Posiblemente el término typosquatting suene extraño a la gran mayoría de los usuarios de Internet, pero no por ello son ajenos al riesgo potencial de convertirse en víctimas de esta técnica de engaño.
Pero… ¿qué es exactamente el typosquatting?
Se refiere al hecho por el cual un usuario acaba en una página web que no es la que estaba buscando por el hecho de teclear mal por error la URL en su navegador.
El problema está en que estos fallos de los usuarios al escribir una dirección web en ocasiones son aprovechados por los ciberdelincuentes ya que intentan reservar dominios parecidos a servicios legítimos con intenciones maliciosas, que pueden ir desde una simple web que muestra publicidad hasta otras que suplantan la identidad de alguna empresa o que alojan algún tipo de malware o archivo ejecutable que se descargue en los dispositivos de la víctima cuando accedan a ella.
¿Cuáles son los fallos más comunes cometidos por los usuarios para que se produzca typosquatting?
- Errores ortográficos a la hora de escribir la dirección web, bien sea por no conocer bien el nombre, por estar en otro idioma o por escribir demasiado rápido.
- Error en la extensión del dominio, por ejemplo, escribir un .com cuando en realidad es un .es.
Con un ejemplo se entiende mejor, si un usuario estuviera intentando acceder a la web de la OSI (www.osi.es) y por error escribiera una “e” en lugar de la “i”, www.ose.es, el navegador, en caso que un “typosquatter” estuviera en posesión este dominio, no daría error y se cargaría a dicho usuario otra web con contenidos que nada tienen que ver con la OSI.
¿Cuáles son los usos más habituales de este tipo de webs por parte de los ciberdelincuentes?
- Creación de páginas web con multitud de banners con publicidad de productos y servicios. Dichos banners podrían ser maliciosos y redirigir a anuncios fraudulentos.
- Alojar malware para intentar descargarlo en los dispositivos de los usuarios que visiten la página web. Podrían por ejemplo aprovecharse de vulnerabilidades de sus navegadores o plugins/complementos instalados sin actualizar para colarse en los dispositivos para cometer distintos tipos de actividades maliciosas: cifrar la información almacenada, borrarla, instalar programas espías, capturar claves de acceso a servicios de los usuarios, conversaciones de chats, etc.
- Suplantar la identidad de una página web legítima, phishing, con el objetivo de robar datos personales y bancarios de los usuarios.
Algunas de las grandes compañías combaten este tipo de fraudes comprando los dominios parecidos a sus URLs a fin de redirigir a los usuarios a la web legítima en caso de no teclear correctamente la dirección y evitar así que los ciberdelincuentes los utilicen con propósitos maliciosos. Pero estos no siempre es posible, por lo que en definitiva hay que ser cuidadosos y precavidos a la hora de escribir las direcciones web en el navegador. Una mala escritura podría llevarte a alguna web de dudoso contenido o incluso, infectar tu dispositivo.
¿Conocías este término? ¿Alguna vez has tecleado mal una URL y has acabado en una web que no querías? ¿Era maliciosa? Compártelo con la comunidad, tus comentarios pueden ayudar a otros usuarios a evitar riesgos y fraudes.
Nota de DavidHellin: La noticia es original de OSI
¡Llega el verano! Esa estación deseada por muchos para relajarse y disfrutar de las vacaciones. Pero, ¿qué pasa cuando tu trabajo viaja contigo? Hay situaciones que requieren de nuestra atención incluso en vacaciones y no podemos evitar la necesidad de contestar a un correo urgente, enviar un documento importante, hacer el seguimiento de un pedido, etc.
¡Llega el verano! Esa estación deseada por muchos para relajarse y disfrutar de las vacaciones. Pero, ¿qué pasa cuando tu trabajo viaja contigo? Hay situaciones que requieren de nuestra atención incluso en vacaciones y no podemos evitar la necesidad de contestar a un correo urgente, enviar un documento importante, hacer el seguimiento de un pedido, etc.
