Desde hace varios años, el primer jueves de mayo se celebra el Día Mundial de las Contraseñas, que pretende concienciar al usuario sobre su importancia, ya que son la llave de entrada hacia nuestra información personal.

En multitud de ocasiones podemos comprobar que usuarios de diferentes tipos de dispositivos tienen bastantes dificultades a la hora de establecer contraseñas seguras y robustas. Motivados por no olvidarse de las mismas o por simple pereza, establecen contraseñas débiles tipo “123abc”, “qwerty”, “fecha_nacimiento”, “admin”, etc. que son el sueño de todo ciberdelincuente, ya que les permiten de manera relativamente sencilla acceder a servicios privados de usuarios: redes sociales, correo electrónico, servicios en la nube, etc.

En otras ocasiones tendemos a la reutilización de contraseñas, lo que implica que si un ciberdelincuente se hace con la de un determinado servicio por ser débil, por estar escrita en algún post-it, porque el servicio ha sufrido alguna intrusión en sus sistemas y han conseguido robar los datos de acceso de los usuarios, o por cualquier otro motivo, conseguirá acceder al resto de los servicios.

En este Día Mundial de las Contraseñas, desde la OSI os queremos dar unos consejos prácticos para gestionar las contraseñas de manera segura y responsable que os ayudarán a proteger vuestra privacidad y la integridad de los datos sensibles que se albergan detrás de cada servicio o dispositivo:

1. Utiliza contraseñas robustas. Para ello, deberán estar formadas por al menos 8 caracteres: mayúsculas, minúsculas, números, caracteres especiales. Además, para recordarlas con mayor facilidad, puedes hacer uso de reglas mnemotécnicas.

2. Evita utilizar las mismas contraseñas para acceder a varios dispositivos o servicios. Si la de uno se ve comprometida, lo estarán el resto.
3. Algunas contraseñas no debes utilizarlas. Es fundamental no relacionar el nombre de usuario con la contraseña y no utilizar fechas de nacimiento o significativas. Son prácticas que debemos evitar si queremos que no sean descubiertas con facilidad.
4. No compartas contraseñas. Si lo haces, dejará de ser secreta y esa es la principal característica de una contraseña. Además, estarás concediendo acceso a otras personas a tu privacidad y datos sensibles.
5. No la dejes apuntada a la vista de cualquiera. No se lo pongas tan fácil a los fisgones y ciberdelincuentes.
6. Sé precavido con las preguntas de seguridad. Si utilizas este mecanismo para la recuperación de contraseñas, asegúrate que solo tú conoces las respuestas.
7. Modifica las contraseñas periódicamente y mantente al día suscribiéndote a los boletines de la OSI. Si ocurre algún incidente de ciberseguridad con alguno de los servicios que utilizas, estarás informado.
8. Utiliza gestores de contraseñas. Si te cuesta memorizar las contraseñas o utilizas muchos servicios, apóyate en este tipo de programas. Son muy útiles y sencillos de manejar.
9. No abuses de contraseñas almacenadas en el navegador. Si compartes el dispositivo con otras personas, no es una práctica segura.

Pero por si acaso tuviéramos dudas sobre la robustez de nuestra contraseña, existen una serie de mecanismos que nos ayudarán a aumentar la protección de nuestros servicios o dispositivos, como son las siguientes:

1. Verificación en dos pasos. También conocido como doble factor de autenticación (2FA), se trata de una técnica que añade una capa de seguridad extra y que impide que alguien sin una autorización expresa acceda a la cuenta o servicio que cuente con esta funcionalidad. Cuando utilizamos este tipo de verificación, además de la contraseña será necesario un código único para poder acceder al servicio. Este código suele enviarse al teléfono móvil del usuario a través de un SMS, lo que hace muy difícil que un ciberdelincuente pueda acceder a la dupla password + código.

2. Utilización de llaves de seguridad. Este sistema está basado en el uso de una llave USB en el momento de iniciar sesión, de tal manera que al acceder a nuestra cuenta, además de las credenciales el sistema te pedirá que introduzcas dicha llave, por lo que únicamente estando en posesión de la misma, se tendrá acceso.

Si no hemos sido precavidos y tenemos sospecha que alguien está haciendo uso fraudulento de nuestros credenciales:

1. Deberemos cambiarla inmediatamente, y contactar con los administradores del servicio en cuestión a través de los mecanismos que faciliten para tal fin para notificar la problemática.
2. Avisar al banco inmediatamente si hemos sido víctimas de algún fraude de tipo phishing que afecte a nuestras credenciales de acceso al servicio de banca online.
3. Si el problema no se resuelve, denunciar el hecho ante las Fuerzas y Cuerpos de Seguridad del Estado (FCSE).

Las contraseñas son las llaves que dan acceso a nuestros servicios e información personal y confidencial, por lo que si alguien las consigue puede comprometernos. Por ello, en el Día Mundial de las Contraseñas consideramos que es necesario concienciarse haciendo uso de buenas prácticas para evitar riesgos.

