La evolución de los ataques en Internet. Nuevas plataformas, nuevos métodos

Si vamos paseando por la calle y alguien se nos acerca con un supuesto cupón de lotería premiado diciendo que no lo puede cobrar y que está buscando a alguien que se lo compre para, al menos, poder recuperar algo del dinero del premio, lo más seguro es que dudemos completamente de las intenciones de esa persona.

Esta estafa, comúnmente conocida como Tocomocho desde principios del siglo XX, no es el único intento de engaño al que la sociedad se ha acostumbrado a lo largo del tiempo. Otros ejemplos pueden ser el Timo de la Estampita o el Cuento del Tío (más conocido en América Latina) y, aunque se hayan desarrollado distintas variantes, el funcionamiento de todos ellos en esencia es siempre igual.

Aunque su conocimiento no elimina por completo las probabilidades de éxito por parte de los estafadores, sí que limita mucho la eficacia de estas técnicas.

Engaños en el entorno digital

Algo parecido sucede con ciertos mensajes fraudulentos que circulan a través de internet. Actualmente es muy raro no haber oído hablar de la Estafa Nigeriana, en la que un supuesto príncipe de dicha región nos contacta por correo electrónico para, de una forma u otra, compartir su riqueza con nosotros; o no haber visto el anuncio del millón de euros que nos acaba de tocar por haber sido el visitante un millón en una web a la que acabamos de acceder.

Cuando recibimos mensajes de este tipo, aunque no ocurre en todos los casos, lo normal es que se nos enciendan todas las alarmas y dudemos de su legitimidad. No obstante, el espacio cibernético presenta una gran diferencia respecto al entorno físico: su dinamismo y constante innovación.

Todos los días se lanzan aplicaciones o plataformas nuevas y, aunque las más exitosas se pueden mantener a flote durante años, como es el caso de Twitter, Instagram, WhatsApp o LinkedIn, lo cierto es que otras no tienen tanta suerte. Es más, lo normal es que una aplicación sea eliminada a los pocos días de haberla descargado.

Dado que cada uno de estos espacios supone un medio distinto con un tipo específico de interacción, las estafas o formas de engaño en cada una de ellas también serán distintas. Esto da lugar a un amplio abanico de posibilidades al que la sociedad ya no está tan acostumbrada.

Además, el hecho de que cada poco tiempo surjan nuevas plataformas, aplicaciones o funcionalidades supone una fuente de amenazas que pueden pasar completamente desapercibidas, aumentando las posibilidades de caer en ellas.

Todos estos ataques forman parte de las técnicas de ingeniería social, cuyo objetivo es hackear personas o, de forma más simple, engañarlas para conseguir un beneficio económico o determinada información, a menudo sensible.

A continuación, se muestran ejemplos de cómo se llevan a cabo estos ataques en las plataformas más utilizadas actualmente.

WhatsApp

En esta red social se distinguen dos métodos principales: las cadenas de mensajes y los ataques dirigidos. Esta diferencia puede verse como un reflejo de los ataques de phishing y spear phishing que se dan en el correo electrónico.

Los atacantes detrás de las cadenas de mensajes no tienen un objetivo definido. Lo que buscan es que su mensaje se propague hasta el mayor número de individuos posible para que, por estadística, alguno acabe cayendo en la trampa.

Ejemplos comunes son mensajes que anuncian vales descuento para restaurantes, cupones para supermercados o pases gratuitos de Netflix. Estos mensajes se adaptan a nuevas situaciones sociales, por lo que nunca debemos bajar la guardia.

En los ataques dirigidos, el objetivo es conseguir que una persona determinada muerda el anzuelo para tomar el control de su cuenta. Los atacantes contactan con la víctima diciendo que le enviaron por error un código de verificación y piden que se lo reenvíe, incluso haciéndose pasar por soporte técnico de WhatsApp.

Instagram

Uno de los principales ataques consiste en enviar un correo electrónico alertando del cierre de la cuenta por violar la ley de propiedad intelectual. Ofrecen la opción de reclamar mediante un formulario en el que solicitan datos de inicio de sesión, con el objetivo de robar la cuenta.

Otro ataque frecuente se da en sorteos. Los atacantes crean una cuenta idéntica a la organizadora, contactan a los participantes y les informan que han ganado, redirigiéndolos a webs falsas o solicitando datos personales.

LinkedIn

Incluso en una red profesional se dan ataques. Aquí los ciberdelincuentes apelan a la curiosidad intelectual. Un ejemplo es el de supuestos investigadores de universidades prestigiosas que invitan a descargar un estudio científico, el cual en realidad es un archivo infectado.

Recomendaciones finales

Los usuarios deben permanecer alerta y no viralizar mensajes sospechosos. Es fundamental:

• Saber qué datos no deben compartirse.
• Recordar que cualquier archivo ejecutable puede contener malware.
• Evitar acceder a enlaces desconocidos y escribir la dirección directamente en el navegador.

El factor humano sigue siendo clave. Aunque se conozcan los engaños, siguen funcionando porque atacan vulnerabilidades humanas. La mejor protección es entender esas vulnerabilidades y trabajar en ellas.

Kymatio ofrece tecnología para identificar y entrenar a cada usuario de forma personalizada, manteniendo un adecuado nivel de alerta.