Es en esta época del año, cuando todo parece cobrar menos importancia, el momento de revisar y reforzar la seguridad de nuestra empresa. Los ciberdelincuentes nunca descansan y saben que en la época estival suele bajarse la guardia. No te conviertas en uno de sus objetivos y ten en cuenta los siguientes consejos:
- Protege tus dispositivos ante posibles pérdidas y robos. Teléfonos móviles, tablets y portátiles son objetos muy codiciados por los delincuentes. Tanto si somos víctimas de un robo como si extraviamos nuestro dispositivo, lo más probable es que nunca lo recuperemos, por lo que recomendados seguir estas medidas de seguridad para proteger la información tanto personal como profesional que estos contienen.
- Evita el acceso a redes públicas o desconocidas. Siempre que sea posible, si tenemos que acceder a información sensible a través de la red, opta por utilizar conexiones 3G o 4G. Cifra tus datos, y utiliza una red privada virtual o VPN. Usa tus propios dispositivos y nunca accedas a la información corporativa desde un terminal de uso público. Recuerda cambiar tus contraseñas de acceso en cuanto puedas conectarte a una red confiable.
- Forma a tus nuevos empleados. El verano suele ser época de sustituciones, por lo que debemos tener en cuenta la formación en ciberseguridad del nuevo personal. De lo contrario se pueden correr riesgos innecesarios simplemente por desconocimiento en los procedimientos de seguridad. Advierte de los peligros de la ingeniería social. Los nuevos empleados pueden ser un objetivo más fácil para los ciberdelincuentes ya que no están familiarizados con la rutina y los procedimientos propios de la empresa.Recuerda que el empleado es el eslabón más importante en la cadena de la ciberseguridad y apuesta siempre por su formación. Asegúrate de que antes de comenzar su actividad laboral conoce y sabe aplicar las políticas de seguridad de la empresa.
- Comprueba tus copias de seguridad. Ya conocemos la importancia de las copias de seguridad a la hora de recuperarnos de cualquier desastre o incidente de ciberseguridad y garantizar así la continuidad de negocio. Verificaremos que las copias se realizan regularmente, están en lugar seguro, sabemos cómo restaurarlas y realizaremos pruebas para asegurarnos de que funcionan.
- Vela por tu identidad corporativa y reputación online. Una mala gestión tanto de las redes sociales como de la página web de la empresa podría dañar la imagen empresarial y causar desconfianza hacia nuestra marca. No descuides las redes sociales porque disminuya la actividad, ya que en ellas mantenemos relaciones con clientes, proveedores y otros profesionales. Aplica las medidas de seguridad necesarias para proteger tu web ante posibles ataques, nunca olvides que es tu carta de presentación ante clientes potenciales.
- Comprueba que el plan de contingencia y continuidad de negocio de la empresa está actualizado. Durante nuestra ausencia, es importante que ante cualquier posible incidente que ocurra podamos garantizar la manera de reanudar la actividad normal de nuestra empresa en el menor tiempo posible y así minimizar las pérdidas. Designa una persona de confianza que conozca el plan y sepa cómo actuar llegado el caso de manera rápida y eficiente.
- Protege los equipos del calor. Los equipos informáticos son herramientas de trabajo y soportes de almacenamiento de la información de nuestra empresa. Aunque la temperatura siempre es un factor a tener en cuenta a la hora de proteger nuestros dispositivos, el calor típico de esta época del año nos obliga a prestar especial atención a las condiciones de temperatura y humedad de los lugares donde se encuentran situados los equipos, principalmente los servidores. De esta manera evitaremos posibles fallos y averías, incluso el riesgo de incendio.
¡Recuerda! No descuides la seguridad de tu negocio durante las vacaciones. Sigue nuestros consejos y asegúrate la tranquilidad de tener una empresa protegida. Nunca lo pongas fácil, ¡protege tu empresa!
