“Ya sea que se trate de phishing, spam o malspam, siempre es necesario que como usuarios seamos cuidadosos con dónde hacemos clic, ya que se nos podría estar dirigiendo a sitios que busquen robar nuestra información personal o incluso descargar algún tipo de contenido malicioso a nuestra máquina”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Seguridad informática de ESET Latinoamérica.

El phishing es una técnica que utiliza el cibercrimen para engañar a sus víctimas y que entreguen información confidencial, ya sean contraseñas, datos bancarios y personales. La metodología más común de phishing es hacerse pasar por organismos, bancos o empresas reconocidas y de confianza por correo electrónico o mensaje, para así tentar a la víctima a completar un formulario falso en el mensaje o adjunto a él y visitar una página web solicitando la entrada de los detalles de la cuenta o las credenciales de inicio de sesión.

En cuanto al spam, podemos decir que es el correo no deseado, o basura, en las bandejas de entrada de las casillas de correo. Enviado de forma masiva por un remitente desconocido, busca hacer publicidad de un producto o servicio. En varios países ya regulan el uso de este tipo de comunicaciones e imponen multas a las empresas que incumplan. Si bien es común que el spam se envíe en formato de texto o con contenido HTML, también lo hay vía mensajes instantáneos, SMS, redes sociales, llamadas telefónicas o correo de voz.

Por otro lado, se denomina malspam a las técnicas de envío masivo que utilizan los actores maliciosos para intentar infectar dispositivos a través de archivos o enlaces maliciosos adjuntos. Su nombre, en concreto, se debe a que se unen los conceptos de malware y spam; este tipo de correos suelen combinarse con técnicas de phishing ya que su objetivo es ganar la confianza de la víctima haciéndose pasar por una entidad conocida e inducirlo a entregar sus datos personales.

Diferencias esenciales y acciones para mantener los datos protegidos

Hay diferencias esenciales entre phishing y spam (y malspam) que hay que remarcar para saber en qué caso se trata de cada uno:

• Mientras que el spam busca anunciar un producto o servicio, el phishing sólo busca obtener información personal y financiera de sus víctimas. El malspam, en cambio, intenta infectar un dispositivo, y así tomar el control del equipo.
• El phishing suplanta la identidad de una empresa reconocida tratando de engañar a las personas, mientras que el spam puede venir de una empresa que realmente existe.
• En el caso del spam, por lo general redirige a sitios donde se puede adquirir el producto o servicio anunciado. En cambio, con las campañas de phishing, busca robar información personal. El malspam, a su vez, contiene archivos maliciosos (PDF, Word, Excel, Zip) o incluye links a sitios falsos o maliciosos.
• Los sitios a los cuales redirigen las campañas de spam se encuentran por lo general en servicios gratuitos de alojamiento, mientras que los sitios de phishing se suelen alojar en sitios web legítimos que son vulnerables o en aquellos falsos creados por los propios cibercriminales.
• Las campañas de spam suelen extenderse a foros, buscadores y diversos servicios gratuitos en Internet. En cambio, el phishing suele estar más enfocado en usuarios de un determinado país o región.

Desde ESET se comparten y recomiendan distintas acciones para mantener los datos protegidos. En principio no compartir indiscriminadamente la dirección de correo en sitios webs, y crear una dirección de correo electrónico desechable para recibir newsletters o suscripciones.

Además, en el caso de recibir un mail de un remitente conocido sin previo aviso y con un enlace sospechoso o un archivo descargable, se aconseja consultar a esa persona de manera directa antes de abrirlo. Por otro lado, si el mensaje proviene de una entidad bancaria o una marca reconocida, verificar en los canales oficiales de esa entidad que se trata de algo legítimo. Una regla de oro es que los organismos oficiales nunca piden datos personales, ni envían formularios online, ni archivos para descargar.

