El phishing es una práctica longeva. Sus inicios están ligados al auge de la comunicación digital y el comercio electrónico. Llegó con internet, y como él, para quedarse.

Como les contamos en el post anterior, el phishing es un tipo de ataque cibernético que tiene como objetivo conseguir y /o acceder tu información personal y/o confidencial con el fin de usarla para suplantar tu identidad, es decir, alguien intenta obtener tus datos, claves, cuentas bancarias, DNI, los números de tus tarjetas de crédito… en definitiva, es un robo de toda esa información que alguna vez has tenido que meter en Internet cuando has hecho cualquier tipo de compra.

Hay diversos tipos de phishing, todos basados en técnicas tan inteligentes que parecen reales, pero con una finalidad única: suplantar una identidad para conseguir controlar datos personales que serán usados en beneficio de los atacantes.

En mayo pasado, el cantante y actor cubano Alain Daniel fue víctima de uno de estos ataques, cuya ejecución le dejó sin el control de la página oficial en Facebook, uno de sus principales canales de comunicación.

Según nos cuenta su Community Manager Ismeisy Martínez Miranda, la página recibió un mensaje en el que los atacantes se hacían pasar por Facebook Business, con la intención de ofrecer la oportunidad de hacer publicidad pagada a través de su página que había sido verificada y tenía una comunidad milenaria y activa.

Como es habitual, el mensaje sugería suministrar los datos de acceso a través de un enlace, aunque “el mayor error – reconoce Ismeisy- fue acceder a la petición de nombrar como administrador un perfil de los atacantes”.

«En pocos minutos tomaron el control total, eliminaron nuestros accesos de administración, nombraron a más de 40 nuevos administradores y hasta reclamaron, con éxito, la propiedad de la página a Facebook. Solamente yo (Ismeisy) podía seguir viendo la página porque la cuenta estaba verificada a través de mí, de mi usuario y no me pudieron eliminar» – recuerda-.

Los hechos nos ponen frente a un ataque de tipo Spear phishing, que a diferencia de los métodos más tradicionales (email o malware) suele ser mucho más personalizado. En algunos casos se llega incluso a incluir el nombre de la víctima, su posición, la compañía, el teléfono, etc. Además, suelen ir dirigidos a un número reducido de personas con cierto perfil dentro de una empresa (normalmente suele ser el eslabón más débil). El objetivo de este tipo de ataques suele ser más específico. Lo más común es que el vector de ataque utilizado sea el email, pero cada vez más, las redes sociales, están siendo también utilizadas.

La página oficial de Alain Daniel fue desactivada para todo el mundo, salvo para los territorios de Irán e Irak. Los atacantes eliminaron todo el contenido y utilizaron el perfil como plataforma para una tienda de ropa.

La imagen que tomó el página de Alain Daniel luego del phishing.

El equipo de Comunicación en Cuba emprendió entonces la lucha por recuperar el control. Reportaron el incidente a Facebook pero no hubo respuesta. No es capricho, ni discurso banal, como en tantas otras cosas, nuestra isla no se tiene demasiado en cuenta para temas de esta índole. De hecho, actualmente el enlace y la opción de solicitar la verificación desde Facebook no está disponible para la isla.

«Estuve dos días esperando respuesta sin éxito y realicé otra reclamación, situando mi ubicación en los Estados Unidos gracias a una VPN. Así me tuvieron en cuenta, y la reclamación tuvo curso pues les mandé una copia que tenía del día que verifiqué la página con mi usuario» – rememora.

El modus operandi del ataque a Alain Daniel fue certero. A penas levantaba sospechas. Solo un elemento, el solicitar acceso a la administración de la página resultó un tanto contraproducente. La página fue devuelta a sus propietarios originales al tercer día, después de estos hechos. En la acción se perdió todo el contenido y cerca de 6000 seguidores.

El equipo de Alain Daniel se ha dedicado a discriminar cada mensaje con interés promocional que llega a su buzón. Para ello se centran en el principio de certificar la legitimidad de su remitente estableciendo diálogos e imponiendo todas las condiciones necesarias para no poner en riesgo su seguridad.

El phishing se reinventa a diario y todos podemos ser víctimas, sin importar relevancia o popularidad. Por ello, te sugerimos que:

  • Nunca divulgues tus credenciales / No otorgues privilegios de control sobre tus perfiles
  • Verifica la fuente de mensajes o emails/ Valida el remitente del correo
  • No accedas a webs desconocidas/ se prudente y no te arriesgues
  • Introduce tus datos confidenciales únicamente en webs seguras/ Verifica la fiabilidad de los enlaces
  • Desconfía de los correos electrónicos alarmantes/ o de los que te ofrecen demasiadas garantías
  • Instala software de seguridad y administración de contraseñas
  • Mantente informado sobre la evolución del malware porque en ocasiones los ataques siguen tendencias y pueden usar patrones en sus formas de operar.

Newsletter

Suscríbete para estar al tanto de todas nuestras actualizaciones

Su registro se ha realizado con éxito

×

¡Bienvenid@!

¿En qué podemos ayudarte?. También puedes envíarnos un mensaje a contact@lymsocial.com

× ¿Podemos ayudarte?