Curiosidades De Hackers: septiembre 2023

Los peligros del sharenting: por qué compartir información de tus hijos en redes sociales supone graves riesgos

La foto de la primera ecografía, la del nacimiento con la hora exacta, el lugar y su nombre y apellidos son la puerta de entrada gratuita al cibercrimen. Se calcula que en 2030 casi dos tercios de los casos de fraude en línea se habrán dado por compartir información personal de menores por Internet, un problema que tendrá un coste de 800 millones de dólares.

Y es que el 23% de los niños tiene presencia en línea incluso antes de nacer, porque sus padres publican imágenes de las ecografías durante el embarazo. Este porcentaje se dispara rápidamente, hasta el punto de que el 81% está en Internet antes de cumplir los 6 meses.

Qué es el sharenting

   Un habito que se resume en compartir informacion, vídeos y fotos (de cualquier tipo) de los hijos en Internet y redes sociales. Sin respetar la intimidad de ellos y afectando a su identidad digital futura, pero no solo eso, derivado de esa sobreexposición, pueden darse suplantación de identidad, fraude en línea, victimización por grooming o ciberbullyng o que ese contenido se convierta en material de explotación sexual infantil.

   En menos de 10 años, los contenidos de abuso sexual infantil en la red se han incrementado un 1.815 %, pasando en 2013 de 13.343 páginas web a 255.571 enlaces en 2022, según datos recientes de la Internet Watch Foundation. Entre este material, hay fotos de violaciones e imágenes sexualizadas de menores, pero muchas otras no lo son.

   La Agencia Española de Protección de Datos recoge datos muy llamativos en su web:

• Un estudio de la Universidad de Michigan que revela que el 50% de los padres suben fotografías de sus hijos que podrían resultarles vergonzosas.
• En Reino Unido han detectado que los padres publican un promedio de 13.000 vídeos o fotos de sus hijos o hijas antes de que cumplan 13 años.

• Un informe de la empresa de seguridad AVG que alerta de que 8 de cada 10 bebés está en internet antes de que cumplan seis meses.

Incluso si tapamos sus rostros podemos dar datos de manera inconsciente que los haga visibles a cualquiera: un espacio conocido, un parque público, el nombre de un colegio o un centro comercial, etc. Datos que pueden permitir la geolocalización de nuestros hijos.

No pensamos en que esa 'inocente foto de mi niña jugando en la playa' pueda acabar en las colecciones de abusadores de cualquier lugar del mundo o que pueda usarse como reclamo en un perfil falso para embaucar y seducir a otros niños y niñas de los que abusar. En España se estima que hay alojadas el 2% de las páginas de explotación sexual infantil, pero es el primer consumidor de Europa y el segundo del mundo.

Por qué sobreexponemos a los hijos

Existen dos factores: el primero es que los padres y madres tienen el hábito de compartir habitualmente su propia vida, lo cual los lleva a hacer extensivo este hábito a la vida de sus hijos. Y el segundo es que su red de contactos muestra entusiasmo por este tipo de imágenes, lo cual incentiva que se intensifique su compartición, dado que, al fin y al cabo, lo que casi todos andamos buscando en los medios sociales no es otra cosa que la máxima aceptación social.

En España, el 89 % de las familias comparte alrededor de una vez al mes contenidos de sus hijos en Facebook, Instagram o TikTok, según el informe EU Kids Online. El impulso de sobreexponer a los hijos en las redes responde a la concepción de su existencia como un mero apéndice de la nuestra, lo cual, obviamente, no es aceptable, y al deseo de aprovechar la simpatía que la naturalidad y el encanto de los más pequeños despierta en casi todo el mundo.

No hay forma posible de compartir de forma segura en redes sociales. No se puede hacer un 'buen sharenting', no somos conscientes de toda la información que volcamos en redes ni de los usos que se les dará.