Por último desde ESET, advierten desconfiar de toda aquella oferta o promoción que sea demasiado buena para ser verdad e implementar una solución de seguridad, cuyo software antispam evite y/o bloquee la apertura o recepción de correos electrónicos no deseados o no solicitados. Por ejemplo, en el caso de ESET Home Security, la solución bloquea sitios web y correos electrónicos sospechosos y su función antiphishing bloquea las páginas que intentan adquirir datos personales para evitar el robo de identidad y el uso indebido de la información, mientras que brinda protección proactiva contra todo tipo de malware, incluidos virus, troyanos, gusanos y spyware.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros datos preventivos está igualmente disponible: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Puro Vinotinto

Con información e imágenes referenciales suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

“El hecho de que las aplicaciones de iOS suelen proceder de la App Store oficial de Apple y deban superar estrictas pruebas para ser aprobadas ha evitado dolores de cabeza relacionados con la seguridad y la privacidad a lo largo de los años. Pero, la reciente ley antimonopolio de la UE, conocida como Ley de Mercados Digitales (DMA), busca que los usuarios de iOS tengan la opción de utilizar mercados de aplicaciones de terceros. Esto traerá nuevos retos a Apple a la hora de proteger a los usuarios de iOS de posibles daños y a los que utilicen sus productos, ya que tendrán que ser más conscientes de las amenazas. Este cambio de las reglas de juego, sin dudas, será aprovechado por el cibercrimen”, comenta y concientiza Camilo Gutiérrez Amaya, Jefe del Laboratorio de Seguridad informática de ESET Latinoamérica.

ESET también ha estudiado y opina sobre otros tipos de amenazas, posiblemente más inmediatas, que apuntan a los usuarios de iOS en todo el mundo:

Dispositivos con jailbreak: Si se desbloquea deliberadamente un dispositivo para permitir lo que Apple denomina «modificaciones no autorizadas», se podría violar el Contrato de Licencia de Software y desactivar algunas funciones de seguridad integradas, como el Arranque Seguro y la Prevención de Ejecución de Datos. El dispositivo dejará de recibir actualizaciones automáticas. Y al poder descargar aplicaciones desde fuera de la App Store, se está expuesto a software malicioso y/o con errores.

Aplicaciones maliciosas: Aunque Apple hace un buen trabajo a la hora de examinar las aplicaciones, no acierta el 100% de las veces. Entre las aplicaciones maliciosas detectadas recientemente en la App Store se incluyen: Una versión falsa del gestor de contraseñas LastPass diseñada para recopilar credenciales, un programa malicioso de lectura de capturas de pantalla apodado «SparkCat», camuflado en aplicaciones de inteligencia artificial y reparto de comida; así como una falsa aplicación de monedero criptográfico llamada «Rabby Wallet & Crypto Solution».

Descarga de aplicaciones desde sitios web: Como se detalló en el último ESET Threat Report, las aplicaciones web progresivas (PWA) permiten la instalación directa sin necesidad de que los usuarios concedan permisos explícitos, lo que significa que las descargas podrían pasar desapercibidas. ESET descubrió esta técnica utilizada para disfrazar malware bancario como aplicaciones legítimas de banca móvil.

Phishing / Ingeniería social: Los ataques de phishing por correo electrónico, texto (o iMessage) e incluso voz son habituales. Se hacen pasar por marcas legítimas y engañan al usuario para que facilite sus credenciales, haga clic en enlaces maliciosos o abra archivos adjuntos para desencadenar descargas de malware. Los ID de Apple se encuentran entre los inicios de sesión más preciados, ya que pueden proporcionar acceso a todos los datos almacenados en una cuenta de iCloud y/o permitir a los atacantes realizar compras en iTunes / App Store. Desde ESET aconsejan tener cuidado con:

• Ventanas emergentes falsas que afirman que el dispositivo tiene un problema de seguridad
• Llamadas telefónicas fraudulentas y llamadas FaceTime haciéndose pasar por el Soporte de Apple u organizaciones asociadas
• Promociones falsas que ofrecen regalos y sorteos
• Spam de invitaciones al calendario con enlaces de phishing

Como ejemplo a compartir, en una campaña muy sofisticada, los autores de la amenaza y planificadores de ataques utilizaron técnicas de ingeniería social para engañar a los usuarios y conseguir que descargaran un perfil de gestión de dispositivos móviles (MDM) que les permitiera controlar los dispositivos de las víctimas. Con esto, desplegaron el malware GoldPickaxe, diseñado para recopilar datos biométricos faciales y utilizarlos para eludir los inicios de sesión bancarios.

Riesgos de las redes wifi públicas: Un punto de acceso de wifi público, puede ser un punto de acceso falso creado por agentes de amenazas para vigilar el tráfico web y robar información confidencial, como contraseñas bancarias. Incluso si el punto de acceso es legítimo, muchos no cifran los datos en tránsito, lo que significa que los hackers con las herramientas adecuadas podrían ver los sitios web que visita y las credenciales que introduce. Es por lo que desde ESET recomiendan la utilización de VPN, que crea un túnel cifrado entre el dispositivo e Internet.

