Hace unos días, La Nueva España publicó una entrevista con Pablo F. Iglesias, CEO de CyberBrainers y experto en ciberseguridad con más de una década de trayectoria en el sector, a raíz de un incidente que él mismo hizo público: alguien había creado un perfil falso en Instagram suplantando su identidad con el objetivo de estafar a sus seguidores con falsas oportunidades de inversión.
El caso, que Pablo relató en detalle en su newsletter y blog personal, generó una respuesta inmediata y puso sobre la mesa una realidad que desde CyberBrainers llevamos años advirtiendo: en el entorno digital actual, nadie es completamente invulnerable, pero sí hay formas de minimizar el daño y actuar con rapidez cuando ocurre.
Ni siquiera los expertos en ciberseguridad se libran de la suplantación de identidad
Una de las primeras preguntas que le hizo la periodista Elena M. Chorén, jefe de la Edición Digital de La Nueva España, fue precisamente esta: ¿cómo es posible que le ocurra algo así a alguien que se dedica profesionalmente a la ciberseguridad?
La respuesta de Pablo fue directa: «Estamos a un solo clic de ser hackeados, tanto tú, como yo, como cualquier otra persona. La ciberseguridad no es un estado al que se llega, sino un proceso continuo.»
Y lo ilustró con un ejemplo elocuente: el caso de Troy Hunt, creador de «Have I Been Pwned» y uno de los mayores referentes mundiales en seguridad informática, que cayó en un ataque de phishing. Si a alguien de ese perfil le puede pasar, la pregunta no es si a ti te va a ocurrir, sino cuándo y cómo estarás preparado para responder.
Lo que diferencia a alguien con formación en ciberseguridad no es ser inmune, sino poder detectar el ataque antes, limitar el daño y saber exactamente qué hacer en los primeros minutos. En este caso, aunque el perfil falso estuvo activo durante cinco horas, desde CyberBrainers activamos los protocolos habituales a través de EliminamosContenido.com y conseguimos que Meta eliminase la cuenta fraudulenta con relativa rapidez.
Por qué te eligen a ti: ataques masivos y ataques dirigidos
Otro aspecto importante que abordó la entrevista fue el porqué de los ataques. ¿Se elige a las víctimas con criterio o simplemente se dispara a discreción?
La respuesta es que ambas cosas ocurren, dependiendo del tipo de ataque.
- Por un lado, existen campañas masivas y automatizadas donde el volumen es la estrategia: si lanzas el anzuelo a un millón de personas y solo pica el 0,1%, el negocio sigue siendo rentable. Son ataques sin discriminación, donde cualquiera puede ser víctima.
- Por otro, hay ataques dirigidos donde el perfil de la víctima es un factor clave. En el caso de Pablo, su visibilidad como figura pública en el ámbito de la ciberseguridad, combinada con una comunidad de seguidores con cierta confianza depositada en él, lo convierte en un objetivo especialmente atractivo para los estafadores. Si consiguen usar su imagen para redirigir a esos seguidores hacia una estafa de inversión en criptomonedas, el retorno potencial es mucho mayor que si lo intentan con un perfil anónimo.
Desde CyberBrainers gestionamos para Pablo un sistema de monitorización y escucha activa de su marca personal, lo que nos permite detectar estos intentos en cuanto se materializan. Aun así, en muchas ocasiones son los propios seguidores quienes avisan, como ocurrió en este caso.
Estafas de inversión: el objetivo detrás de la suplantación
El modus operandi fue el habitual en este tipo de fraudes: el perfil falso contactaba a los seguidores de Pablo invitándoles a unirse a un grupo de WhatsApp donde se prometían rentabilidades extraordinarias a través de inversiones, generalmente en criptomonedas.
Este esquema, conocido en el ámbito de la ciberseguridad como pig butchering o estafa de inversión relacional, es uno de los más lucrativos y extendidos del momento. En CyberBrainers lo vemos a diario, y en el blog de Pablo hay un análisis detallado de cómo funciona uno de estos fraudes de inversión en criptomonedas que sigue activo.
No es el único tipo de ataque que Pablo ha sufrido. En la entrevista también recordó intentos de phishing más sofisticados, como el caso de un supuesto abogado que contactaba a víctimas de estafa anteriores ofreciéndoles recuperar su dinero, o estafas de alquiler de vivienda y notificaciones falsas de Hacienda tan bien construidas que casi le hicieron introducir sus datos. Todo ello lo cuenta con total transparencia en su blog, precisamente porque la mejor forma de que la gente entienda cómo operan estos ataques es verlos desde dentro.
De hecho, en la última RootedCon —el mayor evento de ciberseguridad de España— Pablo presentó una charla específica sobre cómo y por qué hackean a influencers y celebrities, donde analizó en profundidad estas estrategias.
Esta es probablemente la parte más práctica de lo que Pablo explicó en La Nueva España, y la que más valor tiene para cualquier usuario. Si alguien crea un perfil falso haciéndose pasar por ti, estos son los pasos que debes seguir:
- Documenta todo de inmediato. Capturas de pantalla del perfil falso, de los mensajes que está enviando a tus contactos, de cualquier evidencia disponible. Hazlo antes de nada, porque la cuenta puede desaparecer o modificarse.
- Avisa a tu comunidad sin esperar. Cuanto antes sepa la gente que existe un perfil fraudulento suplantándote, menos posibilidades habrá de que alguien caiga en la trampa.
