3 elementos que delatan a las campañas de phishing o fraude por email

Este ejercicio es, de hecho, uno que le pongo a mis alumnos de los talleres de ciberseguridad.

Les enseño tres emails distintos, con los que pueden toquetear todo lo que quieran, y únicamente me tienen que decir si están ante un email legítimo, o ante un fraude.

Ya te digo que la mayoría no consigue identificarlos todos.

Y esto se debe a que el grueso de la sociedad no sabe qué elementos hacen de un email algo legítimo o un mero fraude.

Así que aprovechando que estos días me llegaba al correo una de las típicas campañas de phishing que pululan por la red, me ha parecido interesante resumir por aquí parte de lo que ya tratamos en profundidad en los talleres.

¡Vamos al lío!

EL GANCHO DE LAS CAMPAÑAS DE PHISHING

Como puedes ver en la imagen superior, a mi correo me llegó un email con el asunto:

[mi correo] buzón está casi lleno!!

En él me mostraban el logotipo de webmail, que prácticamente utilizamos todos los que tenemos un dominio corporativo, y una imagen que aseguraba que de los 20GBs que tengo de espacio, ya tenía ocupados algo más de 18, dándome la opción de aumentar otros 5GBs de forma gratuita.

Aquí tenemos el gancho típico: nos ofrecen algo que es realmente bueno para nosotros con un coste marginal (en este caso gratis). Exactamente igual que aquella otra campaña en la que había ganado un smartphone y tenía que pagar para que me lo enviaran simplemente 1 euro.

Y como ocurre con cualquier fraude, algunos puntos de los mencionados podrían ser ciertos:

• Parece un email automático enviado por el webmail de nuestro hosting. Cosa que, como ya dije, podría ser real, ya que la mayoría de hostings te avisarán con un email parecido cuando tengas la bandeja de entrada a punto de colapsar.
• Pone el límite en 20GBs: Que es, por regla general, una cuota de almacenamiento bastante habitual en este tipo de servicios de correo.
• Te alerta de las consecuencias de no tomar acción: Si nuestra bandeja de correo llega al límite, ya no recibiremos emails. Y en este caso, para evitar que llegues a esto, ya te avisan de que van a reducir la capacidad de recibir algunos correos (los pesados) automática e inmediatamente. Lo que de nuevo te fuerza a que realices la acción oportuna (otra de las típicas estrategias de cualquier campaña de fraude: la urgencia).

REVISAR EL REMITENTE

Lo primero que hay que hacer si tenemos duda de que en efecto se trate o no de un email legítimo, es revisar quién nos lo ha enviado.

Y con esto me refiero a ver la información de envío, no a quedarse únicamente con el nombre que aparece como remitente, que en este caso era «Email Service Provider». Digo esto porque este es un campo que cualquiera puede modificar, y en vez de haber puesto estro, podrían haber colocado ahí una dirección de email «[email protected]» para aparentar que el correo se envía desde Google.

La realidad, en este caso, es que el correo se está enviando desde radmadengines.com. Una web que ni existe, y que por supuesto no tiene nada que ver con mi actual hosting.

Además, una búsqueda rápida en Google por el nombre de dominio me lleva a una página de análisis de malware que la marca como potencialmente dañina (ES).

En este punto ya deberíamos saber que se trata de una campaña de phishing. Pero es cierto que si los ciberatacantes hubieran hecho bien los deberes, puede que incluso estos datos se hayan modificado para que aparente que en efecto el correo proviene de mi proveedor real de hosting.

A este tipo de ataques se les conoce como email spoofing, y aunque ya no son tan comunes (difícilmente se pueden automatizar, y por tanto son más utilizadas para campañas de ingeniería social dirigida a empresas en particular), nos obligan a que sigamos mirando el resto de elementos delatores de las campañas de phishing.

¿ESE ENLACE O DOCUMENTO ES LEGÍTIMO?