Vulnerabilidades: Si bien desde Apple se le dedica mucho tiempo y esfuerzo a garantizar que su código esté libre de vulnerabilidades, a veces hay fallos en la producción. En estos casos, los piratas informáticos pueden aprovecharse si los usuarios no han actualizado el dispositivo, por ejemplo, enviando enlaces maliciosos en mensajes que activan un exploit si se hace clic sobre ellos.

• El año pasado, Apple se vio obligada a parchear una vulnerabilidad que podía permitir a los agresores robar información de un dispositivo bloqueado mediante comandos de voz de Siri
• En ocasiones, los propios actores de amenazas y empresas comerciales investigan nuevas vulnerabilidades (de día cero) para explotarlas. Aunque son poco frecuentes y muy selectivos, los ataques que aprovechan estas vulnerabilidades se utilizan a menudo para instalar de forma encubierta programas espía con el fin de husmear los dispositivos de las víctimas

Prevención y resguardo, algo necesario y prudente

Si bien hay malware que acecha los dispositivos de iOS, también es posible minimizar la exposición a las amenazas. ESET comparte las siguientes tácticas principales:

• Mantener el iOS y todas las aplicaciones actualizadas. Esto reducirá la ventana de oportunidad para que los actores de amenazas exploten cualquier vulnerabilidad en versiones antiguas para lograr sus objetivos.
• Utilizar siempre contraseñas seguras y únicas para todas las cuentas, quizás utilizando el gestor de contraseñas de ESET para iOS, y activar la autenticación multifactor si se ofrece. Esto es fácil en los iPhones, ya que requerirá un simple escaneo de Face ID. Esto asegurará que, incluso si los malhechores obtienen las contraseñas, no podrán acceder a las aplicaciones sin el escaneo de la cara del usuario real o verdadero.
• Activar Face ID o Touch ID para acceder al dispositivo, respaldado con una contraseña segura. Esto mantendrá el iPhone seguro en caso de pérdida o robo.
• No hacer jailbreak al dispositivo, por las razones mencionadas anteriormente. Tu iPhone sería menos seguro.
• Tener cuidado con el phishing. Eso significa tratar con extrema precaución las llamadas, mensajes de texto, correos electrónicos y mensajes de redes sociales no solicitados. No hacer clic en enlaces ni abrir archivos adjuntos. Si realmente se necesita hacerlo, comprobar por separado con el remitente que el mensaje es legítimo (es decir, no respondiendo a los datos que figuran en el mensaje). Buscar signos de ingeniería social, como errores gramaticales y ortográficos, una urgencia para actuar, regalos y ofertas demasiado buenas para ser ciertas o dominios (del remitente) que no coinciden con el supuesto emisor.
• Evitar las redes wifi públicas. Si es necesario utilizarlas, hacerlo con una VPN. Como mínimo, no iniciar sesión en ninguna cuenta valiosa ni introducir información confidencial en una red wifi pública.
• Intentar limitarse a la App Store para cualquier descarga, con el fin de minimizar el riesgo de descargar algo malicioso o arriesgado.
• Si se cree que se puede ser objetivo de programas espía (utilizados a menudo contra periodistas, activistas y disidentes), activar el modo de bloqueo.

• Prestar atención a los signos reveladores de una infección por malware, que podrían incluir un rendimiento lento, ventanas emergentes de publicidad no deseada, un sobrecalentamiento del dispositivo, aparición de nuevas aplicaciones en la pantalla de inicio o aumento del consumo de datos.

“Si bien el iPhone de Apple sigue siendo uno de los dispositivos más seguros que existen. Esto no quiere decir que estén libres de amenazas. Mantenerse alerta, conocer los posibles riesgos y tomar las medidas de protección necesarias ayudan a mantener la información y los dispositivos seguros”, concluye Gutiérrez Amaya, de ESET Latinoamérica.

