La sociedad del siglo XXI se mueve muy deprisa y es probable que la defensa de los usuarios de esta nueva realidad que supone las redes sociales (Facebook, Twitter, Instagram,…) aún no se haya plasmado convenientemente en el sistema penal español. La nueva sociedad se encuentra permanentemente conectada a través de las denominadas redes sociales y son una nueva forma de informarse, relacionarse, comunicarse, así como un sinfín de aplicaciones que ofrece cada una de ellas.
Las redes sociales han inundado la vida de sus usuarios; han llevado a otro nivel las relaciones personales y esto ha generado muchos beneficios para un gran número de usuarios. Pero al igual que el pago mediante tarjeta de crédito facilitó en gran medida las transacciones comerciales, también trajo consigo la existencia de los fraudes mediante el referido modo de pago por sustracción, copia o reproducción de la tarjeta misma o multitud de sistemas análogos.
En las redes sociales ha ocurrido algo parecido y al igual que han favorecido la interconexión de la sociedad del siglo XXI, también han permitido la creación de una nueva delincuencia a través de la red.
Así surge la suplantación de identidad, de la que vamos a hablar en este artículo.
¿Qué es la suplantación de identidad?
La suplantación de identidad es el acto de disfrazar una comunicación de una fuente desconocida como una fuente conocida y confiable. Puede aplicarse a correos electrónicos, llamadas telefónicas y sitios web, o puede ser más técnica, como la suplantación de una dirección IP, el Protocolo de resolución de direcciones (ARP) o el servidor del Sistema de nombres de dominio (DNS).
La suplantación de identidad se puede utilizar para:
- obtener acceso a la información personal de un objetivo,
- propagar malware a través de enlaces o archivos adjuntos infectados,
- evitar los controles de acceso a la red o
- redistribuir el tráfico para realizar un ataque de denegación de servicio.
Normalmente es la forma en que un atacante obtiene acceso para ejecutar un ataque cibernético más grande.
Los ataques exitosos a las organizaciones pueden conducir a redes y sistemas informáticos infectados, violaciones de datos y/o pérdida de ingresos, todo lo cual puede afectar la reputación pública de la organización.
Además, la suplantación de identidad que conduce al redireccionamiento del tráfico de Internet puede abrumar a las redes o llevar a clientes a sitios maliciosos destinados a robar información o distribuir malware.
¿Cómo funciona?
Es posible realizar una suplantación de identidad utilizando diversos niveles de conocimientos técnicos o varios métodos de comunicación. Puede usarse para llevar a cabo ataques de phishing, que son estafas para obtener información confidencial de individuos u organizaciones.
¿A quienes se dirigen estos ataques?
Las pequeñas y medianas empresas (PYMES) son las más atacadas por cualquier ciberataque, incluida la suplantación de identidad, que representan más del 58% de todas las víctimas de delitos cibernéticos.
Además, las víctimas más más elegidas para los delitos de suplantación de identidad dentro de las PYMES son:
- CEOs
- Directores generales
- CFO
- Directores financieros
Uno de los ataques de falsificación de CEO de más alto perfil ocurrió contra el fabricante europeo Leoni AG en 2016 cuando los ladrones elaboraron correos electrónicos para replicar los procedimientos internos de Leoni para aprobar y transferir fondos. Los correos electrónicos maliciosos parecían solicitudes de pago oficiales, que el CEO aprobó, lo que le costó a la organización casi 45 millones de dólares.
Tipos de suplantación de identidad en Internet:
Suplantación de correo electrónico
La suplantación de identidad a través de correo electrónico tiene lugar en el momento en que un atacante envía un mensaje de correo electrónico a un usuario con la finalidad de engañarle para que piense que el remitente es alguien conocido y de confianza.
En esos emails pueden añadirse enlaces a sitios web maliciosos o adjuntarse archivos infectados con malware. También puede utilizarse la ingeniería social para persuadir al destinatario de facilitar libremente información confidencial.
La información del remitente es fácil de falsificar y se puede hacer de dos maneras:
- Imitar una dirección de correo electrónico o dominio de confianza utilizando letras o números alternativos para que aparezcan solo ligeramente diferentes del original
- Disfrazando el campo ‘De’ para que sea la dirección de correo electrónico exacta de una fuente conocida y confiable
Identificación de llamadas falsas
Con la suplantación de identidad de la persona que llama, los atacantes pueden hacer que parezca que sus llamadas telefónicas provienen de un número específico. Ya sea uno conocido o confiable para el destinatario, o uno que indique una ubicación geográfica específica.
