Etiquetaciberseguridad

1
¡No caigas en las redes del «Phishing»!
2
Hablemos de ciberseguridad, esa asignatura pendiente.

¡No caigas en las redes del «Phishing»!

En estos días de confinamiento varios clientes y amigos nos contactan por correos extraños que les incitan a pagar por diversos servicios (por ejemplo renovaciones de hosting) y qué queremos mostrarte con un ejemplo:

Ejemplo de correo Phishing.

A simple vista parece verídico, ya que;

  1. El logo de la compañía aparecía. 
  2. La estructura del correo tenía coherencia.
  3. El remitente parecía ser la propia empresa del hosting.
¿Que hace sospechar que esto es phishing?

A pesar de que el campo:
«De: dominio@Nominalia.com»

Vemos que se responde:
«A: Nominalia (Máscara) niro@assura24.com (Destinatario real)»

Vaya…. la terminación del mail al que se responde ya no es la corporativa.

1ª Alarma.

Además, si la empresa sabe mi nombre y estos mails automatizados incluyen etiquetas personalizadas como: |NAME| o |ADRESS| o |PHONE|, que se cogen de nuestros formularios de registro normalmente ¿Porque generaliza llamándome «cliente»? ¿Ya no soy nadie para esta empresa…? ¿¡QUÉ ESTÁ OCURRIENDO!?

Calma, es solo algo más a tener en cuenta.

2ª Alarma.

Volviendo al mail de ejemplo, vimos que nos mandaba a una URL subrayada en azul oscuro. Bien, al igual que en la parte del destinatario, vemos que esa parte en color es solo una máscara y que la URL o link real lo podemos ver si dejamos el cursor encima del enlace:

3ª Alarma.

Ok, aquí podríamos concluir que este mail es fake y nos quieren robar información, pero si queremos asegurarnos del todo necesitaremos usar la siguiente  herramienta web:

 

E introduciremos la URL real haciendo click derecho sobre el link mascara y seleccionamos la opción: «Copiar Hipervinculo».

Y una vez pegado en el recuadro y dándole a la lupa de la derecha…

¡ALERTA ROJA, ALERTA ROJA!

¡Voilá!

4ª Alarma.

¿Pero y qué pasa si no me he fijado y he abierto el hipervinculo? ¿¡Es muy grave doctor!?

Calma. Respira.

  1. En primer lugar, confiamos en que TOD@S teneis instalado un filtro anti-spam en el correo.

  2. También confiamos en que utilizais una extensión/addon/widget contra el phishing en vuestro navegador de internet, si aún no lo usáis:

    El Filtro SmartScreen de Internet Explorer ayuda a identificar sitios web notificados como de suplantación de identidad (phishing) o de malware

    Protección contra el Malware y el Phishing en Firefox.

    Protección contra phishing y software malicioso en Google Chrome.

    Evitar la suplantación de identidad (phishing) en Safari.

  3. La mayoría de phishing necesita que tu introduzcas los datos para poder robarlos.

  4. Fijaros en la URL una vez estáis dentro, ¿Tiene HTTPS y es de color verde? Bien, puedes navegar con tranquilidad, ¿No tiene HTTPS y es de color rojo? Mal, cierra la pestaña ahora mismo. Además estas URL suelen tener un prefijo extraño o alguna característica que te pueden hacer ver que no estás en la página oficial de la empresa a la que corresponde la URL.

  5. Si por lo que sea has llegado a introducir datos en un enlace de phishing, cambia de inmediato los datos de acceso y si has facilitado datos bancarios, avisa al banco y ellos procederán a cambiar tu pin, datos de acceso a la banca electrónica etc.
EN RESUMEN:
  • Sospechar si hay errores gramaticales o una mala redacción del texto. 
  • Si el mensaje te obliga a tomar una decisión inminente es mala señal.
  • Comprueba la dirección del remitente. 
  • Si recibes comunicaciones anónimas del tipo “Estimado cliente”, “Notificación a usuario” o “Querido amigo”, es un indicio que te debe poner en alerta.
  • Ninguna institución, banco u organismo público te va a pedir datos personales por correo electrónico, y menos tu número de cuenta. 
  • Un servicio con cierto prestigio utilizará sus propios dominios para las direcciones de email corporativas. Si recibes la comunicación desde un buzón de correo tipo @gmail.com, @outlook.com o cualquier otro similar, sospecha.
  • Aplica la ecuación: solicitud de datos bancarios + datos personales = fraude.

Por último, si quieres hacer algo por el bien de los demás, si recibes algún tipo de phishing puede denunciarlo a través del buzón de la Oficina de Seguridad del Internauta:

 

Esperamos que esta entrada os sea útil para vuestro día a día, ya no sólo en esta época de teletrabajo, puesto que los ataques de phishing son constantes.

Desde Solvento os enviamos un fuerte #Teleabrazo. Y muchos ánimos.

Hablemos de ciberseguridad, esa asignatura pendiente.

Pero antes de empezar, definamos un poco, ¿Que es ciberseguridad?

«La ciberseguridad, entendida como la práctica de proteger sistemas, redes y programas de ataques digitales es una necesidad en alza. Sea un particular, una empresa o un gobierno»

¿Que tenemos en común un particular, una empresa o un gobierno?

