Ataques de suplantación de proveedores: ¿qué son y cómo protegerse?

Un reciente estudio revela que la mayoría de empresas consultadas reconoce haber recibido ataques de suplantación de proveedores. Explicamos en qué consiste esta amenaza y ofrecemos unos consejos para evitar posibles fraudes.

Los proveedores son esenciales para garantizar el funcionamiento de cualquier empresa. Como, por ejemplo, una correduría de seguros Pero pueden acabar convirtiéndose en un quebradero de cabeza si se utilizan como gancho en los ciberataques de ingeniería social. En ese caso, estaríamos hablando de ataques de suplantación de proveedores.

¿Qué son los ciberataques de ingeniería social?

Para aquellos que no estén familiarizados con los ciberataques de ingeniería social, son utilizados por los ciberdelincuentes para suplantar a entidades o personas de confianza. Y a través de ellos se persigue:

• Manipular psicológicamente a los usuarios de Internet.
• Robar información de las víctimas o descargar malware que facilite infectar o tomar el control de sus dispositivos.

Mediante la suplantación de identidad, los ciberdelincuentes pretenden que cliquemos en un enlace, descarguemos un archivo para infectar nuestros equipos o revelemos información confidencial –como datos personales, de acceso o bancarios–. Y para lograrlo, como veremos a continuación, se sirven de técnicas como el email spoofing.

¿Cuál es el objetivo de este tipo de ataques?

En cuanto a los ataques de suplantación de proveedores, el principal objetivo de este tipo de ciberamenaza, como revela su denominación, es suplantar la identidad de un proveedor de la empresa. Y engañar al cliente para que modifique su base de datos e incluya una nueva cuenta bancaria controlada por los estafadores.

Según advierten desde el Instituto Nacional de Ciberseguridad (Incibe), los ciberdelincuentes suelen estudiar a sus víctimas con el fin de obtener la mayor información posible. Para ello:

• Utilizan información pública como la disponible en la página web corporativa de la empresa o las redes sociales empresariales.
• Vulneran la seguridad de los sistemas del proveedor al que van a suplantar, o la víctima, consiguiendo más información aún.
• Usan los sistemas vulnerados de la empresa, como el servidor de correo electrónico, para perpetrar el ataque.

¿Qué técnicas utilizan los ciberdelincuentes?

En los ataques de suplantación de proveedores se suelen emplear técnicas específicas para no alertar a las víctimas. Entre ellas:

Falsificación del correo electrónico

Para falsificar el correo del proveedor, los ciberdelincuentes se sirven del email spoofing o de la técnica conocida como typosquatting:

• En el caso del spoofing, ya nos hemos ocupado de él en el blog para corredores de seguros de Senassur. La variante email spoofing consiste en suplantar la dirección de correo electrónico de un persona o entidad de confianza, como los proveedores, y solicitar información personal a las víctimas. Para engañar a estas últimas, observan desde Secure&IT, los ciberdelincuentes cambian algunas propiedades de los emails, como los campos from, return-path o reply-to.
• Por lo que respecta al typosquatting, los atacantes adquieren dominios web similares a los de un proveedor. Y variando algún carácter, consiguen que, a simple vista, parezcan legítimos.

Imitación de la redacción y forma de expresión

Si los ciberdelincuentes han estudiado meticulosamente al proveedor que desean suplantar y cuidan hasta el último detalle, llegan a enviar correos electrónicos que no despiertan ninguna sospecha. Y ello es así porque:

• En el email no se aprecian faltas de ortografía ni errores gramaticales que puedan alertar a los clientes.
• Y la forma de expresión es similar a la del proveedor. De esa manera, las víctimas creerán que se encuentran ante una comunicación legítima.

Simulación de la estética y firma del correo

De igual modo, los ciberdelincuentes simulan la estética y la firma de los correos electrónicos para no despertar sospechas.

¿Cómo evitar los ataques de suplantación de proveedores?

Los ciberdelincuentes explotan diferentes vías para intentar engañar a sus víctimas. Como, por ejemplo, los ataques de suplantación de proveedores. Acciones que parecen legítimas y que pueden suponer un auténtico problema si el cliente acaba realizando una transferencia bancaria al estafador. Para evitarlo, conviene tener en cuenta los siguientes consejos:

• Comprobar la dirección del remitente. En nuestro día a día, solemos comportarnos como autómatas cuando hacemos uso de las tecnologías de la información y la comunicación (TIC). Sin embargo, las prisas no son buenas consejeras. Prestar atención a las cabeceras de los correos electrónicos y verificar que la dirección de los remitentes es legítima es algo que debería formar parte de nuestros hábitos.
• Eliminar los correos electrónicos sospechosos. Aunque parezca de un proveedor, si al examinar la dirección del remitente de un email nos damos cuenta de que no es legítima, lo mejor es eliminar el correo. Y aunque en el cuerpo lo solicite, no contestarlo.
• Extremar la precaución con los archivos adjuntos y los enlaces. Sobre estos últimos, como se ha comentado anteriormente, los ciberdelincuentes utilizan la técnica denominada typosquatting. Basta cambiar un carácter para que el remitente del correo piense que va a acceder a un dominio auténtico.
• Contactar con el proveedor. Es de sentido común: ante un correo en el que se pida modificar los datos bancarios, realizar una transferencia o facilitar información confidencial, hay que ponerse en contacto con el proveedor.
• Denunciar el incidente. Por último, si nuestro proveedor no ha sido quien ha enviado el correo electrónico, estaríamos ante un claro caso de ataque de suplantación de proveedores. Para impedir que otras personas sean víctimas de los ciberdelincuentes, se debe denunciar el caso ante las Fuerzas y Cuerpos de Seguridad o Incibe.

Por su parte, la Oficina de Seguridad del Internauta (OSI) nos recuerda que si las personas u organizaciones con las que nos relacionamos hacen uso de firma digital o cifrado en sus correos electrónicos, nos será más fácil identificar emails sospechosos.

Políticas de seguridad para los proveedores

En relación a este último asunto, de nada servirá que extrememos las precauciones y que protejamos nuestros sistemas al máximo si no exigimos la misma seguridad a los proveedores externos. En este sentido, es esencial:

• Controlar que toda relación con proveedores, y en particular aquellos que tienen acceso a nuestra información, está suficientemente protegida en base a los acuerdos y contratos correspondientes.
• Contemplar dicha protección antes, durante y a la finalización del servicio.
• Asegurarse de que los productos y servicios contratados cumplen los requisitos de seguridad establecidos por la empresa.

En definitiva, los proveedores desempeñan un papel fundamental. Los ciberdelincuentes lo saben y, por ello, intentan suplantar su identidad para beneficiarse. Por dicho motivo, es primordial conocer sus técnicas de ataque. Y no menos relevante: exigir que nuestros proveedores adopten medidas de seguridad de la información.