- Denuncia el perfil directamente en la plataforma. En Instagram: accede al perfil falso, toca los tres puntos (⋯), selecciona Denunciar > Se hace pasar por alguien > Por mí. Si cuentas con una cuenta verificada o una comunidad amplia, la respuesta puede ser relativamente rápida. Si no, desde EliminamosContenido.com tenemos acceso a canales prioritarios con las plataformas para estos casos.
- Moviliza a tu comunidad para que también denuncie. Las plataformas responden con mayor velocidad cuando reciben un volumen alto de denuncias simultáneas sobre el mismo perfil.
- Interpón una denuncia policial, especialmente si ya hay personas que han sido contactadas o estafadas. Puedes hacerlo de forma presencial o telemática a través de la Policía Nacional o la Guardia Civil.
Puedes encontrar esta guía ampliada en el artículo que Pablo dedicó en exclusiva a las suplantaciones de identidad en el mundo digital.
¿Sabías que es posible eliminar tu huella digital de Internet?
Datos personales expuestos sin consentimiento, comentarios difamatorios sobre tí o tu empresa, fotos o vídeos subidos por terceros donde apareces… En Eliminamos Contenido te ayudamos a borrar esa información dañina que hay en Internet de forma rápida y sencilla.
Qué hacer si te roban la cuenta de Instagram
El robo de cuenta es un escenario distinto y, en general, más complejo de resolver. Aquí no hablamos de un perfil clonado, sino de que alguien ha conseguido acceder a tu cuenta real, ha modificado el correo electrónico, la contraseña y el teléfono asociados, y te ha dejado completamente fuera.
La clave está en los primeros minutos. Cuando se realizan cambios en una cuenta de Instagram, la plataforma envía un correo desde [email protected] con un botón para revertir esas modificaciones si no has sido tú. Si actúas antes de que ese correo expire o sea ignorado, puedes frenar el ataque en seco.
Si ya es demasiado tarde para eso, el proceso de recuperación pasa por el formulario de soporte de Meta, que incluye opciones de verificación por reconocimiento facial o documentación de identidad. El proceso es lento y frustrante —como bien sabe la periodista que planteó esta pregunta, que lo vivió en primera persona sin obtener respuesta de Meta—, pero es el camino disponible.
Desde CyberBrainers hemos acompañado a múltiples clientes en este proceso. Si te encuentras en esta situación, contacta con nosotros y analizamos el caso.
La impunidad en internet: qué hace falta para que esto cambie
La entrevista cerró con una pregunta de fondo, la más importante de todas: ¿qué hace falta para que esto tenga solución real?
Pablo lo tiene claro: el problema es sistémico y requiere respuestas en varios frentes a la vez.
- Primero, responsabilidad real de las plataformas. Que Meta, Google o X respondan subsidiariamente de los fraudes que se cometen usando su infraestructura les obligaría a invertir mucho más en moderación, respuesta y prevención. Hoy por hoy, el coste de esa inacción lo pagan las víctimas.
- Segundo, mayor coordinación policial internacional. La mayoría de estas redes criminales operan desde jurisdicciones donde perseguirlas resulta extremadamente difícil. Las Fuerzas y Cuerpos de Seguridad del Estado hacen lo que pueden, pero con recursos limitados y una avalancha de denuncias que no pueden atender todas. Es por eso que desde CyberBrainers realizamos el trabajo técnico previo —análisis, evidencias digitales, trazado de actores— y se lo entregamos a las autoridades para que ellos puedan centrarse en las labores que solo ellos, como Autoridad competente, pueden ejercer.
- Tercero, educación digital real y efectiva, no campañas superficiales. La mejor vacuna contra estos ataques es que la gente entienda cómo funcionan, y eso requiere formación continua y accesible.
- Y cuarto, legislación más ágil. El Reglamento de Servicios Digitales (DSA) de la Unión Europea es un paso relevante en la dirección correcta, pero el marco legal siempre va varios pasos por detrás de cómo evoluciona el crimen digital. Mientras esa brecha no se cierre, la responsabilidad de protegerse sigue recayendo, de forma injusta, sobre el propio usuario.
Si quieres estar al día de este tipo de casos y aprender a protegerte, te recomendamos suscribirte a la newsletter semanal de Pablo, donde cada lunes comparte todo lo relevante sobre tecnología, seguridad y negocios digitales.
Y si necesitas ayuda profesional ante un caso de suplantación, robo de cuenta o fraude online, nuestro equipo en CyberBrainers está disponible para asesorarte.
Te dejo, para terminar, el enlace al artículo que acabó publicando el medio (ES).
En CyberBrainers ayudamos a empresas y usuarios a prevenir, monitorizar y minimizar los daños de un ataque informático o una crisis reputacional. Si estás en esta situación, o si quieres evitar estarlo el día de mañana, escríbenos y te preparamos una serie de acciones para remediarlo.
Monitorización y escucha activa
Ponemos nuestras máquinas a escuchar para identificar potenciales fugas de información, campañas de fraude/extorsión y usurpación de identidad que estén en activo, y/o datos expuestos de ti o de tu organización.
Planes de autoridad y Presencia Digital
Ayudamos a organizaciones y particulares a definir la estrategia e implementar acciones digitales que mitiguen los posibles daños reputacionales que pueda sufrir en el futuro.
Gestión de crisis reputacionales
Cuando el mal ya está hecho, establecemos un calendario de acciones para reducir su duración e impacto, y que la organización y/o persona pueda volver a la normalidad lo antes posible.