El ransomware es uno de los tipos de malware que más ha evolucionado, que más está afectando a los usuarios y que muy probablemente, más afectará en el futuro. En sus comienzos, el ransomware bloqueaba el quipo y solicitaba un rescate a cambio de su liberación, basándose en que el usuario había cometido diferentes delitos relacionados con las descargas y pornografía. Para ello, hacía uso de imágenes y logotipos de las Fuerzas y Cuerpos de Seguridad del Estado, lo que añadía una dosis de credibilidad al fraude. Para desbloquear el equipo, la víctima debía pagar una cantidad que rondaba los 100 Euros, a través de servicios de envío de efectivo, como Ukash o Paysafecard. A este tipo de malware se le dio el nombre de virus de la policía, y su posterior evolución llegó a infectar también a los smartphones.

Cuando las campañas comenzaron a no ser tan rentables para los ciberdelincuentes, el ransomware evolucionó. Su objetivo ya no era únicamente bloquear el dispositivo, sino que también se fijó en la información que este alojaba, ya que el sistema operativo es fácilmente reemplazable pero la información contenida en su disco duro, en muchas ocasiones, no. Esta variante del ransomware basaba su funcionamiento en cifrar los archivos personales de la víctima impidiendo su acceso, y en caso de querer recuperarlos, debía pagar el rescate solicitado, generalmente en Bitcoins, que es una moneda virtual difícilmente rastreable.

La variante anteriormente descrita sigue siendo muy efectiva en la actualidad, pero el objetivo de los ciberdelincuentes se ha diversificado, no fijándose únicamente en los archivos personales. Motivados por la existencia de gran cantidad de dispositivos cotidianos con acceso a Internet, conocidos como el Internet de las cosas o IoT (“Internet of things”), los ciberdelincuentes han encontrado un filón que ya han comenzado a explotar.

La gran mayoría de fabricantes de dispositivos IoT centran sus esfuerzos en lanzar al mercado, con la mayor celeridad posible, dispositivos que tengan una gran acogida entre los consumidores, centrándose en la funcionalidad de los mismos, y descuidando los aspectos más esenciales de seguridad. Por otro lado, los usuarios, a la hora de comprarlos deberían informarse de las medidas de seguridad que tiene implementadas, y en caso de recabar algún tipo de información, qué hace luego con ella.

Hay que tener en cuenta, que cualquier dispositivo conectado a Internet, como los televisores inteligentes o smartTV, son susceptibles de ser víctimas del ransomware. A esta práctica se la conoce como ransomware of things o RoT. Ya se han dado casos de televisores inteligentes infectados con un ransomware similar al anteriormente mencionado, «Virus de la Policía».

El método de infección más común en cualquier dispositivo inteligente procede de la instalación de aplicaciones que no provienen de la tienda oficial. Al igual que sucede en los smartphones, las aplicaciones de dispositivos inteligentes alojadas en las tiendas oficiales han pasado una serie de controles de seguridad. Al instalar en el dispositivo una aplicación de un repositorio distinto a la tienda oficial, no ofrece garantías de que la funcionalidad sea la que se supone que debe de ser, y por lo tanto, la posibilidad de infección del dispositivo aumenta considerablemente.

Las recomendaciones para que nuestros dispositivos inteligentes no seas infectados por un ransomware son similares a las que debemos aplicar para evitar que nuestro móvil se infecte.

1. Únicamente instalar aplicaciones de las tiendas oficiales, ya que son garantía de haber pasado una serie de controles de seguridad. Esto implica que si una aplicación ha sido desarrollada por un fabricante de dispositivos reconocido, podremos estar seguros que no es fraudulenta.
2. Mantener siempre el sistema operativo actualizado. De esta forma corregiremos las diferentes vulnerabilidades que hayan sido detectadas y solucionadas por el fabricante.
3. No conectar ningún dispositivo de almacenamiento externo, como un disco duro o una memoria USB, que hayan podido ser utilizados en un equipo del que desconocemos su nivel de seguridad.
4. Conectarse únicamente a través de nuestra red wifi, o de alguna que consideremos segura, evitando siempre las redes wifi abiertas.
5. Evitaremos vincular cualquier dispositivo del que desconozcamos su nivel de seguridad, ya que podría infectar al nuestro.
6. No modificar o eliminar las medidas de seguridad que tenga el dispositivo implementadas, como por ejemplo rootear una smartTV, ya que lo estaremos haciendo más vulnerable en caso de un fallo de seguridad.
7. En caso de haber sido infectados con ransomware o cualquier otra clase de malware, nos pondremos en contacto con el fabricante de nuestro dispositivo para que nos de soporte sobre cómo solucionar el problema.

El malware que tradicionalmente afectaba a ordenadores ha evolucionado. En la actualidad, con el IoT cada vez más presente, ha aumentado nuestra exposición a ser infectados, por lo que no debemos bajar la guardia y seguir las recomendaciones que os facilitamos desde la OSI.

