|
Preocupado por una compra que no hizo, y sin poder responder al correo porque es una dirección automática, el empleado llama al número. Al otro lado de la línea, una persona que se hace pasar por soporte técnico de Microsoft ofrece “ayuda” e indica a la víctima que instale un programa en su computadora. Pero ese programa en realidad es malicioso: puede permitir que los delincuentes vean lo que hace el usuario, roben contraseñas, accedan a cuentas bancarias o incluso tomen el control completo del equipo.
Una posible explicación que brindan los especialistas de Kaspersky, es que los delincuentes pudieron haber tenido acceso a credenciales para generar compras falsas y hacer que el sistema envíe automáticamente estos correos a la persona que quieren engañar. El único campo que pueden modificar es la información de facturación, donde colocan su número y mensaje. Como todo lo demás del correo es legítimo, el mensaje pasa filtros de seguridad sin problemas.
Además del riesgo inmediato para el empleado afectado, este tipo de ataques representa un peligro considerable porque muchas personas utilizan sus computadoras de trabajo para realizar actividades personales. Según el estudio Resaca Digital de Kaspersky, el 70% de los usuarios en México revisa su correo personal desde el equipo laboral, el 50% accede o publica en redes sociales y el 34% realiza compras en línea. Estas prácticas amplían la superficie de ataque, ya que los ciberdelincuentes pueden aprovechar cualquier descuido, como una contraseña débil o un acceso simultáneo a servicios personales, para obtener información valiosa o introducir software malicioso.
En el contexto corporativo, una sola computadora comprometida puede servir como puerta de entrada para atacar a toda la organización. Si el atacante logra instalar un programa malicioso, puede moverse dentro de la red, recopilar credenciales de acceso a sistemas internos, interceptar información confidencial e incluso lanzar ataques más destructivos, como el secuestro de datos (ransomware). En estos casos, el daño no solo afecta al usuario, sino que puede escalar rápidamente y poner en riesgo la continuidad operativa de la empresa.
“Este tipo de estafa es especialmente peligrosa porque se basa en un engaño emocional muy simple: el miedo a haber cometido un error costoso en el trabajo. Los atacantes saben que, si logran asustar a alguien con una supuesta compra de cientos de dólares, lo más probable es que actúe rápido sin pensar demasiado. Y como el correo viene de Microsoft, no genera sospechas,” asegura Lisandro Ubiedo, analista de seguridad del Equipo Global de Investigación y Análisis para América Latina en Kaspersky. “Lo más grave es que muchas soluciones de seguridad no bloquean estos mensajes, porque son legítimos. No se trata de un correo falso, sino de un uso malintencionado de un sistema verdadero. Por eso, más que nunca, la prevención y la educación son clave”, agregó.
Con el fin de evitar este tipo de estafas, los expertos de Kaspersky recomiendan:
-
No llamar a números que aparecen en correos electrónicos, a menos que hayan sido verificados previamente: Ante una situación sospechosa, nunca se debe confiar en un número incluido en el mismo mensaje. Siempre se debe contactar al proveedor tecnológico a través de su página web oficial o con ayuda del área de sistemas de la empresa.
-
Contar con protección digital en todos los dispositivos usados para trabajar: Es fundamental tener instalado software de seguridad confiable, que detecte si un programa intenta controlar la computadora, acceder a archivos privados o grabar lo que se escribe. Esto puede evitar que los daños se concreten si alguien cae en la estafa.
-
Capacitar al personal regularmente sobre cómo identificar intentos de estafa: Los empleados deben saber que no todo lo que parece legítimo lo es. Con entrenamientos breves, prácticos y repetidos, es posible enseñar a detectar señales de alerta. Herramientas como Kaspersky Automated Security Awareness Platform permiten que estos entrenamientos se realicen de forma simple y automática.
Para más información sobre cómo proteger la seguridad digital, visita nuestro blog.
|