Los atacantes pueden utilizar la ingeniería social, a menudo haciéndose pasar por alguien de un banco o atención al cliente, para convencer a sus objetivos de que, por teléfono, proporcionen información confidencial, como contraseñas, información de cuentas, números de seguridad social y más.
Suplantación de identidad de páginas web
Se produce suplantación de identidad de una página web cuando se crea un sitio web imitando a otro ya existente, de confianza y conocido para el usuario. Estas webs son usadas por los atacantes para hacerse con información de inicio de sesión o datos confidenciales de los usuarios.
Falsificación de IP
Los atacantes pueden utilizar la falsificación de IP (Protocolo de Internet) para disfrazar la dirección IP de una computadora, ocultando así la identidad del remitente o suplantando a otro sistema informático. La finalidad principal de la suplantación de direcciones IP es conseguir acceso a redes que autentican a los usuarios según las direcciones IP.
Sin embargo, con mayor frecuencia, los atacantes falsifican la dirección IP de un objetivo en un ataque de denegación de servicio para abrumar a la víctima con el tráfico. El atacante enviará paquetes a múltiples destinatarios de red, y cuando los destinatarios de paquetes transmitan una respuesta, serán enrutados a la dirección IP falsificada del objetivo.
Suplantación de ARP
El Protocolo de resolución de direcciones (ARP) es un protocolo que resuelve direcciones IP en direcciones de Control de acceso a medios (MAC) para transmitir datos.
La suplantación de ARP se utiliza para vincular el MAC de un atacante con una dirección IP de red legítima para que el atacante pueda recibir datos destinados al propietario asociado con esa dirección IP. La suplantación de ARP se usa comúnmente para robar o modificar datos, pero también se puede usar en ataques de denegación de servicio y de intermediario o en secuestro de sesión.
Falsificación del servidor DNS
Los servidores DNS (Sistema de nombres de dominio) resuelven las URL y las direcciones de correo electrónico en las direcciones IP correspondientes.
Los atacantes, a través de la falsificación de DNS, pueden desviar el tráfico a una dirección IP distinta, haciendo que las víctimas accedan a páginas web que difunden malware.
¿Cómo protegerse frente a suplantaciones de identidad?
La forma principal de protegerse contra la suplantación de identidad es estar atento a los signos de una suplantación de identidad, ya sea por correo electrónico, web o teléfono.
Al examinar una comunicación para determinar la legitimidad, debemos tener en cuenta las siguientes cuestiones:
- Mala ortografía
- Gramática incorrecta
- Estructura de la oración inusual o giros de la frase
Estos errores son a menudo indicadores de que las comunicaciones no provienen de quienes dicen ser.
Otras cosas a tener en cuenta incluyen:
- La dirección del remitente del correo electrónico: a veces las direcciones serán falsificadas cambiando una o dos letras en la parte local (antes del símbolo @) o en el nombre de dominio.
- La URL de una página web: similar a las direcciones de correo electrónico, la ortografía se puede cambiar ligeramente para engañar a un visitante que no mira de cerca.
No hagas clic en enlaces desconocidos ni descargues archivos adjuntos desconocidos o inesperados. Si recibes esto en tu correo electrónico, envía una respuesta para solicitar confirmación. En caso de que se produzca una falsificación exacta de una dirección de correo electrónico, la respuesta se enviará a la persona de la dirección de correo electrónico real, no a la persona que tiene ese email falsificado.
No atiendas llamadas telefónicas al pie de la letra. Ten cuidado con la información que solicita la persona que llama. Busca en Google el número de teléfono presentado en el identificador de llamadas para ver si está asociado con estafas. Incluso si el número parece legítimo, cuelga y llama al número tú mismo, ya que los números de identificación de llamadas pueden ser falsificados.
La suplantación de identidad a veces puede ser fácil de detectar, pero no siempre. Cada vez son más sofisticados los ataques de suplantación de identidad realizados por los atacantes, por lo que es necesaria una mayor vigilancia por parte del usuario. Estar al día en los diferentes sistemas de falsificación y sus señales puede ser de gran utilidad para evitar ser una víctima.
¿Qué hacer en caso de que hayan suplantado tu identidad?
Si ya has sido víctima de una suplantación de identidad, estos son los pasos que debes seguir:
- Cambia todas tus contraseñas para las cuentas que han sido comprometidas, así como las cuentas que usan contraseñas iguales o similares a las que ha sido capturada por el hacker.
- Si has incluido la información de tu tarjeta de crédito en la página que ha sido suplantada, cancela esa tarjeta.