Si tanto por el tema tratado, como por los datos del remitente no estamos aún seguros de si estamos o no ante alguna de estas campañas de phishing, lo siguiente que tenemos que hacer es revisar qué nos pide.

Y la amplia mayoría de campañas de fraude nos van a pedir:

• O entrar en una página: Como es este caso, para poder activar esos supuestos 5GBs extra de regalo para nuestra bandeja de entrada.
• O abrir un documento: Donde está esa factura o albarán que nos tenían que enviar.

Vamos a ver cada caso por separado.

CÓMO IDENTIFICAR UN ENLACE MALICIOSO

La forma más rápida que tenemos de identificar un enlace malicioso si estamos en un dispositivo de escritorio es pasar la flecha del ratón por encima de la URL, para que abajo nos muestre hacia dónde nos dirige… ¡sin clicar!

Sobra decir que no recomiendo que pinchemos en estos enlaces, ya que además de intentar robarnos, puede que carguen código de malware que infecte nuestros dispositivos.

Y, por cierto, que en este caso podemos ver cómo esta campaña de phishing está colgada con el candadito de «página segura». Como ya expliqué en su día, el SSL, que es como se llama a ese candadito, solo nos informa de que la información se tratará de forma cifrada, pero ni mucho menos nos asegura de que se la estamos enviando a un servicio legítimo.

Yo para preparar este tutorial lo he hecho pero desde un navegador con todo desactivado.

En este caso, como vemos por la imagen de arriba, nos lleva a una web creada en el servicio de almacenamiento de Google, y que por tanto no tiene nada que ver con mi proveedor de correo.

Eso sí, se han encargado de copiar la interfaz del servicio(que es genérica y es por tanto usada por muchísimos hosting distintos) para que parezca que estamos ante la web correcta. Sin embargo, si en ese apartado de contraseña escribo la de mi correo, ya puedes tener por seguro que esos datos pasarán a estar en manos de los ciberdelincuentes, que luego los utilizarán para intentar entrar en mis cuentas.

De hecho algunas de estas campañas están diseñadas para que, tan pronto metas los datos, te redirija a la web correcta, de forma que haya veces que incluso el usuario ni se entera de que ha sido víctima de un fraude. En el resto de casos, simplemente la web te mostrará un error o te dirá, como ocurría con esta campaña, que ya habían activado los 5GBs extra.

CÓMO IDENTIFICAR UN ARCHIVO MALICIOSO

En otras ocasiones, en vez de instarnos a entrar en una URL, lo que hacen es adjuntar un documento que debemos abrir con cualquier excusa: «por aquí tienes la factura o albarán que me pediste», «aquí está el listado de ganadores…»

Lo mejor que podemos hacer en este caso, ya que por supuesto si lo abrimos lo más probable es que venga con algún tipo de virus, es descargarlo y subirlo (¡SIN ABRIRLO!) a VirusTotal (ES), que es un servicio web gratuito que analizará el contenido del mismo comparándolo con varios proveedores de antivirus, para decirnos si potencialmente ve o no peligro en él.

Además, la mayoría de estos documentos maliciosos son en formato Word (.doc, .docx…) o PDF, y la ventaja de esto es que las nuevas versiones de Microsoft Word abren por defecto todo documento descargado de Internet sin cargarle sus componentes web. Lo que hace que por ejemplo no funcionen las macros, que es normalmente el vector de ataque principal de las campañas de phishing.

EXTRA: CÓMO EVITARTE LA MAYORÍA DE CAMPAÑAS DE PHISHING DE FORMA SENCILLA

Hay una manera extra de evitar tener que hacer todas estas comprobaciones con la amplia mayoría de servicios.

Y esa manera es utilizando GSuite o GMail como proveedor de correo.

Que ojo, yo no me llevo comisión por recomendarlos ni nada por el estilo. Simplemente es que en todos estos años he visto cómo en las empresas en las que he implementado GSuite, se han evitado hasta el 99,9% de las campañas de phishing.