Para obtener más información preventiva en materia de ciberseguridad, puede visitar el sitio web de ESET: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

Puro Vinotinto

Con información e imagen referencial suministrada por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

“La Inteligencia Artificial generativa puede traer consigo muchos beneficios si se adapta correctamente al entorno o sector, sin embargo, también puede facilitar y potenciar actividades nada éticas como el “catfishing”. Un ejemplo muy común y recurrente en estos últimos años es el “Deepfake”, que es la manipulación a través de un software de Inteligencia Artificial sobre video, imagen o audio, de tal forma en que el resultado parezca real u original. Así los catfishers y ciberestafadores pueden aprovecharse de esta tecnología para imitar conversaciones humanas haciendo que parezcan totalmente genuinas”, precisa David González, Investigador del Laboratorio de Seguridad Informática de ESET Latinoamérica.

La Comisión Federal de Comercio de Estados Unidos informó que, en 2022, las estafas románticas incluyendo el catfishing, les costaron a las víctimas 1,300 millones de dólares, un promedio de 2.500 USD por persona. Subrayando que, en los casos de catfishing el daño no es solo financiero sino también emocional.

En cuanto a las aplicaciones de citas, estas generan un espacio donde los usuarios pueden estar más vulnerables que en otras plataformas. Un estudio realizado “all about cookies”, encontró que 20% de los perfiles de citas en línea estaba usando imágenes engañosas o robadas de otras cuentas. El promedio de perfiles falsos que usa un catfisher es de 3 a 5 distribuyéndolas en las plataformas más populares.

Cuáles son las 5 red flags (señales de advertencia) de una posible estafa romántica según ESET

1. Primero te contactan. Es inusual que la víctima sea la primera en realizar el contacto. Normalmente, el catfisher lo hará.
2. Son demasiado buenos para ser verdad. El catfisher buscará impactar a la víctima puede ser con una foto atractiva y demuestre poder o influencia. Además será muy directo en cuanto a cumplidos y palabras de amor a su víctima.
3. Nunca llaman. Siempre hay algo que se interpone en el camino para poder conocer a esa “pareja ideal” evitando así las llamadas telefónicas, videollamadas y reuniones presenciales. Si bien la IA generativa facilitó este tipo de actividades, aún falta mucho para poder copiar o crear un perfil de una persona completa y por eso se debe prestar atención a los detalles.
4. Extraña comunicación. Se pueden dar errores como respuestas demoradas o vagas, porque un catfisher no sólo busca a una víctima, sino que está interactuando con muchas más en simultáneo.
5. Piden dinero u otras cosas a cambio. El dinero no siempre es el objetivo principal. Puede darse una combinación en donde el primer paso sea solicitar algo muy personal de la víctima como información confidencial, una foto sin ropa o audios comprometedores; para posteriormente chantajearla para no difundir lo compartido por la víctima.

Precaución y concientización

Para evitar el catfishing se requiere de una combinación de precaución y concientización. Desde ESET recomiendan algunas estrategias para protegerse y evitar ser víctima de tales estafas:

• Investigar al usuario o usuaria: Antes de comenzar cualquier tipo de relación en línea, es importante tomarse el tiempo necesario para investigar los antecedentes de este nuevo contacto. Comprobar la identidad mediante una búsqueda en redes sociales y búsquedas general en Internet. Regularmente se puede localizar mucha o nada de información que permita determinar si es legítima o no.
• No compartir información personal: Se recomienda nunca compartir información personal o datos confidenciales en línea, porque esto puede ser un punto de partida para aquellos catfishers que buscan perfilar a sus víctimas. Lamentablemente mucha de esta información puede ser obtenida en perfiles de redes sociales que estén abiertas al público, como la dirección de casa, los nombres de los seres queridos o información financiera. Por eso se recomienda restringir esta información en cualquier red social para dificultarle y en el mejor de los casos, frustrarle al ciberdelincuente su cometido.
• Confiar en los instintos y el sentido común: Si una persona que ha conocido en Internet parece demasiado buena para ser verdad, demasiado perfecta, probablemente no lo sea.
• Tener cuidado en las redes sociales: Las redes sociales como Facebook, X, Instagram, LinkedIn, TikTok, Tinder entre otros, son por excelencia los lugares donde más pueden darse las estafas de catfishing, por lo que es importante ser cuidadoso cuando se relaciona con personas desconocidas. Una buena práctica es evitar la aceptación de solicitudes de amistad de extraños, así mismo, evitar el comienzo de conversaciones privadas con personas que no conoce.

Coordenadas de contacto con ESET, empresa especialista en seguridad digital e informática, fuente de la presente información y recomendaciones: https://www.eset.com/ve/. También sus redes sociales: Instagram (@esetla) y Facebook: (ESET)

Puro Vinotinto

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos