ADVERTENCIA: INCIBE y Guardia Civil alertan de nuevas ciberestafas y campañas de correos fraudulentos

Recientemente, el Instituto Nacional de Ciberseguridad (INCIBE) ha detectado campañas masivas de envío de correos electrónicos fraudulentos que tratan de suplantar a instituciones, administraciones públicas, empresas, así como a departamentos jurídicos, con el propósito de difundir malware, encriptar información o borrar contraseñas a cambio de un rescate habitualmente en dólares, según informa Kdos Consulting.

Este tipo de campañas utilizan técnicas que suplantan la dirección del remitente, haciendo que parezca que proviene de una entidad legítima, cuando en realidad no lo es, y consisten en enviar un correo al usuario (simulando, mediante el asunto del correo, ser un burofax u otro tipo de notificación relevante) con la finalidad de que el receptor abra o descargue el archivo comprimido, provocando que se ejecute el archivo malicioso contenido en su interior.

Una vez que el dispositivo infectado está bajo control, el malware descargado permitirá al ciberdelincuente realizar diferentes acciones tales como, el robo de datos e información de la naturaleza que sea o infectar nuevamente el equipo con otros tipos de malware específicos para la ejecución de sus objetivos, en función del contenido de la información violada.

Recomendaciones para tratar de evitar que estas acciones incidan en sus organizaciones:

1. En primer lugar y ante la mínima duda se deberá analizar detenidamente el correo, tal y como explica INICIBE en uno de sus artículos: ¿Dudas sobre la legitimidad de un correo? Aprende a identificarlos
2. Si ha sido descargado y ejecutado el archivo, se debe realizar un escaneo de todo el equipo con el antivirus y seguir las instrucciones marcadas por el mismo para eliminar el malware.
3. Para evitar ser víctima de este tipo de engaños la recomendación es seguir estos consejos:

• No abrir correos de usuarios desconocidos o que no hayan sido solicitados, en este caso eliminarlos directamente.
• No contestar en ningún caso a estos correos.
• Revisar los enlaces antes de hacer clic, aunque sean de contactos conocidos.
• Desconfiar de los enlaces acortados.
• Desconfiar de los ficheros adjuntos, aunque sean de contactos conocidos.
• Tener siempre actualizado el sistema operativo y el antivirus. En el caso del antivirus, comprobar que se encuentra activo.
• Asegurarse de que las cuentas de usuario de los empleados utilizan contraseñas robustas y no tienen permisos de administrador.
• También es importante realizar periódicamente copias de seguridad, y guardarlas en una ubicación diferente, verificar que se realizan correctamente y que sabemos recuperarlas. De esta forma, en el caso de encontrarnos afectados por algún incidente de seguridad, podremos recuperar la actividad de nuestra empresa de forma ágil.

Recordamos que si se recibe una notificación oficial emitida por cualquier organismo público o privado, lo apropiado es acceder a dicha notificación desde su página web oficial.

Fraude al CEO

Por su parte, la Guardia Civil también ha alertado de una modalidad nueva de llevar a cabo la estafa denominada ‘Fraude al CEO’ y que consiste en usurpar la identidad de un trabajador de alto nivel de una empresa acreedora, para después cambiar la cuenta de ingreso de lo adeudado a una cuenta facilitada por la persona u organización que realiza el fraude.

Dicha modalidad se venía realizando por medio de correos electrónicos en los que se cambiaba, normalmente, la extensión del correo legítimo para inducir a error al pagador y que librase un pago a una cuenta facilitada al efecto para consumar la estafa.

Se usurpa la identidad de una persona y por medio de ingeniería social se procede con el siguiente modus operandi: Se consigue el contacto por whatsapp de una persona de la empresa. Dicha persona no tiene por qué tener capacidad de librar un pago o cambiar un número de cuenta, si bien es conocido por el estafador que esta persona puede tener un contacto cercano con alguien de la empresa que sí tiene esa capacidad.

El estafador, por ingeniería social, escala en rangos de confianza en la empresa objetivo (haciendo pasar su contacto entre miembros de la empresa).

El fraude lo que pretende es, mediante la usurpación de identidad de un compañero de trabajo cercano a un trabajador de alto nivel de una empresa acreedora, y utilizando una fotografía de perfil de whatsapp obtenida en las redes sociales, posiblemente Linkedin, valerse de la credibilidad y generar confianza en la operativa.

El modo en el que el estafador consigue conocer el vínculo entre las empresas con pagos pendientes es múltiple, sabiendo que en la mayoría de las ocasiones hay una monitorización previa de correos electrónicos entre ambas mercantiles. Las nuevas tendencias detectadas han puesto de manifiesto que, para generar el engaño, requisito imprescindible para perfeccionar el delito, emplearían aplicaciones de mensajería tipo Whatsapp.

Se tiene conocimiento de lo expuesto, por medio de denuncia interpuesta en demarcación guardia civil, hasta la fecha no se ha detectado una proliferación de esta nueva modalidad, motivo por el cual es importante dar la mayor difusión posible de cara a prevenir la consumación de esta tipología delictiva.

Es muy importante que cuando se detecte este tipo delictivo, por parte del perjudicado se aporten, tanto el número de teléfono por medio del cual se ha contactado y que ha sido utilizado por el estafador. Así mismo, es muy importante aportar capturas de pantalla del falso perfil utilizado, para poder imputar el delito medial de usurpación de identidad.

En ningún caso debe librarse pagos fuera de los cauces normales o que ofrezcan dudas. Debe sospecharse siempre de las solicitudes de cambio de cuenta y modificaciones en las condiciones del pago.