03/07/2020
Hace unos días visité a un cliente con un serio problema de seguridad.
Alguien había usurpado su identidad mandando un correo electrónico con su dirección a un cliente suyo en EEUU informando de que un pago que tenía que hacer a mi cliente no podía ser por tarjeta sino por transferencia (y citaba a causa del Covid-19) y le daba un número de cuenta IBAN del Reino Unido (la cual decía estar a nombre de la empresa de mi cliente). Este correo era falso por supuesto. El cliente de EEUU hizo la transferencia y el dinero se ha perdido por ahora.
Lo curioso del caso es que para poder enviar ese correo falso, el cibercriminal tenía que tener conocimiento detallado del asunto en cuestión ya sea a través del hackeo de la red de mi cliente o de la de su cliente. Esta es la primera vez que lo veo en España aunque sé que ha pasado bastante en EEUU y probablemente, aunque yo no lo haya visto, también haya ocurrido aquí.
El hecho está denunciado tanto en comisaría como a través de Delitos Informáticos de la Guardia Civil e INCIBE pero está por ver si se va a poder recuperar el dinero (y no es una cantidad pequeña). El ciberdelincuente puede haber transferido o cobrado el dinero y cerrado la cuenta en UK.
Fuí a ver a mi cliente e hice un diagnóstico de su PC (el único con acceso a la cuenta de correo en cuestión) y estaba limpio. Además, su correo electrónico no contenía ningún correo enviado que correspondiera al recibido por su cliente en EE.UU. Accedí también directamente a su servidor de correo por si el correo enviado estuviera ahí, y no estaba. Es verdad que si el hacker es medianamente listo lo habría borrado tanto en local como en el servidor. Sin embargo, el hecho de que el PC de mi cliente estuviera limpio y que la contraseña de su correo era bastante simple me lleva a pensar que se trata o de un hackeo de su correo electrónico, o de un hackeo del PC/Red de su cliente y de un posterior envío del correo se suplantación una vez el ciberdelincuente ya disponía de la información necesaria. No pude ver los encabezados detallados del mensaje original porque el cliente de EE.UU no los envió. Si los hubiera visto es posible al menos ver desde dónde se envió y si utilizo algún equipo del mi cliente o del de EE.UU para hacerlo, o si por el contrario usó un tercer equipo.
Os informo de todo esto por varías razones. Todo este relato puede parecer de ciencia ficción y acotado a casos muy esporádicos, pero no es así. Cada vez es más frecuente y se han producido fraudes que han llegado incluso a cifras exorbitantes. Es realmente muy serio y preocupante y en los medios españoles no se informa de estas cosas, no va con ellos. Es un tema de frikis... Pensad así y algún día os pasará a vosotros, seguro. Las mafias organizadas y los criminales se están pasando desde hace años al mundo virtual. Es mucho más seguro y rentable. Y encima hay muchísimos usuarios y empresas que en lugar del equivalente a una puerta blindada, usan una de cartón o incluso la dejan abierta y si tienen varias casas, usan la misma llave para todas. Una llave que la que suelen dejar copia en lugares poco seguros o incluso accesibles.
Pasos a seguir para evitar fraudes (en orden de importancia):
1 - La vital importancia de establecer contraseñas muy seguras para el correo electrónico. El personal y sobre todo el corporativo.
2 - La recomendación de usar al menos un segundo factor de autenticación; es decir, usar además de una contraseña un segundo método adicional, ya sea una notificación a un móvil conocido, código enviado por SMS a un número conocido ó uso de una aplicación generadora de códigos en un móvil, etc. Todos los servicios de correo importantes ya tienen sistemas para autenticar doble o triplemente.
4 - La necesidad de cambiar las contraseñas cada cierto tiempo (6 meses o un año), especialmente si no se usa doble factor de autenticación, y de no utilizar la misma contraseña en todos los sitios y muy especialmente en sitios personales y corporativos.
3 - La necesidad vital de tener los PCs, especialmente los corporativos, al día en cuanto a parches y actualizaciones tanto del sistema operativo como de los navegadores y programas con acceso a o desde internet, protegidos con una antivirus eficaz y actualizado.
4 - La necesidad vital de tener en las empresas, aunque sean pequeñas o muy pequeñas, un cortafuegos al día en cuanto a actualizaciones y parches.
5 - La recomendación de establecer un método de autenticación en las solicitudes de pago vía correo electrónico: llamada telefónica al remitente a un número conocido previamente, firma del correo con certificado electrónico, mensaje SMS a y desde un número conocido previamente, Fax u otro método alternativo y seguro. Es la única manera de evitar fraudes de este tipo, ya cuanto mayor sea la cantidad, más importante se vuelve.
5 - Y finalmente la necesidad de informar a las autoridades lo más rápido posible del delito. Es importante en la vida real pero en la vida digital muchísimo más. El factor tiempo es crucial para poder minimizar riesgos y costes, poder bloquear transferencias, y sobre todo capturar a los culpables.