Etiquetas:
Buenas prácticas, Concienciación, Empresa
Nota de DavidHellin: La noticia es original de INCIBE
¿Tu lugar de trabajo es una oficina inteligente en la que controlas a distancia el aire a condicionado y el sistema de iluminación de tu empresa? ¿La máquina del café avisa a la empresa de vending cuando queda poco azúcar? ¿Controlas la ubicación de tus vehículos de empresa desde tu ordenador? ¿Sabes que es el Internet de las cosas IoT?
¿Tu lugar de trabajo es una oficina inteligente en la que controlas a distancia el aire a condicionado y el sistema de iluminación de tu empresa? ¿La máquina del café avisa a la empresa de vending cuando queda poco azúcar? ¿Controlas la ubicación de tus vehículos de empresa desde tu ordenador? ¿Sabes que es el Internet de las cosas IoT?
Hace poco, publicábamos unos artículos sobre las medidas de ciberseguridad a la hora de conectar a las redes de las empresas los vehículos de empresa y las impresoras multifunción. Veíamos su deficiente configuración y protección respecto a otros sistemas como ordenadores, servidores, etc. que si «solemos» tener convenientemente protegidos, mediante el uso de cortafuegos, instalando antimalware, utilizando contraseñas fuertes, etc.
Pero, estos no son los únicos dispositivos que tenemos conectados a la red de la empresa y a internet. Hay otros dispositivos desprotegidos con los que no contamos para la ciberseguridad de la empresa ya que no suelen estar incluidos en las auditorías de seguridad. Los sistemas de seguridad físicos como cámaras de vigilancia Web IP, sistemas de control de presencia o alarmas que permiten el control remoto, sistemas de videoconferencia, medidores de energía o termostatos controlados en remoto desde un servidor, etc. son dispositivos que disponen de conexión directa a internet o las redes internas de la empresa y que no suelen estar controlados por la política de seguridad de redes de las empresas. Son dispositivos englobados en lo que se denomina IoT o «Internet de las cosas», que consiste en conectar a internet objetos cotidianos con el fin de que puedan ser manejados o gestionar la información que generan en remoto.
Todos estos dispositivos pueden parecer inofensivos para la ciberseguridad de nuestras redes y empresas pero no es así. Al ser dispositivos conectados a internet, son susceptibles de ser accedidos y comprometidos, además no suelen contar con los mismos estándares de calidad de seguridad de fábrica que otros dispositivos de red. Estos dispositivos suelen incluir deficiencias de seguridad como:
- usuarios y contraseñas de acceso por defecto y sin mecanismos que obliguen al usuario a cambiarlas por otras más seguras;
- páginas web de control y configuración inseguras o accesibles en remoto;
- inexistencia de cifrado en las comunicaciones;
- falta de personalización en la configuración de la seguridad;
- falta de soporte y actualizaciones de los fallos de seguridad detectados tanto en el software de control como en el firmware de los dispositivos.
Esto hace que sean una presa fácil para los ciberdelincuentes, que buscan este tipo de dispositivos como punto de entrada a las redes de las empresas o a otros puntos de la red que se encuentran más protegidos. El ataque y compromiso de estos dispositivos puede dar lugar a consecuencias graves para la seguridad como:
- ser añadirlos a una red zombi que pueda realizar ataques DDoS, como es el caso de la red Mirai, que dejó en 2016 sin servicio a varias de las empresas más importantes a nivel mundial durante varias horas;
- ser utilizado como puente o punto de entrada para atacar otros equipos de la misma red, para poder robar información o comprometer servidores para realizar otras acciones delictivas;
- reconfigurar los dispositivos y cambiar sus condiciones de utilización. Se podría manipular los termostatos del CPD para elevar su temperatura y producir una seria avería en los servidores ahí alojados.
Debemos ser conscientes del problema que suponen estos dispositivos para la seguridad de nuestras empresas, así como las consecuencias que puede acarrear su deficiente instalación, configuración y mantenimiento. Para ello debemos tomar todas las medidas de precaución que nos permitan estos dispositivos, y debemos tratarlos como cualquier otro elemento que tengamos conectado a nuestras redes, incluyéndolos dentro de las políticas de seguridad y del PDS de la empresa.