Pues que todos usamos software, por tanto todos estamos conectados, tenemos una identidad digital y utilizamos servicios online en nuestra vida cotidiana cuya fiabilidad solo puede estar asegurada si existe la ciberseguridad. Y esta tendencia no hace más que aumentar de manera exponencial. No solo nosotros estamos conectados, también lo están cada vez más los dispositivos que nos rodean.

«Esta nueva situación nos abre puertas y oportunidades de crecimiento económico,»

Esta sería la utopía, todos conectados, y felices… pero lamentablemente también abre nuevos retos y ventanas a los criminales online o hackers. Es por ello que la ciberseguridad de dispositivos, redes y plataformas es el gran desafío de este mundo interconectado.

Analicemos algunos datos para hacernos una idea:

  • En 2018 los ataques de ransomware, o secuestro de datos a cambio de un rescate, a nivel mundial se incrementaron en un 350%.
  • En ese año, el ransomware WannaCry infectó a 300.000 ordenadores de 150 países y causó pérdidas por valor de más de 3.500 millones de euros.
  • Las pérdidas ocasionadas por ciberataques suponen un 0.8% del PIB mundial

¿Y como está el panorama local?

En España, pymes y usuarios particulares fueron los principales objetivos de los ciberataques en 2018, con un total de 102.414 incidentes registrados. Según el estudio que The Cocktail Analysis ha realizado para Google, el 67% de las pymes españolas no dispone de un protocolo específico, formación o normas sobre medidas de seguridad como tal. Asimismo, el 99.8% del tejido empresarial español – compuesto por pymes – no se considera un objeto atractivo a los ciberataques.

En resumen, 3 millones de empresas en España están poco o nada protegidas contra hackers. Este dato dicho así suena a nada, pero si te decimos que vas a perder 35.000 euros (gasto promedio) y que cerrarás tu negocio durante los seis meses después de haber sufrido uno (El 60% de las empresas afectadas suelen acabar cerrando).

¿Como te quedas, empieza a dar miedo, verdad?

¿Y ahora que hago? ¿Como evito un ataque? ¡¡Socorro!!

Tranquil@, el primer paso que es tomar conciencia de los riesgos a los que se enfrenta tu empresa ya lo has hecho. Ahora toca empezar a incluir la ciberseguridad como una asignatura obligatoria en la gestión diaria.

Por suerte, los expertos de Google nos dan unas pautas o recomendaciones a seguir para ir implementando la ciberseguridad y que no seamos presas fáciles de los cibercriminales:

  1. Usar la verificación en dos pasos. La verificación en dos pasos protege tu cuenta con algo que sabes (tu contraseña) y algo que tienes (tu móvil o llave de seguridad). En un estudio que realizó Google en 2019, las llaves de seguridad ayudaron a prevenir el 100% de los ataques de phishing. Por lo tanto, el uso de la verificación en dos pasos con una llave de seguridad debería ser obligatorio para admins, es decir, cualquier persona con acceso a una cuenta de administrador, desde el webmaster del sitio web de la empresa hasta los community managers.
  2. Mantén los sistemas actualizados. Un software desactualizado es como un cordón desatado; puedes seguir caminando, pero es muy fácil que te tropieces. Para una empresa, un software desactualizado la convierte automáticamente en un objetivo potencial de ciberataques ya que estos, por su propia naturaleza, crean programas que explotan las vulnerabilidades de los programas o aplicaciones desactualizadas. Cada actualización de software tiene nuevos parches de seguridad que te protegen de las últimas amenazas conocidas. Por lo tanto, es esencial para la seguridad de tu negocio actualizar todo el software que usa tu empresa, desde los sistemas operativos de los distintos dispositivos, hasta programas informáticos específicos y los sistemas de gestión de contenido (CMS) del sitio web de la empresa. Para facilitar esta tarea, te aconsejamos habilitar la actualización automática siempre que esté disponible.
  3. Ten una copia de seguridad, ya que puede facilitar la tarea de recuperación del contenido original en caso de sufrir un ciberataque. Sin una copia de seguridad, podría resultar difícil mantener tu negocio en funcionamiento durante el proceso de recuperación, por lo que es aconsejable tener varias copias de seguridad, tanto online como offline. Recuerda que algunos programas permiten realizarlas de manera automática.
  4. Implementa HTTPS en todas las páginas de tu sitio web: HTTPS es un mecanismo que permite que un navegador o una aplicación se conecte de forma segura a un sitio web. Es recomendable usar un servidor web que admita HSTS y configurar correctamente esta funcionalidad, de lo contrario los ciberatacantes podrían redirigir a tus usuarios a páginas inseguras.
  5. Verifica el sitio web de tu empresa con Search Console: esta herramienta abierta y gratuita te proporciona información sobre el estado de tu sitio web. Además de recibir mensajes sobre problemas de seguridad que pueden afectar a tu sitio web, Search Console proporciona información y recursos para solucionarlos. Es recomendable usar Search Console para verificar todos los sitios web vinculados a tu empresa.
  6. Formación de los empleados: los empleados son la primera barrera de protección de una empresa. Capacitarlos para conocer los protocolos de seguridad, definir responsabilidades y reglas, desarrollar pautas de acción para informar de incidencias y recompensar su comunicación temprana, ayuda a elevar la seguridad de tu empresa.

Ahora que ya sabes los riesgos a los que te puedes exponer diariamente por un mal uso o un descuido tecnológico esperamos que tomes las acciones pertinentes antes de que sea demasiado tarde para ti y quienes te rodean. 

 

error: Contenido protegido.