Es más, este correo que he utilizado yo de ejemplo me llegó realmente a mi bandeja de spam en GMail. He tenido que yo, proactivamente, decirle a Google que era seguro (me lo marcaba muy acertadamente como peligroso), y sacarlo de la carpeta de spam para poder ver el enlace (en dicha carpeta es que ni podía ver la imagen y mucho menos el enlace).

Google, o si prefieres Outlook/Microsoft por dar otra opción de la competencia, son de los mejores servicios en cuanto a calidad precio para proteger nuestros activos organizacionales.

Muchísimo más baratos en todo caso, y encima más seguros, que montarse uno mismo un sistema de seguridad con IDEs, cortafuegos y demás dentro de la propia infraestructura de nuestra empresa. Ya ni hablemos para uso personal.

Así que lo dicho. Por aquí mi recomendación sobre cómo identificar este tipo de campañas de phishing, y qué recomendaría para evitarlos casi por completo.

Y si necesitas ayuda tanto de cara a formar a tu equipo, como a la hora de implementar una herramienta como GSuite en tu empresa, no dudes en escribirme.

En CyberBrainers ayudamos a empresas y usuarios a prevenir, monitorizar y minimizar los daños de un ataque informático o una crisis reputacional. Si estás en esta situación, o si quieres evitar estarlo el día de mañana, escríbenos y te preparamos una serie de acciones para remediarlo.

Artículo previamente publicado en PabloYglesias.com.

Servicio de asesoramiento a víctimas de fraude

Desde CyberBrainers ofrecemos un servicio de asesoramiento a víctimas de cualquier tipo de fraude cibernético.

Gracias a él, revisamos cada caso por separado, te explicamos qué opciones tienes, y te ofrecemos soporte en aquello que necesites (ayuda legal, asesoramiento técnico para evitar problemas futuros…).

Además, si hay posibilidad de recuperar el dinero robado, te ayudamos con la recuperación.

Si has sido víctima de alguno de estos timos, ponte en contacto con nosotros y revisaremos el caso.

¡Me han estafado! Necesito ayuda

Otros timos que deberías conocer

• 3 elementos que delatan a las campañas de phishing o fraude por email
• ¿Qué hacer en caso de haber sido víctima de un fraude?
• ¿Como recuperar el dinero robado?
• Cómo nos protegemos de los fraudes en Internet
• El día que ligué con una capitana del US Army (fraude de la novia rusa)
• Cómo funciona el timo de la extorsión a cambio de no divulgar supuesto contenido sexual o pornográfico
• Cómo estafaron a mi pareja con un producto vendido en Instagram
• Cómo funcionan los fraudes de descargar libros o películas GRATIS
• Cómo estafaron a mi madre con un producto vendido por Wallapop
• Cómo funciona la estafa del pellet
• Cómo funciona el fraude que se hace pasar por un aviso de la DEHÚ
• Cómo funciona el robo de cuentas de WhatsApp y para qué se utiliza
• Qué tipos de fraude por Wallapop existen
• Cómo me intentaron estafar con el alquiler de un piso
• Cómo funcionan los fraudes por Facebook
• Cómo funciona el timo de la compra de fotos o arte NFT
• Cómo me estafaron 400 euros con un producto vendido en Amazon
• Cómo funcionan los fraudes basados en iCloud
• Cómo funciona la estafa del chulo y las prostitutas
• Cómo funciona el fraude de BlaBlaCar
• Cómo funciona el fraude del viejo contacto
• Cómo funcionan las estafas con criptomonedas de tipo Rug Pull
• Cómo funcionan los fraudes dirigidos a creadores de contenido
• El papel de los muleros en el cibercrimen
• Así de fácil es caer en una campaña de phishing
• Cómo saber si ese producto de Apple que estás comprando es verdadero o falso