Algunas medidas o buenas prácticas que podemos adoptar para proteger estos dispositivos son:
- cambiar las contraseñas de fábrica por defecto;
- adquirir los dispositivos que resulten más seguros y que permitan actualizaciones de seguridad;
- habilitar su acceso a la red solo cuando sea necesario;
- evitar configurar el acceso a la red wifi de la empresa;
- deshabilitar el acceso remoto a los mismos desde fuera de la red interna corporativa;
- restringir el acceso únicamente al personal estrictamente necesario;
- desactivar la interfaz web si es posible;
- establecer un canal cifrado de comunicación.
Debemos ser precavidos con los dispositivos que conectamos a nuestras redes corporativas, ya sea a través de cable o por medio de una red wifi, por inofensivo que parezca. Cualquier dispositivo conectado a la red es susceptible de ser atacado y comprometido, y más si no dispone de las medidas de seguridad suficientes.
Debemos reducir el riesgo que suponen para las empresas y para el resto de la red corporativa, tomando conciencia del riesgo existente y de sus posibles consecuencias. ¡Protege tu empresa!
Etiquetas:
Amenazas, Area de informática, Concienciación, Empresa, Protección
Nota de DavidHellin: La noticia es original de INCIBE
Correo electrónico, redes sociales, aplicaciones de mensajería instantánea, páginas webs… ya sea porque nuestro trabajo así lo requiera o por su contenido estrictamente personal, son servicios de uso diario. La gran mayoría de los usuarios, a la hora de obtener evidencias en alguno de ellos, recurren a las capturas de pantalla. Esta forma de proceder puede ser suficiente cuando la finalidad es llevar un registro de algo como una noticia que nos ha llamado la atención o una imagen curiosa. Pero cuando la finalidad es certificar la existencia de un contenido en Internet, una simple captura de pantalla no es suficiente. En estos casos, recurriremos a los denominados «testigos online».
¿Qué son los testigos online?
Los «testigos online» permiten certificar evidencias digitales en una fecha y hora determinadas, esto es, el contenido de una web concreta en un momento determinado, o el envío de un correo electrónico a una persona específica. Para ello, la evidencia se firma digitalmente por un tercero de confianza, lo que acredita la veracidad de la misma. De esta forma cualquier clase de prueba tomada con este tipo de herramientas acredita su integridad, al contrario de lo que sucede con las capturas de pantalla o cualquier otro método similar en el que no interviene una entidad de confianza, y que no permiten demostrar su autenticidad.
¿Para qué son útiles?
Las posibilidades de estas herramientas son muy amplias ya que se pueden tomar evidencias certificadas de cualquier contenido web en Internet, como por ejemplo, suplantaciones de identidad en una red social, u obtener evidencias sobre una reclamación que hicimos por correo electrónico en un momento determinado.
Existe una gran cantidad de testigos online asociados a una gran variedad de servicios, pudiéndose certificar casi cualquier cosa que veamos en Internet. En el artículo de hoy os presentamos dos servicios gratuitos ofrecidos por la organización eGarante, colaboradora habitual de la Guardia Civil, que permiten certificar tanto correos electrónicos como páginas web en las que no sea necesario registro.
El primero de ellos eGarante Mail, permite certificar que un correo y sus archivos adjuntos, si los hubiera, fueron enviados en una determinada fecha a una determinada dirección. El funcionamiento de la herramienta es muy sencillo: a la hora de enviar un correo electrónico, ponemos en copia a eGarante por medio de la dirección 
, para que ejerza de testigo.
Una vez se ha enviado el correo al cabo de unos pocos minutos el emisor recibe un email de eGarante en el que se certifica que se ha enviado el correo a la dirección establecida.
Además, el correo enviado por eGarante contiene dos archivos adjuntos: el correo original que enviamos al destinatario y un archivo con extensión .pdf, cuyo contenido certificará inequívocamente que el correo y en su caso, el archivo adjunto, fueron enviados a la dirección establecida.
Si abrimos en archivo .pdf en la parte superior podremos obtener más información del certificado de eGarante, para ello haremos clic en «Panel de firma».
