El objetivo principal de los hackers es ganar dinero de forma directa –con credenciales bancarias o números de tarjetas– o bien obtener la mayor cantidad de datos personales para luego comerciar con esta información o preparar nuevos ataques dirigidos.
Hoy en día, la tendencia del cibercrimen tiene uno de sus focos en la ingeniería social. La suplantación de identidades en las redes sociales es usada con frecuencia para perpetrar ataques que pueden causar un terrible daño, ya que se preparan de un modo sofisticado, lo que dificulta su detección, y son muy efectivos, afectando tanto a ordenadores particulares como a redes empresariales, por el descuido de los propios empleados.
Los usuarios, particulares o empleados de organizaciones, en muchas ocasiones aceptan invitaciones de perfiles no conocidos sin comprobar la veracidad de las fuentes, lo que les convierte en un objetivo para los hackers. Las redes sociales son de gran valor para los cibercriminales que quieren obtener información de las personas y gracias a ellas mejoran ostensiblemente su ratio de éxito en ataques posteriores. Amenazas como el phishing, la “pesca con lanza” o la ingeniería social comienzan con la recolección de datos e individuos en estos entornos.
Check Point recomienda seguir unas normas básicas de comportamiento para evitar estos ataques de ingeniería social:
1.- Comprobar la autenticidad de los perfiles. No aceptar invitaciones de particulares con un número de amigos “sospechoso” (se calcula que los perfiles falsos de usuarios de Facebook tienen, por ejemplo, como media 5 veces más amigos que los perfiles habituales). Asimismo, si hablamos de marcas o empresas, comprobar que sean procedentes de las oficiales y que no hayan sido creadas, por ejemplo, hace pocas horas o días.
2.- No facilitar ningún dato personal. Muchos usuarios y empresas creen que sólo es peligrosa la información personal de tipo financiero o bancario. No obstante, hay muchos otros datos que pueden ser sensibles, como números de teléfono, datos de la empresa en la que se trabaja, etc. Lo importante aquí es tener en cuenta que cualquier dato que se facilite puede ser usado para un futuro ataque y son muchas las compañías que han visto sus redes amenazadas –y han sufrido pérdidas millonarias- por el simple descuido de un empleado que abría un email que simulaba ser de propia empresa o departamento en el que trabajaba. ¿Quién no va a abrir, por ejemplo, un correo electrónico donde figura la palabra “Nómina” y el nombre de la empresa en la que trabaja? En la mayor parte de los casos, los hackers extrajeron esa información de las redes sociales.
3.- Rechazar y denunciar. Si se localiza un perfil sospechoso o un comportamiento extraño en las redes, es importante denunciarlo y alertar sobre ello para que otros usuarios puedan estar preavisados.
4.- Cuidado con lo que se comparte. Además de los riesgos mencionados, es importante hallarse siempre alerta de la información que compartimos y con quién la compartimos, sea cual sea su naturaleza. Los cibercriminales pueden averiguar las preguntas de control de los servicios web (p.ej. cuál es el nombre de su mascota) para restablecer la contraseña y obtener acceso a las cuentas.
5.- Mantener los equipos que utilizamos protegidos y con el software siempre actualizado. En el caso de las redes empresariales es esencial desplegar soluciones adaptadas a las necesidades particulares del negocio. Las soluciones de Prevención de Amenazas son claves en estos ámbitos.
Los usuarios particulares no sólo ponen en riesgo su privacidad o su bolsillo, sino que también pueden poner en riesgo a las compañías para la que trabajan o los círculos sociales en los que se mueven. Las organizaciones han de estar preparadas para afrontar estos riesgos y poner las barreras necesarias, tanto a nivel tecnológico como en las políticas de seguridad que desplieguen y la formación que brinden a sus plantillas.
Por Mario García, director general de Check Point Iberia
