La sofisticación de los ciberataques aumenta el secuestro de datos y redes sociales en México

Parecen mensajes inofensivos, pero se trata de lobos con piel de oveja. Esta semana, varios periodistas y usuarios de la red social X (antes Twitter) reportaron haber sido víctimas de hackeos o ciberataques que derivaron en el robo de datos o en el secuestro de sus cuentas. Karla Iberia Sánchez, una de las que resultó afectada en esta oleada de mensajes, contó en un video en Instagram que su cuenta, con sus datos, fueron suplantados. “Temo por mi seguridad”, indicó la también conductora. Aunque los ataques a periodistas o celebridades son más notables, los hackeos mediante phishing se cuentan por millones al día. De acuerdo con los datos más recientes de la firma de ciberseguridad Kaspersky, la empresa bloqueó más de 697 millones de este tipo ataques en América Latina, de esos 118 millones fueron en México, donde se han incrementado un 220% entre 2022 y 2023.

Los métodos que usan los ciberdelincuentes para que las víctimas caigan en estas ofensivas son cada vez más sofisticadas. Para el secuestro de una cuenta de X, por ejemplo, los usuarios reciben un mensaje directo de un remitente que se hace pasar por un miembro de seguridad de la propia red social, indicando que existe un problema que debe ser arreglado para que la cuenta no sea suspendida, ya sea por compartir algún contenido con copyright u otro convincente.

El usuario da clic a un enlace que lleva a una página que aparenta ser un formulario genuino de X o de otra red social, pero que son falsas. David Schekaiban, director de seguridad en la firma Código Verde, explica en entrevista que la ingeniería social utilizada en estos ataques son cada vez más elaborados. “Aprovechan la Inteligencia Artificial para generar contenido más convincente y explotan eventos actuales para parecer más creíbles”, menciona. “Además, los sitios web falsos son casi indistinguibles de los originales, lo que dificulta su detección”, precisa.

Fabio Assolini, director del Equipo Global de Investigación y Análisis para América Latina en Kaspersky, explica a EL PAÍS que los métodos de phishing se han refinado de modo que tienen mayores víctimas. Desde el uso de dominios falsos o maliciosos con nombres muy similares a los sitios verdaderos, o también perfiles verificados en X u otras redes sociales para enviar los mensajes de phishing. El geofiltering, que es un geofiltrado, determina a qué contenido puedes acceder según tu ubicación geográfica, aplicado a los enlaces maliciosos, para garantizar que solo las víctimas de determinado país/región puedan acceder a la página falsa y también deepfakes y deepvoices en los ataques, incluso usando la voz o video de gente famosa.

Las víctimas pueden ser seleccionadas, como en el caso de celebridades o periodistas, pero también pueden estar enfocados a cualquier persona. “Pueden ser ataques al azar, enviados masivamente para muchos usuarios, pero también hay ataques dirigidos que se conocen como spear-phishing, ciberataques muy personalizados y dirigidos a personas o empresas específicas”, comenta. Para una empresa, por ejemplo, el golpe por un ataque bien dirigido con ingeniería social puede significar pérdidas de 1.000 millones de dólares.

Para una persona, perder el acceso a sus datos, fotografías e información privada puede ser inconmensurable. Los motivos principales del phishing incluyen el robo de datos personales y credenciales, el secuestro de cuentas, las estafas financieras y de criptomonedas, la distribución de malware, el espionaje industrial y los ataques de ransomware“, detalla Schekaiban.

El miedo es el arma más poderosa

Como reza una de las frases célebres del escritor de ciencia ficción Douglas Adams, lo importante es no caer en pánico. “Los criminales siempre usan dos estrategias en sus mensajes. Por un lado, quieren provocar miedo, un sentimiento de urgencia, de que algo está muy mal o que se necesita una acción inmediata del usuario”, indica Assolini. “Por otro, despiertan la emoción de la víctima haciéndole creer que ganará algo: un premio, una oferta u otra cosa de interés”, detalla. Sin embargo, todos los mensajes incluyen un enlace para hacer clic.

Nadie está exento, incluso quienes han crecido usando redes sociales o nacieron con un correo electrónico. “Incluso los usuarios experimentados deben verificar siempre la fuente del mensaje, ser escépticos ante urgencias o miedos y no hacer clic en enlaces sospechosos”, recomienda Schekaiban.

Hay ciertas plataformas que son mucho más susceptibles de recibir ataques. En primer lugar, los mensajes por correo electrónico, luego los viejos, pero siempre efectivos mensajes SMS. Tan solo hace unas semanas, el Gobierno de la Ciudad de México emitió una alerta a los capitalinos sobre intentos de fraude enviados a través de mensajes de texto “Quedan 24 horas para pagar su multa antes de que se aplique un recargo”, mencionaban. Muchos usuarios propietarios de automóviles cayeron en la estafa.

Las cuentas de WhatsApp son el tercer objeto de deseo de los ciberdelincuentes y al final todas las redes sociales, y si tiene más seguidores, mejor. “Mantener software actualizado, usar gestores de contraseñas, estar informados sobre nuevas técnicas de phishing, verificar URLs antes de ingresar datos sensibles y, en caso de duda, contactar directamente con la empresa a través de canales oficiales es lo mejor que se puede hacer”, recomienda el director de Código Verde.

Apúntese gratis a la newsletter de EL PAÍS México y al canal de WhatsApp y reciba todas las claves informativas de la actualidad de este país.