El Black Friday, nuevos capítulos de El juego del calamar o el último tráiler de La casa de papel son cosas que llaman especialmente la atención del consumidor, ya sea por sus ganas de comprar los regalos navideños o de entretenerse. Sin embargo, las tres cosas tienen algo en común que el usuario no suele tener en cuenta: son el gancho perfecto para que los ciberdelincuentes infecten ordenadores y se apropien de datos privados.
“Los cibercriminales ofrecen algo que pueda enganchar al consumidor. Lo que hacen es enviarle algo que saben que es trending topic para atraer su atención y que tenga que hacer clic”, explica Marc Rivero, analista del equipo de investigación de Kaspersky. “Una vez lo hace, el usuario se descarga un archivo infectado en su ordenador o el cibercriminal le puede pedir los datos para una aparente promoción y acabar robándole”, añade. “Todo aquello que sea de orden local o mundial, desde el Black Friday hasta Navidad, el día de la Madre o del Padre, es susceptible de convertirse en un gancho para el cibercriminal, de ser una campaña de algún tipo de malware para que el usuario se infecte”, asegura Rivero.
Cuidado con los “fenómenos de masas”
“Hay que tener cuidado con cualquier fenómeno de masas. El juego del calamar se ha convertido en uno, y los ciberdelincuentes intentan aprovecharse de ellos para realizar fechorías”, coincide Sergio Jiménez, director ejecutivo de Aiwin. Esto no ocurre, expone Jiménez, solo con las descargas de episodios. “Estos profesionales meten malware al usuario mediante aplicaciones y juegos. Sitios como Google Play o App Store tienen mecanismos para controlar las apps que suben los creadores, pero sigue pasando”, declara el especialista.
Lo mismo ha pasado con los disfraces de esta serie en Halloween. “Los ciberdelincuentes han recurrido al SEO Phishing: posicionan páginas en Google y otros buscadores para que cuando alguien busque los disfraces, aparezca un e-commerce donde aparentemente se venden, pero realmente es solo una estrategia para recopilar los datos de la tarjeta del usuario”, advierte Jiménez. “Vinculando campañas a estos productos, maximizan las oportunidades de hacerse con los datos del consumidor”, subraya.
“Llevar al consumidor a donde ellos quieren”
Internet es peligroso: hay que conocer bien las urls a las que nos dirigimos. “El ciberdelincuente engancha al usuario con algo comercial para llevarle donde él quiere y, una vez en su contexto, sacarle información para explotarla”, señala Gedeón Domínguez, director ejecutivo de Cloud District. “Aprovechan desde redes de blogs o mecanismos de marketing tradicional hasta medios de comunicación para llegar hasta el usuario con el objetivo de colarle una url y pasarle virus, troyanos y gusanos”, alerta Domínguez, al tiempo que también admite que “cada vez estamos mejor protegidos por navegadores y sistemas operativos”.
Por eso es tan importante “verificar la url de los mails”, aporta Joan Llopis, director de tecnología de Cloud District. “Cualquiera puede enviar al consumidor un correo con una supuesta oferta de Mercadona que no es real. Y con cosas del Black Friday pasa lo mismo: el usuario no recibe una url no confiable al entrar en Amazon”, sostiene Llopis. “Los comercios no suelen hacer estas cosas a no ser que el usuario esté dado de alta en sus listas de correo. Sus ofertas llegan por una vía directa”, especifica.
Información confidencial
Lo más importante es no dar nunca los datos personales. “El peligro real es que el ciberdelincuente puede pedir al usuario información confidencial que luego puede explotar”, informa Domínguez. “Si el consumidor comparte una contraseña que está utilizando para más cosas, da acceso al criminal a más tipos de plataformas. Es la puerta para cambiar la contraseña de cualquier otro servicio”, advierte el directivo de Cloud District.
Por ello, Llopis recomienda “ser prudente”. “Cuando el consumidor vea una oferta muy golosa, que desconfíe. Sobre todo si son sitios a los que no suele acceder”, dice. “Si recibe un correo con un enlace, si le llega un aviso de que su cuenta va a cancelarse, que se asegure, llame o acceda a la web de la plataforma. Ante todo, que no siga el enlace e inicie por sí mismo la conversación”, aconseja. También es cuestión de “sentido común”. “Ninguna institución va a pedir datos por teléfono o correo. Lo mejor es descartar y verificar antes”, afirma.
El valor de “ser desconfiado”
El analista de Kaspersky también considera que “la solución es jamás entregar los datos personales por internet, salvo que la compra se haga en una plataforma muy conocida”. “El usuario es el eslabón más vulnerable de la cadena”, recuerda. Según Rivero, el problema reside en la “falta de consideración en ciberseguridad”. Por su parte, Llopis apunta a la confianza. “Somos muy confiados”, destaca, e invita a “ser desconfiado porque realmente nunca se sabe quién está al otro lado de la conversación”.
“En seguridad informática hay una línea llamada zero trust, basada en desconfiar por defecto, en no dar acceso a nada. Si alguien lo necesita, será el usuario quien se lo dé explícitamente”, expone. “La gente no percibe maldad y es confiada con lo que recibe. Hay que desconfiar y no dar usuarios y contraseñas de algo que no se ha pedido”, señala el experto en tecnología.
La formación, clave
Llopis apuesta por la educación. “El estado y los medios deberían ser un poco más formativos en este sentido, porque el desconocimiento es total… como usuario, la gente no sabe dónde comprobar la url, por ejemplo”, señala. Y lo que no es la url. “Tenemos que entender dónde entramos, dónde estamos, saber identificar la url, ver que esté certificada, entender quién es el proveedor del contenido y si es de confianza”, agrega Domínguez. “Nos tenemos que ir educando como consumidores”, insiste.
Además de esto, el director de Aiwin invita a “pensar antes de hacer clic” y “ser conscientes de que ahora hay más valor en un móvil que en una casa”. “Ahí están las apps, los bancos, los contactos… Hay que ser conscientes de que la puerta a nuestra vida está en estos dispositivos”, concluye.