Los fraudes online pueden ocasionar pérdidas económicas o de información y daños reputacionales a una empresa. Por ello, es esencial conocerlos y saber cómo prevenirlos para no poner en riesgo la continuidad del negocio.
En materia de ciberseguridad, un gran porcentaje de las incidencias registradas se debe al factor humano. Los ciberdelincuentes lo saben y llevan a cabo campañas que tienen como objetivo franquear las barreras que protegen a las empresas de las ciberamenazas. Entre ellas, se encuentran las dedicadas a los fraudes online.
Brevemente, de estos últimos nos ocupamos en el post dedicado a los ciberataques de ingeniería social. Como recuerdan desde el Instituto Nacional de Ciberseguridad (Incibe), se trata de incidentes que suelen originarse a través del correo o las páginas web. Y pueden llegar a producir pérdidas económicas y de información o daños reputacionales, poniendo en grave riesgo la continuidad de una empresa.
Email spoofing: suplantación por correo electrónico
Uno de los fraudes online más habituales es el spoofing. Hablamos de una serie de técnicas de hacking empleadas de forma maliciosa para suplantar una web, entidad o persona en Internet con el fin de obtener información privada.
Y dentro del spoofing encontramos el email spoofing, que, como revela su denominación, es una técnica basada en los correos electrónicos. A través del email spoofing, los ciberdelincuentes:
- Envían correos de phishing. Roban credenciales de acceso e información bancaria.
- Difunden malware, como el ransomware, o intentan que los dispositivos de las víctimas formen parte de una botnet.
- Roban información confidencial de la empresa.
- Realizan cualquier acción que pueda reportarles un beneficio.
Para que los usuarios no sean víctimas del email spoofing, los expertos de Secure&IT e Incibe recomiendan:
- No abrir emails de remitentes desconocidos o que no hayamos solicitado. Lo mejor es eliminarlos.
- No responder a este tipo de correo electrónico.
- No clicar en los enlaces incluidos en esos emails ni descargar ficheros adjuntos.
- Ante cualquier duda, si es posible se recomienda consultar directamente a la persona o empresa que figure como remitente.
- Como empresa o autónomo, utilizar firma digital o cifrado en nuestros correos nos permitirá autenticar los mensajes y prevenir suplantaciones.
- Y si las personas u organizaciones con las que nos relacionamos hacen uso de dichas herramientas, nos será más fácil identificar emails sospechosos.
Sextorsión: amenaza de difusión de contenidos íntimos
En cuanto a la sextorsión, los ciberdelincuentes se sirven de vídeos, fotografías u otros documentos de contenido íntimo para chantajear a las víctimas. Y las presionan imponiéndoles un plazo límite para pagar. Al respecto:
- Si no tenemos nada que ocultar, podemos estar tranquilos. Los intentos de los ciberdelincuentes quedarán en nada y tanto nosotros como nuestra empresa no caeremos en sus redes.
- En cualquier caso, es recomendable dar parte de lo sucedido, y aportar todas las pruebas posibles, a las Fuerzas y Cuerpos de Seguridad e Incibe.
- Pero si la amenaza se fundamenta en un material auténtico, los expertos aconsejan no pagar ninguna cantidad económica y denunciar el intento de extorsión.
- Igualmente, recomiendan ser cuidadosos al compartir vídeos, fotos e información de contenido íntimo en Internet.
- Y también desconectar la webcam y el micrófono cuando no se utilicen.
Suplantación de proveedores: ¿de verdad son ellos?
Otro de los fraudes online que puede poner en riesgo a una empresa es la suplantación de un proveedor. Con el objetivo de lograr su propósito, los ciberdelincuentes:
- Utilizan correos electrónicos muy parecidos a los del proveedor legítimo.
- Crean nombres de dominio similares al auténtico. Esta técnica es conocida como cybersquatting.