Diariamente se envían más de 200.000 millones de mensajes de correo electrónico. De todos ellos, una parte son comunicaciones legítimas, pero hay otra parte muy importante destinada a fines maliciosos. Desde los Servicios de Detección de la OSI os podemos decir que diariamente identificamos miles de correos que podrían tratarse de alguna amenaza y que podemos clasificar en distintos grupos en función de sus objetivos:

Phishing

Se trata de correos electrónicos que suplantan a una empresa, entidad o servicio con el objetivo de robar las credenciales del usuario. Dentro de este tipo de correos, en primer lugar y como principal amenaza, encontramos a los que suplantan a Bancos y medios de pago online, como PayPal, cuyo objetivo principal es robar dinero y/o los datos bancarios (credenciales, información personal, etc.).

También encontramos correos que suplantan a compañías que ofrecen servicio de correo electrónico, como Microsoft o Google.

En estos últimos casos, el objetivo principal es robar las credenciales del servicio para obtener datos personales del usuario pero además, saber qué otros servicios usa el usuario afectado. Además, con esta acción el ciberdelincuente tiene bajo su control la cuenta de correo con la que probablemente pueda recuperar la contraseña de multitud de servicios: Instagram, Dropbox, Netflix, Spotify, etc.

Fraudes económicos

Son correos que persiguen únicamente obtener dinero de la víctima a través del engaño. Para ello, utilizan la ya conocida ingeniería social para “camelar” a sus víctimas, ganar su confianza y obtener rédito a través de envíos económicos. Podemos encontrarnos con varias historias entre las que destacamos las siguientes:

Viuda nigeriana, militar estadounidense. Alguien nos dice que dispone de mucho dinero pero que necesita nuestra ayuda para sacar el dinero del país en el que está retenido. Nos pedirán dinero para gastos de gestión, abogados, etc.

Persona enferma terminal. En este caso el mensaje del email detalla que nos han escogido porque tienen la intención de donar su fortuna para destinarla a fines sociales. Como en el anterior caso, nos piden dinero para gastos de gestión, abogados, etc.

Premio de lotería europea, Euromillones, lotería de Bill Gates u otro tipo de premios. El correo informa de que hemos sido agraciados con un premio de lotería. Para cobrarlo debemos pagar los gastos de gestión, impuestos, abogados, etc. con dinero que debemos adelantar.

Préstamos a un interés muy bajo. Mediante un correo electrónico nos ofrecen un crédito a un interés muy bajo (actualmente en torno al 3%), no nos pedirán avales, y cuando nos informan de que nos lo han concedido, antes de obtener el dinero fruto del hipotético préstamos, nos solicitarán que paguemos los gastos de gestión, de notario, de seguro, incluso el de cancelación de la operación si nos echásemos atrás.

Oferta laboral en el extranjero, en la que tras informarnos de que hemos resultado elegidos para el puesto, tenemos que adelantar dinero para gastos de gestión.

Mulero

En estas notificaciones nos ofrecen un empleo muy bien remunerado sin necesidad de contar con ningún tipo de experiencia. Este tipo de “trabajo” consiste en recibir dinero en nuestra cuenta corriente y reenviarlo por medio de plataformas de envío de dinero sin posibilidad de seguimiento como son Western Union, UKash, etc. Los destinatarios son los ciberdelincuentes, y su único objetivo es blanquear el dinero robado previamente. Hay que destacar que la persona que hace de mulero está cometiendo un delito que tiene pena de prisión.

Infección de malware

Correos con archivos adjuntos maliciosos. En estos correos llegan con un fichero adjunto, un programa que de abrirse y ejecutarse descargará el malware/virus e infectará el dispositivo. Generalmente los adjuntos son ficheros comprimidos .zip o .rar, aunque no siempre tienen por qué serlo, en ocasiones llegan en forma de documentos familiares para los usuarios: Word, Excel, PDF, etc. Un ejemplo:

Correos con enlaces que intentan que te descargues un documento de un sitio de Internet, generalmente servicios de almacenamiento en la nube tipo DropBox, Drive, OneDrive, etc. Para ello, los ciberdelincuentes usan como gancho una supuesta factura o archivo de interés para el destinatario, que en realidad puede ser una hoja de cálculo u otro tipo de documento con una macro (pequeño programa que puede realizar diferentes acciones de forma automática) que a su vez descargará el malware.

Correos con archivos adjuntos maliciosos y además con un enlace de descarga a otro malware.

Conclusión

Como veis, existen multitud de fraudes que nos pueden llegar a través del correo, por ello y aunque en la actualidad los servicios más importantes como Gmail, Outlook, Yahoo, etc. están poniendo barreras a este tipo de amenazas, siempre hemos de mantenernos alerta para evitar ser una víctima más.

En caso de haber sido víctima de un fraude, recopila toda la información que te sea posible: correos, capturas de conversaciones mediante mensajería electrónica, documentación enviada, etc. y presenta una Denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado. Si quieres conocer más detalles, visita nuestra sección Reporte de Fraude o contacta con nosotros para saber cómo actuar.

Recuerda, los correos electrónicos son una herramienta muy útil, pero no están exentos de riesgos. Hemos de tener en cuenta ciertos aspectos que nos han de “disparar las alarmas”, y ante la menor duda sobre su legitimidad, consultaremos al remitente, si no hay contestación los eliminamos directamente.