En la primera hoja del documento vemos datos referentes al correo como es el emisor, receptor, asunto, ficheros adjuntos y otro tipo de detalles de la evidencia, como la verificación de emisor y receptor.
En la esquina inferior izquierda de la primera hoja podemos ver la fecha y hora en la que se firmó el documento. Si hacemos clic se abrirá una ventana llamada «Estado de validación de la firma», dónde podremos comprobar que el documento ha sido firmado por eGarante como entidad certificadora válida, y que este documento no ha sido modificado desde que fue firmado.
Si se da la situación en que el documento hubiera sido modificado tras haber sido firmado, se mostrará un mensaje de aviso, tal y como muestra la siguiente imagen.
Las siguientes hojas del documento están compuestas por el correo electrónico y los archivos adjuntos, en caso de que los hubiera, en formato texto codificado. Como los ficheros van dentro de la verificación, en caso de que el remitente lo modificara no coincidiría con el del archivo creado con eGarante por lo que se podría demostrar su modificación.
Otra herramienta gratuita es eGarante Web, que nos permitirá hacer una copia de un sitio web siempre y cuando no precise de registro con usuario y contraseña. La finalidad de esta herramienta es obtener evidencias del contenido de una web en un momento determinado, ya que la prueba obtenida estará firmada digitalmente con fecha y hora. El funcionamiento es muy similar al de eGarante mail y su finalidad idéntica, ya que la captura es realizada por un tercero, certificando su contenido como prueba.
Para utilizar eGarante web lo único que hay que hacer es crear un nuevo correo poniendo como destinatario a 
y en el asunto la dirección de la que queremos obtener la captura firmada.
Al igual que con la otra herramienta recibiremos en nuestra bandeja de entrada un correo de eGarante con un archivo adjunto, en formato .pdf, que contiene una captura de pantalla de la web con una fecha y hora determinada.
Un ejemplo real del uso de eGarante Web , sería la obtención de evidencias de un comentario ofensivo en una red social como es Twitter. El usuario a quién va dirigido el mensaje decide actuar y para ello lo primero es obtener pruebas. La víctima accede a Twitter y busca el mensaje en cuestión, al seleccionarlo se puede ver que la URL cambia y termina en una sucesión de números que son el identificador único del mensaje. Como el usuario no tiene configurada la privacidad de su perfil de Twitter se puede utilizar la herramienta eGarante web para obtener las pruebas.
Una vez identificado el tuit ofensivo para obtener la prueba firmada solamente es necesario crear un nuevo correo cuyo remitente sea y como asunto la URL identificada anteriormente. Con la captura de pantalla firmada por nuestro testigo online estaremos en posición de interponer una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado sabiendo que la prueba tomada no podrá ser refutada.
En este artículo nos hemos centrado en herramientas gratuitas creadas por eGarante pero existen otras como las facilitadas por Doyfe, Evicertia, Terminis, etc. que complementan a las descritas en este artículo, como por ejemplo textos legales, anuncios web, sorteos, concursos, propiedad industrial, acoso, etc.
Conclusión
En las ocasiones en las que necesitamos dejar constancia de la existencia de un contenido web concreto, envío de correo electrónico o de mensajes, y esa constancia ha de tener validez legal, hemos de utilizar herramientas de este tipo, ya que si usamos simples capturas de pantalla, su validez puede quedar en entredicho.
Nota de DavidHellin: La noticia es original de OSI
Juan es el dueño de una confitería de éxito que cuenta con más de cien años de dedicación a sus clientes. Entre su variedad de productos, cuenta con algunos de altísima calidad que se está vendiendo tanto a nivel nacional como internacional. En especial, disponen de un tipo de bombón de trufa llamado «TruffaChoc». Es la joya de su negocio y al que le dedican una atención especial, habiendo creado un canal propio de distribución y venta para este producto a través de una web específica bajo un dominio .es.
