¿Cómo evitar ser atacado, estafado o caer en el “cuento del tío”?

Este es un típico ataque de phishing que busca robar datos de usuarios como contraseñas, números de tarjetas de crédito, cuentas bancarias u otro tipo de información personal o financiera. Utiliza el correo electrónico con mensajes que imitan el formato, lenguaje y la imagen de las entidades bancarias y siempre incluyen una petición final en la que se solicita a los usuarios la confirmación de sus datos personales alegando problemas técnicos, cambios de políticas de seguridad, posibles fraudes, entre otros.

Otra de las recomendaciones de Certuy es no realizar transacciones bancarias en computadoras compartidas y no usar contraseñas inseguras porque son la puerta de entrada a la información personal. Se deben acotar las posibilidades de que la contraseña sea adivinada por el atacante. Lo ideal es cambiar la contraseña periódicamente, utilizar claves complejas de más de 8 caracteres que contengan espacios, símbolos números, mayúsculas y minúsculas. Además, no elegir palabras relacionadas con el sitio a utilizar y usar frases completas como contraseñas. Por ejemplo: “hoy fue un 5 de junio nublado”.

El tío.

La ingeniería social es “un nombre cool” para el “cuento del tío” o “el famoso mail del nigeriano” —que pide el número de cuenta bancaria y contraseña para regalar dinero, o pide depositar dinero en una cuenta en un acto desesperado de ayuda—, dijo Paz. “Estos ataques son extremadamente fáciles de implementar”, destacó. Más de la mitad de los incidentes informáticos detectados por Certuy están vinculados a la ingeniería social. “Hay que sensibilizar al usuario para que no caiga más en estos ataques, tienen que estar entrenados para no ser engañados”, aseguró.

El “cuento del tío” suele estar combinado con el phishing como el robo de contraseñas. Hace algunos meses ocurrió con Google Docs. Sus usuarios recibieron un mail supuestamente de Google que pedía cambiar la contraseña pero era falso. Últimamente también ocurren estas estafas a través de teléfonos celulares smartphones. “No se basa en detectar vulnerabilidades de su software sino en engañar al usuario”, agregó Paz.

Más ataques.

Un aviso en la pantalla de la computadora que parecía pertenecer a la policía sorprendió a numerosos usuarios uruguayos. Si no depositaban rápidamente 50 dólares en una cuenta de un servicio de transferencia de dinero no podrían acceder más a la información que tenían archivada en la computadora. El mensaje acusaba de haber bajado música ilegal y entrado a sitios de pornografía. A cambio la falsa policía multaba por haber tenido esa conducta en Internet. Varias personas acudieron a pagar la multa. Este relato pertenece a un caso real, comentó Paz durante el “Primer Encuentro sobre uso saludable de las TICs y redes sociales en la infancia y la adolescencia”, que se realizó el 29 de mayo en Montevideo. El tipo de ataque se llama ransomware o secuestro de máquinas.

La variedad de ataques es diversa. El clásico malware es el virus de computadora que se mete dentro de los sistemas y sin que el dueño de la computadora lo perciba roba datos, consigue información o simplemente rompe el sistema. Estos programas se pueden usar también para crear Botnets, computadoras que funcionan a control remoto sin que el usuario sepa. La red de robots puede superar las 100.000 computadoras controladas por una sola para robar o simplemente hacer caer sitios web cuando ingresan todas juntas a una misma dirección web. Hay de todo en Internet; también hay seguidores falsos de Twitter y tanto estas redes de computadoras como los seguidores falsos se alquilan por unos pocos dólares.

En 2010 en Irán sofisticados delincuentes “hackearon” una planta nuclear y la dejaron fuera de servicio. Para lograrlo utilizaron un malware especialmente diseñado para detenerla. Lo pusieron en un pen drive y lo tiraron por encima del muro para adentro de la empresa. El ataque comenzó cuando un empleado curioso conectó el pen drive en su computadora.