- Desconecta tu ordenador o elimina tu cuenta de correo electrónico para evitar difundir enlaces de phishing a tus listas de contactos.
- Ponte en contacto con la empresa o persona que fue engañada: puede ser tu CEO o un amigo o una gran empresa o banco.
- Analiza tu dispositivo en busca de virus: al hacer clic en enlaces maliciosos puedes instigar descargas silenciosas de malware que funcionan corrompiendo dispositivos sin tu conocimiento.
- Ten cuidado con las advertencias de robo de identidad y pon una alerta de fraude en su cuenta de crédito.
- Comunica los hechos a las autoridades competentes.
Ejemplos de Suplantación de Identidad
Aquí os indico una pequeña muestra de correos electrónicos de suplantación de identidad populares que hemos visto a lo largo de los años. Como puedes ver, hay muchos enfoques diferentes que adoptarán los ciberdelincuentes y siempre están evolucionando.
Si bien sería prácticamente imposible mantener un archivo actual y completo de estos ejemplos, es una muy buena idea mantenerse actualizado sobre lo que existe para que este tipo de ataques sean menos probables.
Estafas de soporte técnico
En los últimos años, los proveedores de servicios en línea han intensificado su juego de seguridad enviando mensajes a los clientes cuando detectan actividades inusuales o preocupantes en las cuentas de sus usuarios. No es sorprendente que los malos estén usando esto para su ventaja. Muchos están mal diseñados con mala gramática, etc., pero otros parecen lo suficientemente legítimos para que alguien haga clic si no prestaban mucha atención.
Existe un aviso de seguridad falso de Paypal que advierte posibles marcas de «actividad de inicio de sesión inusual» en tus cuentas.
Pasar el cursor sobre los enlaces sería suficiente para acabar en un sitio web de robo de credenciales.
También existe un aviso falso de Microsoft, casi idéntico en apariencia a un aviso real de Microsoft sobre «Actividad de inicio de sesión inusual».
Adjuntos infectados
Los archivos adjuntos .HTML maliciosos no se ven con tanta frecuencia como los archivos adjuntos .JS o .DOC. Pero son más efectivos por un par de razones.
Primero, hay una baja probabilidad de detección antivirus ya que los archivos .HTML no se asocian comúnmente con ataques transmitidos por correo electrónico. Segundo, los archivos adjuntos HTML son comúnmente utilizados por los bancos y otras instituciones financieras, por lo que las personas están acostumbradas a verlos en sus bandejas de entrada.
Macros con cargas útiles
Las macros maliciosas en los correos electrónicos de suplantación de identidad se han convertido en una forma cada vez más común de entregar ransomware en el último año. Con demasiada frecuencia, estos documentos pasan los programas antivirus sin ningún problema.
Estos correos electrónicos contienen un sentido de urgencia para el destinatario y los documentos guían a los usuarios a través del proceso. Si los usuarios no pueden habilitar las macros, el ataque no tiene éxito.
Mensajes maliciosos de Facebook
Varios usuarios de Facebook recibieron mensajes en sus cuentas de Messenger de otros usuarios que ya les eran familiares. El mensaje consistía en un único archivo de imagen .SVG (Scaleable Vector Graphic) que, en particular, omitía el filtro de extensiones de archivo de Facebook.
La gente que hizo clic en el archivo para abrirlo fueron redirigidos a una página de Youtube falsificada que incitó a los usuarios a instalar dos extensiones de Chrome que supuestamente necesitaban para ver el video (inexistente) en la página.
Para la mayoría de los usuarios, las dos extensiones de Chrome se usaron para permitir al malware un grado limitado de autopropagación al explotar el «acceso del navegador a su cuenta de Facebook para enviar mensajes en secreto a todos sus amigos de Facebook con el mismo archivo de imagen SVG».
En los PC de algunos usuarios, el Javascript incrustado también descargó y lanzó Nemucod [PDF], un descargador de troyanos con una larga historia de derribar una amplia variedad de cargas maliciosas en PC comprometidos. Los usuarios que tuvieron la mala suerte de encontrarse con esta versión del script malicioso vieron cómo sus PC fueron tomados como rehenes por el ransomware Locky.
Suplantación de identidad en LinkedIn
LinkedIn ha sido el foco de estafas en línea y suplantaciones de identidad durante varios años, principalmente debido a la gran cantidad de datos que ofrece sobre los empleados de las corporaciones. Los actores maliciosos extraen esos datos para identificar posibles marcas para ataques de compromiso de correo electrónico de negocios, incluidas transferencias electrónicas y estafas de ingeniería social, así como una serie de otras artimañas creativas.