Juan es el dueño de una confitería de éxito que cuenta con más de cien años de dedicación a sus clientes. Entre su variedad de productos, cuenta con algunos de altísima calidad que se está vendiendo tanto a nivel nacional como internacional. En especial, disponen de un tipo de bombón de trufa llamado «TruffaChoc». Es la joya de su negocio y al que le dedican una atención especial, habiendo creado un canal propio de distribución y venta para este producto a través de una web específica bajo un dominio .es.
Juan se vio obligado a ausentarse de su trabajo durante unas semanas debido a una enfermedad grave. Durante ese tiempo delegó algunas de sus funciones a uno de sus empleados, pero olvidó dar la orden de renovar el dominio de su producto estrella.
Para su sorpresa, una vez hubo regresado a su actividad laboral, observo con estupor al intentar recuperar su dominio, que este había sido comprado ya por otra persona. Y no solo eso, sino que habían creado un portal similar al suyo, utilizando los mismos textos e imágenes para «supuestamente» vender su producto.
¡Estaban usurpando su marca y producto! ¡Estaban aprovechándose del prestigio y buen nombre de su producto! ¿Estarían estafando a sus clientes?
¿Qué fue realmente lo que pasó?
En el caso de los dominios .es, como el que tenía Juan contratado, existe un periodo de gracia de diez días desde la fecha de expiración del mismo para que su propietario pueda renovarlo. Tras este periodo, el dominio pasa a estar disponible para ser comprado por cualquier persona.
En este caso, Juan no pudo atender la renovación de su dominio porque se le pasó la fecha de renovación, por lo que su dominio pasó a estar al alcance de cualquiera. Tras este periodo, alguien realizó un registro «oportunista» del dominio.
¿Cómo llevaron a cabo el engaño?
A pesar que el registro del dominio por parte del oportunista es legal porque el dominio estaba disponible, el registrador aprovecho la oportunidad para suplantar el negocio de Juan y construir una web fraudulenta usurpando la marca de un producto conocido y de prestigio. Una web donde se estafaban a los clientes de Juan al recopilar sus datos personales y de pago de unos pedidos que nunca iban a llegar a sus destinatarios.
¿Qué hacer si nos sucede esto?
Por un lado, si queremos recuperar el dominio .es, deberemos activar sistema de resolución extrajudicial de conflictos (DRP) sobre la utilización de nombres de dominio .es. Para ello es necesario poseer derechos previos sobre el nombre de dominio como son:
«Denominaciones de entidades válidamente registradas en España, denominaciones o indicaciones de origen, nombres comerciales, marcas registradas u otros derechos de propiedad industrial protegidos en España».
En este caso, Juan tenía registrado su producto y pudo acceder a este sistema.
También podemos interponer una denuncia ante la policía contra el registrador oportunista, ya que posiblemente se están cometiendo los delitos de usurpación de imagen y estafa al estar ofreciendo a la venta un producto exclusivo que no están autorizados a distribuir.
¿Qué hacer para que no nos suceda?
En todo caso, para este tipo de casos, debemos seguir las siguientes recomendaciones:
- Debemos estar atentos a los plazos de renovación de dominios y a los mensajes de aviso de la entidad registradora.
- Podemos proteger la marca de nuestros productos inscribiéndolos en el registro de la Oficina Española de Patentes y Marcas
- Ante cualquier tipo de delito, es conveniente denunciarlo ante las Fuerzas y Cuerpos de Seguridad del Estado, como la Brigada de Investigación Tecnológica de la Policía Nacional, o el Grupo de Delitos Telemáticos de la Guardia Civil.
- Si necesita soporte o asistencia, INCIBE dispone de su servicio de Respuesta y Soporte.
Conclusión
Juan tuvo suerte esta vez y pudo recuperar el control de su dominio sin que la imagen de su producto se viese seriamente afectada. Hubo algunas reclamaciones de clientes afectados por el secuestrador de dominio, pero supo solucionar el problema realizándoles una promoción especial de descuento.
Este tipo de incidentes es cada vez más habitual, y pueden afectar a la identidad digital y poner en peligro la reputación online de los negocios, especialmente al comercio electrónico como en el caso de nuestro empresario. Protege tu empresa.
