Apuntes de ciberseguridad

El spoofing

Hasta el tercer trimestre de 2023 se cometieron más de 300.000 delitos penales relacionados con estafas informáticas. Phising, smishing o vishing son diferentes formas en las que los estafadores pueden acceder a nuestros datos privados y acceder a las cuentas bancarias.

El spoofing o suplantación de identidad es una técnica de hackeo mediante la cual se obtienen datos relevantes de la víctima haciéndose pasar por un remitente oficial, como el empleado de una entidad financiera o de cualquier otro organismo.

Hay diferentes formas de realizar esta suplantación: una web falsa, un correo electrónico fraudulento, una llamada telefónica o direcciones IP.

LA ESTAFA TELEFÓNICA DE SPOOFING

También se conoce como spoofing a la estafa telefónica que consiste en que un falso empleado solicita verbalmente las claves para acceder a la banca telefónica. Aunque parezca que la simple petición de datos personales ya despierta suficientes sospechas, lo cierto es que los delincuentes se las ingenian para conseguir que alguien muerda el anzuelo.

El propio ciberdelincuente advierte que por motivos de seguridad no se debe verbalizar la clave a nadie y que la contraseña se debe marcar directamente en el teléfono. Se trata igualmente de una trampa: el estafador capta las pulsaciones en el terminal controlando desde ese momento las claves secretas.

EL CALLER ID SPOOFING

En este caso, los estafadores logran ocultar su teléfono real y mostrar en su lugar el que deseen, como el número de una oficinas de una entidad bancaria, y así poder pasar como una llamada verídica. Pueden advertir que desde el banco han detectado que alguien ha accedido a la aplicación con sus claves desde otro móvil. Como no es una tarjeta que se pueda bloquear sino una app hay un peligro inminente de realizar operaciones sin nuestro consentimiento. Crean así una sensación de inseguridad y a la vez de urgencia para encontrar una solución.

CÓMO EVITAR UN ATAQUE DE SPOOFING

Un ciberataque de spoofing puede llegar de diferentes formas:

• Web Spoofing: suplantación de una página web real por otra falsa. La web falsa es una copia del diseño de la original, llegando incluso a utilizar una URL muy similar.

• Email Spoofing: suplantación de la dirección de correo de una persona o entidad de confianza.

• SMS Spoofing: suplantación de identidad por SMS.

• IP Spoofing: suplantación de la dirección IP de la víctima, haciéndola pasar por una dirección distinta. De este modo, consigue saltarse las restricciones del router del servidor y, por ejemplo, hacer llegar un paquete con malware. 

• DNS Spoofing: suplantación de la DNS (Domain Name System), es decir, la tecnología utilizada para conocer la dirección IP del servidor donde está alojado el dominio al que queremos acceder. Aunque intentemos acceder a la URL correcta, el navegador nos redireccionará a la web fraudulenta.

• Caller ID Spoofing: suplantación de identidad en las llamadas, falsificando el número desde el que el estafador llama.

En cualquier caso, la regla de oro para evitar un ataque de spoofing es recordar que ninguna empresa privada o institución pública solicita datos de carácter personal a sus clientes.

Medidas para reducir el riesgo de sufrir un ataque de suplantación de identidad 

• Comprobar siempre la dirección del remitente, evitando responder a correos electrónicos, mensajes o llamadas de remitentes desconocidos. 

• Prestar atención a redacciones deficientes, con fallos ortográficos y que incitan a tomar acciones en tono de urgencia.

• No proporcionar datos personales, confidenciales, de acceso, o bancarios a través de estas vías.

• Evitar pulsar en enlaces o descargar archivos de correos electrónicos y mensajes sin verificar la veracidad de la información y del remitente. 

• Utilizar herramientas de seguridad. Entre ellas, activar un filtro antispam y corroborar con la fuente oficial, si es necesario.

• Utilizar la firma digital o cifrado en los correos electrónicos para autenticar nuestras comunicaciones, ayudando a prevenir posibles suplantaciones a nuestra empresa.

• Comprobar que se trata de una conexión segura con un certificado SSL (el candado al lado de la dirección web) y siempre con una conexión https.

• Prestar atención a las URL para evitar casos de cybersquatting. También a las faltas de ortografía o cambios en el contenido de la web.

• Proteger/blindar nuestro router, restringiendo las conexiones remotas, cambiando las contraseñas por defecto, además de seguir las pautas para identificar webs fraudulentas. 

• Mantener los equipos actualizados a la última versión, tanto del sistema operativo, como del navegador y las aplicaciones.

• Utilizar contraseñas robustas y diferentes para cada servicio, modificarlas regularmente y, cuando sea posible, activar un doble factor de autenticación.

• Realizar exámenes y chequeos de seguridad periódicos para luchar contra accesos maliciosos que puedan modificar los ajustes de los DNS en nuestros equipos y routers.

• Descargar aplicaciones o software de mercados oficiales.