Por Javier Rincón, Director Regional de Avast Latam

El Buen Fin 2022 se acerca, teniendo en cuenta la inflación y los elevados costos de energía, es probable que muchas personas busquen ofertas para ahorrar dinero.  Esto es algo que los ciberdelincuentes conocen bien y explotarán, dada la vulnerabilidad de muchos. Durante esta época, la probabilidad de abrir accidentalmente un correo electrónico de phishing y hacer clic en un enlace puede ser mayor de lo habitual.

Abrir un correo electrónico de phishing

El simple hecho de abrir un correo electrónico proporciona a los ciberdelincuentes información valiosa. Cuando alguien abre un correo electrónico de phishing, hace saber al remitente que existe y que es susceptible de recibir más de estas amenazas. Además, acceder a este tipo de correos puede permitir a los atacantes saber qué navegador utiliza la persona, revelando si ese navegador es vulnerable. Los criminales utilizan este conocimiento para futuros ataques y el siguiente envío podría ser más peligroso, preparado para una víctima específica junto con su navegador potencialmente vulnerable.

Dar clic en un enlace de un correo electrónico de phishing

El sector de la ciberseguridad advierte continuamente a la gente de que nunca haga clic en enlaces sospechosos en los correos electrónicos de phishing, pero ¿qué ocurre si alguien lo hace por error? Abrir un enlace de este tipo, rellenar información personal en un formulario y enviarlo hace que llegue directamente a los ciberdelincuentes.¿Qué ocurre si una persona se da cuenta antes de pulsar el botón de envío?

En casos extremos, los sitios web pueden contener una carga útil drive-by, un programa malicioso que se descarga sin requerir ninguna acción por parte de la víctima. Estas aprovechan las vulnerabilidades de otros programas como sistemas operativos o navegadores, para infectar las computadoras con malware. Avast descubrió recientemente una vulnerabilidad de día cero en Google Chrome utilizada para propagar una carga útil drive-by para espiar a un conjunto específico de víctimas.

Tanto los sitios web de phishing, como los sitios web normales, pueden incluir anuncios maliciosos, incluso si alguien no realiza ninguna acción en un sitio de phishing desde un correo electrónico de phishing, podría ser atraído por publicidad malintencionada. Durante el Buen Fin, esperamos ver estos anuncios disfrazados de las principales tiendas departamentales o publicidad con ofertas falsas que son demasiado buenas para ser verdad. Si se hace clic, es probable que se descarguen programas maliciosos o malware.

Los enlaces incluidos en los correos electrónicos de phishing quizá no lleven a sitios de phishing. En su lugar, podrían llevar a sitios de confianza, para luego redirigir a los visitantes a un sitio web vulnerable y así realizar un ataque drive-by.

Correos electrónicos de phishing y estafas comunes durante El Buen Fin

Es probable que los ciberdelincuentes se aprovechen de la gente este Buen Fin enviando y publicando ofertas falsas, afirmando que venden regalos caros a precios extremadamente bajos. También podrían llegar a las bandejas de entrada de la gente correos electrónicos diseñados para parecer sitios conocidos y de confianza.

Otros correos electrónicos de phishing comunes pretenden incluir un recibo de compra o describir un problema con ella y suelen ser más efectivos durante esta temporalidad ya que la gente hace más compras de lo habitual y espera más envíos. Dichos correos llevan a páginas falsas, en las que se pide a los usuarios introducir su información financiera, por ejemplo.

Los cibercriminales también pueden enviar alertas bancarias falsas. Muchas instituciones alertan a los clientes si detectan alguna actividad sospechosa o si la cuenta está a punto de sobregirarse. Los phishers utilizan estos servicios de ayuda para intentar convencer a la gente de que “confirme” la información de su cuenta bancaria.

Cómo son los correos electrónicos de phishing y de qué deben cuidarse los usuarios:

• Saludo ambiguo: Muchos tipos de phishing, incluido el “phishing engañoso”, lanzan una amplia red. Por ello, el correo electrónico no estará personalizado con el nombre del destinatario, sino que saluda con algo vago, como “estimado cliente” o incluso con un nombre de usuario. La correspondencia oficial de las empresas legítimas se dirigirá a los clientes por su nombre. Sin embargo, muchos analizan las direcciones de correo para averiguar el nombre y los apellidos de las víctimas, si se incluyen en ellas.
• Ofertas que no se pueden rechazar: Si una oferta o trato parece demasiado bueno para ser verdad, probablemente no lo es.
• Se requiere una acción inmediata: A los cibercriminales les gusta la urgencia. Esta táctica puede tener más éxito durante los grandes eventos de compras como el Buen Fin, ya que se esperan ofertas por tiempo limitado.
• Enlaces acortados o mal escritos: Los enlaces maliciosos suelen esconderse detrás de servicios de acortamiento de enlaces. Los ciberdelincuentes también alojan versiones falsas de sitios legítimos con URLs casi idénticas y animan a la gente a hacer clic en ellos dentro de los correos. Los ciberdelincuentes también intentan engañar a la gente con el typosquatting (error tipográfico deliberado), utilizando una versión ligeramente incorrecta de la URL legítima o con errores ortográficos deliberados que utilizan letras y caracteres de aspecto similar.
• Mala redacción: Un banco no va a enviar un correo electrónico con errores tipográficos y gramaticales. Un phisher en cambio, puede y suele hacerlo. Errores como estos son señales de un correo electrónico de phishing.
• Archivos adjuntos: No hay nada malo en los archivos adjuntos en general, si la gente los espera y provienen de una fuente de confianza. Los estafadores llegan a ocultar el malware en archivos con mucho contenido, como los PDF. En muchos casos, los atacantes utilizan archivos adjuntos con extensiones dobles como .doc.exe.
• Se pide información personal: Los phishers buscan datos. Por ello, en los correos piden a los usuarios que confirmen la información de su cuenta, sus credenciales de acceso u otra información personal.
• Aparentar ser de una empresa o servicio que no utiliza el destinatario: Los phishers no suelen tener acceso a las bases de datos de usuarios de las empresas que suplantan, por lo que intentan con quienes logren contactar. La gente debe ser especialmente cautelosa con los correos electrónicos de servicios que no utilizan y que reclaman problemas de cuenta o de pago, por ejemplo.

Otras medidas de protección

• Utilizar una solución de seguridad digital: Los programas de seguridad, como Avast Free AV, protegerán incluso a los más precavidos de los correos electrónicos y enlaces de phishing y del malware.
• Mantener todo actualizado: Actualizar el software, incluidos los navegadores, y los sistemas operativos es extremadamente importante. En ocasiones, los ciberdelincuentes utilizan brechas en la seguridad de los sitios web para inyectar código malicioso que busca vulnerabilidades en los navegadores o dispositivos para realizar ataques drive-by. No aplicar los últimos parches de seguridad les da la oportunidad de obtener un acceso completo a las computadoras, sin necesidad de que el usuario haga algo.