Etiquetas:
Empresa, Fraude, Testimonios
Nota de DavidHellin: La noticia es original de INCIBE
Una de las amenazas de ciberseguridad más frecuentes en las pymes es el phishing. El término phishing viene del inglés fishing, que se pronuncia igual, y que significa pescar. En este caso no se pescan peces, sino datos personales como nombres de usuario, contraseñas o datos de cuentas bancarias.
Una de las amenazas de ciberseguridad más frecuentes en las pymes es el phishing. El término phishing viene del inglés fishing, que se pronuncia igual, y que significa pescar. En este caso no se pescan peces, sino datos personales como nombres de usuario, contraseñas o datos de cuentas bancarias.
Este incidente tiene dos caras:
- nosotros o nuestros empleados podemos recibir un email, una llamada telefónica o un mensaje SMS, que en realidad es un timo, con el que intentarán robarnos los datos personales, es decir, seremos los «pescados»;
- nuestra web puede ser atacada para suplantar a otra y enviar correos de phishing con los que robar datos personales de clientes de la entidad suplantada, es decir seremos «la caña del pescador».
Es decir, con este nombre se conoce por una parte a la estafa que podemos sufrir, generalmente a través de un mensaje fraudulento de correo electrónico, con el que el ciberdelincuente pretende capturar de forma ilícita nuestros datos personales: como contraseñas de acceso a nuestros sistemas o datos de nuestras cuentas bancarias.
Y también se denomina así al ataque que sufrimos en nuestra web por el que cambian su aspecto para suplantar a una entidad a la que redirigen a los que pican en los mensajes fraudulentos que envían masivamente y que podrían ser enviados desde la página falsa de la entidad suplantada. Esto fue lo que pasó a Andrés, un empresario que nos lo cuenta en esta historia real.
Para hacer frente a esta amenaza en tu empresa tienes que:
- Proteger tu web para impedir que sea objeto de este tipo de ataques.
- Concienciar a tus empleados para evitar que «piquen» en el anzuelo del email fraudulento y les den por ejemplo las contraseñas de acceso a nuestros sistemas, a nuestra web, o la cuenta del banco.
Además de proteger tu web, en esta infografía tienes diez consejos para evitar que tú o tus empleados seáis víctimas de phishing.
Los dos primeros van dirigidos al responsable de soporte tecnológico, para que evite cualquier fallo técnico y ponga en marcha las medidas tecnológicas como antivirus o filtros de correo, para evitar o identificar cualquier intento de infección de nuestros sistemas, ya que a través de un mensaje fraudulento podrían instalar algún tipo de malware de los que nos espían (spyware) y roban contraseñas (keyloggers).
Los otros ocho son consejos para todos los empleados, para desenmascarar cualquier intento de phishing y no «picar» en esos anzuelos.
El «cebo» de estos mensajes suele ser su remitente, su aspecto suplantando un correo legítimo y su tono de urgencia, adulador o amenazante. Son técnicas de ingeniería social y sólo podemos hacerles frente estando avisados y entrenándonos (por ejemplo con este kit).
El anzuelo viene en forma de enlace o fichero a descargar. Está afilado y si picamos no podremos soltarnos pues está diseñado con un doble gancho (la «muerte») para no perder la presa. Los enlaces pueden iniciar la descarga de malware o llevarnos a páginas en las que nos pedirán nuestras credenciales. Los ficheros adjuntos pueden tener malware o programas que se los descarguen. En ambos casos si hacemos clic, estamos muy cerca de quedar atrapados. Si has hecho clic en un enlace tendrás que aprender a identificar las páginas fraudulentas para que la «muerte» no te atrape. Y si descargas un fichero por error quizá lo mejor sea deshacerte de él. Sigue los consejos sobre los enlaces y los ficheros descargables para no morder el anzuelo.
Etiquetas:
Buenas prácticas, Concienciación, Empresa, Fraude, Infografía, Proteccion informacion
Nota de DavidHellin: La noticia es original de INCIBE