Con la suplantación de proveedores, la ciberdelincuencia tiene como fin cambiar un número de cuenta, incitar a la víctima a llamar a un soporte técnico falso, instalar un programa para desinfectar un equipo de forma remota o recibir un pago por un servicio.
Para prevenir este tipo de fraudes, o responder adecuadamente en el supuesto de sufrirlo, es aconsejable:
- Desconfiar de los correos electrónicos o las ventanas emergentes que nos soliciten realizar determinadas acciones, aunque se trate de mensajes de proveedores con los que trabajamos habitualmente. Antes de dar respuesta a sus solicitudes, hablar con ellos por teléfono y verificar dicha orden nos sacará de dudas.
- Si el proveedor falso nos ha engañado, deberemos ponernos en contacto con nuestro banco para cancelar cualquier pago que pudiese solicitar.
- De igual forma, tendremos que reportar el incidente a las Fuerzas y Cuerpos de Seguridad o Incibe y, lógicamente, al proveedor auténtico.
- Y, finalmente, tocará cambiar credenciales, desinstalar cualquier programa o aplicación que los estafadores hubiesen instalado en los equipos, reestablecer los dispositivos y aplicar todas las actualizaciones de seguridad disponibles.
Hotlinking: imágenes en sitios web fraudulentos
Entre las amenazas que podrían perjudicar seriamente a una empresa figura el denominado hotlinking. Este término indica que alguien está utilizando recursos de nuestra web en un sitio fraudulento. Por lo general, se usan imágenes para suplantar un producto y beneficiarse de su marca y reputación.
Esta práctica puede dar lugar a una crisis reputacional online. Y para evitarla o combatirla, se recomiendan una serie de acciones. Entre ellas:
- Cambiar la ruta de las imágenes en el servidor auténtico, borrar las imágenes que no se usen y poner una marca de agua en las que se vayan a utilizar.
- Instalar un plugin de seguridad en el gestor de contenidos que incorpore la prevención de hotlinking.
- Recolectar pruebas digitales para solicitar la eliminación de contenido por infracción de derechos de autor o presentar una denuncia.
Suplantación de marca: copia de la web legítima
Dentro de los fraudes online que pueden suponer una amenaza para una empresa también encontramos la suplantación de marca e imagen corporativa. Básicamente, los ciberdelincuentes crean una copia de la web legítima con dominios parecidos a los auténticos. Y a través de ese sitio venden productos que nunca envían y ofrecen servicios que no prestan. Ante una situación así, los expertos aconsejan:
- Denunciar la suplantación de marca e imagen corporativa a las Fuerzas y Cuerpos de Seguridad e Incibe.
- Poner el hecho en conocimiento de las autoridades de consumo y protección de datos.
- Contactar con las empresas que puedan verse afectadas colateralmente.
- Comunicar la suplantación a los consumidores.
E-skimming: información bancaria y personal, objetivos
Por último, conviene conocer el e-skimming, una técnica utilizada por los ciberdelincuentes bien para obtener información bancaria y personal de tiendas online legítimas y venderla en el mercado negro, bien para usarla en su propio beneficio. Y con el fin de lograrlo, normalmente usan vulnerabilidades, malas configuraciones o infecciones previas que les permiten inyectar software malicioso que roba la información.
De cara a reducir los riesgos asociados al e-skimming, es importante considerar las siguientes recomendaciones:
- Actualizar el software de la empresa a la última versión disponible.
- Para acceder al e-commerce, utilizar nombres de usuario no comunes, contraseñas seguras y, si es posible, doble factor de autenticación.
- Configurar estándares de seguridad, como Content Security Policy (CSP) o Subresource Integrity (SRI), o confiar en la pasarela de pago de un tercero para proteger la información personal y bancaria de los clientes.
En definitiva, estos fraudes online pueden afectar a las empresas o autónomos del sector asegurador, y de otras actividades, en su día a día digital. Conocerlos es una de las principales defensas que ayudarán a mejorar la ciberseguridad del negocio.
