente.

La dirección de phishing de consentimiento con más éxito probablemente robó 44.3 millones de dólares a miles de direcciones de víctimas, lo que representa el 4.4% del total estimado robado durante el periodo estudiado. Las diez mayores direcciones de phishing de consentimiento suman el 15.9% de todo el valor robado durante el periodo estudiado, mientras que las 73 mayores suman la mitad de todo el valor robado.

Creemos que la industria puede abordar el problema de la estafa de phishing de consentimiento de varias maneras, desde la educación de los usuarios hasta el empleo de tácticas de reconocimiento de patrones similares a las que utilizamos para recopilar estos datos. En términos generales, las direcciones y monederos relevantes en las estafas de phishing de consentimiento son:

• Monederos de gastadores autorizados que las víctimas son engañadas para que designen como aprobados para gastar los fondos de su monedero.
• Direcciones de destino a las que se drenan los fondos de las víctimas
• Direcciones de consolidación donde se reúnen los fondos drenados de muchas víctimas

Los fondos suelen trasladarse de las direcciones de consolidación a los puntos de cobro -principalmente bolsas centralizadas-, como vemos en el gráfico siguiente.

Basándose en los patrones identificados anteriormente, los equipos de cumplimiento de las bolsas podrían supervisar la blockchain en busca de monederos de consolidación sospechosos de phishing de consentimiento con gran exposición a direcciones de destino. Así, podrían ver en tiempo real cuándo esos monederos mueven fondos a su plataforma y tomar medidas como congelar automáticamente los fondos o informar a las fuerzas de seguridad. En términos más generales, el sector puede trabajar para educar a los usuarios para que no firmen la aprobación de transacciones a menos que estén absolutamente seguros de que confían en la persona o empresa del otro lado, o entiendan el nivel de acceso que están concediendo.

La entrada Las estafas de phishing de consentimiento han experimentado un crecimiento explosivo en los últimos dos años se publicó primero en Tecnogus.

Durante la temporada de fin de año, cada vez más usuarios están optando por los canales digitales para realizar sus compras. Si bien, tecnologías como la IA generativa están siendo aprovechadas por las empresas para mejorar la experiencia online, también están siendo usadas por ciberdelincuentes para disfrazarse de las marcas de confianza, haciéndose atractivos para que las víctimas hagan clic en un link malicioso o abran archivos adjuntos con malware.

Uno de los principales canales utilizados por los ciberatacantes para lograr este objetivo es el correo electrónico, enviando e-mails falsos (phishing) a las personas y ahora, con IA generativa, no sólo están aumentando la cantidad de e-mails, sino también su efectividad al hacerlos más convincentes según el último análisis de IBM X-Force. Ante las nuevas campañas de phishing creadas con IAG, estas son cinco recomendaciones de IBM para protegerse durante la temporada de fin de año:

• Si algo le genera dudas, vaya directamente a la fuente. Si se pregunta sobre la legitimidad de un correo electrónico, levante el teléfono y verifique la veracidad de la información directamente con la organización o con la persona correspondiente. Considere elegir una palabra “clave” que pueda usar con amigos cercanos y familiares para validar la legitimidad de una llamada, esto en el caso de vishing o de estafas telefónicas generadas con IA (Deep Fake).
• Tenga los ojos bien abiertos, siempre desconfíe. Una de las tácticas más usadas en el último año es el secuestro de conversaciones de e-mail o thread hijacking, en el que un atacante compromete la cuenta de una persona y responde a las conversaciones de correo electrónico como si fuera la víctima. Por eso, si recibe un correo electrónico inesperado, incluso si proviene de alguien confiable, no haga clic en los archivos o enlaces que contiene.
• Analice cuidadosamente la información de cada correo. Revise el e-mail completo del remitente. Una dirección real no debe contener errores tipográficos o letras de otros alfabetos como “r” y “г”. Si el mensaje tiene links, compruebe a dónde llevan pasando el cursor sin hacer clic. Evalúe si el tono o el idioma en el e-mail coinciden con el remitente. Si le parece fraudulento, repórtelo a quien ‘supuestamente’ lo envió poniéndose en contacto directamente.
• Use un e-mail exclusivamente para las compras. Hacer compras con su e-mail corporativo puede poner en riesgo a la compañía para la que trabaja, más aún si utiliza la misma contraseña para iniciar sesión en los sistemas de la empresa. Se recomienda crear una dirección de correo electrónico que pueda aprovechar únicamente para realizar compras en Internet y asegurarla con una contraseña alfanumérica larga y con autenticación multifactor.
• Sólo use las aplicaciones o sitios web en los que confía. Regístrese para hacer compras o recibir ofertas por e-mail solo en los lugares que conoce y tenga especial cuidado con los descuentos que recibe por parte de los ‘comercios’ de los que nunca ha oído hablar. Si por error ingresa a una página sospechosa, no registre ninguna información y ciérrela inmediatamente.

A medida que los canales de compra continúan digitalizándose, una buena higiene de seguridad es imprescindible. Debe ser un compromiso no solo durante la temporada de compras, sino en el día a día. Aprender constantemente sobre las ciberamenazas y entrenarse a sí mismo para formar hábitos de seguridad a lo largo del año, es el mejor mecanismo de protección que se puede tener.

La entrada Phishing creado con IA Generativa: ¿Cómo protegerse? se publicó primero en Tecnogus.