Lenguaje secreto en la internet superficial

Es un lenguaje que solo entienden las personas que están metidas en esa red, es un código en clave que marca un momento en el que se puede intuir una sexualización del niño o de la niña para informar a su propio grupo. Al ser comentarios neutros (marcas de tiempo), no violan las políticas de la plataforma y, por tanto, son difíciles de detectar. No solo es YouTube, también sucede en Instagram, Facebook o TikTok. Este tipo de material genera mucho tránsito y, aunque la mayoría de este contenido se mueve en la internet profunda (deep web), también lo hay en la internet superficial.

A eso se le suma otro gran problema en cuanto al material de explotación sexual infantil, y es que, ese joven que ya está muy presente en el mundo digital y tiene normalizadas las redes sociales, ahora tiene móvil. Se está adelantando la edad en que los menores tienen móvil y eso está aumentando el grooming y el sexting. Cada vez hay más niños y niñas que están autoproduciendo este tipo de materiales. La edad media en España para el primer smartphone son los 10 años, según Unicef (2022).

Cuáles son los riesgos del sharenting

Según el portal Pantallas amigas, especializado en el uso responsable de internet y de los dispositivos tecnológicos, los principales riesgos del “sharenting” son :

• Falta de privacidad

Al compartir imágenes e información de los menores creamos una huella digital y les quitamos la privacidad que les pertenece. Ana Pacheco, abogada y una de las expertas de de Criar Con Sentido Común (podéis contactar con ella a través de la Tribu CSC) aclara:

“El consentimiento para publicar fotografías de los menores de 14 años la tienen los padres o tutores

legales. Pero siempre debe haber un acuerdo con el menor en el que este consienta. Además, es necesario que esté en plenas facultades para dar su permiso“.

Es decir, que se “necesita expresamente la aprobación” de la persona involucrada. En el caso de las figuras públicas, se podrán fotografiar, pero también se necesita una aprobación previa. Es decir, que tampoco los hijos o hijas de famosos se pueden fotografiar alegremente si no hay un consentimiento.

Hay que recordar que los menores tienen derecho al honor, a la intimidad familiar y personal y a la propia imagen, tal y como ya explicamos en este otro post sobre exposición de menores en redes sociales.

• Ciberbullying

Según Pantallas amigas, con el sharenting podemos llegar a favorecer el acoso en redes de manera inconsciente. Además, también podemos estar facilitando información acerca de nuestros hijos e hijas que puede afectar a su reputación, perjudicándole en el colegio o en su entorno social.

• Fraude

   También los niños y niñas pueden ser objetos de fraude por los datos que hay de ellos en Internet. El Wall Street Journal publicó un caso de usurpación de identidad de un bebé.

   “Me gustaría dar la bienvenida al mundo a mi hijo. Mamá y el tío Maddox te quieren mucho, Artie“, recogía un foto de un bebé que dormía tranquilamente publicada en una red social. Pero resultó que Artie (Arthur) no era Artie. Era una niña cuya madre, una mujer de Canadá, había colgado su foto en un perfil público de Instagram tras dar a luz.

   Fue ella la que, tras ser alertada de que su hija circulaba por internet, alertó a Facebook de lo que sucedía. La compañía cerró el perfil de la mujer que había robado la identidad de la bebé.

• Grooming y pedofilia

   El “sharenting” también puede dar pie al “grooming” o a la pedofilia. Lo primero hace referencia al acoso online por parte de adultos a menores. Los primeros se ganan la confianza de niños, niñas y adolescentes y los acaban obligando a intercambiar imágenes sexuales o incluso llegar al abuso sexual.

   Los pedófilos, por su parte, aprovechan cualquier recoveco para lograr fotografías e información de niños. Y las redes sociales son terreno abonado para ello si no ponemos límites y enseñamos a nuestros hijos a ser prudentes.

   Las fotos y vídeos que compartimos en internet pueden llegar a pedófilos, lo que aumenta la vulnerabilidad de los menores.

Y si reflexionamos antes de compartir

   Es lógico y muy humano querer compartir con los demás la felicidad y el orgullo que sentimos por nuestros hijos. Una pose graciosa, un disfraz divertido o simplemente una sonrisa inmensa capaz de iluminar la habitación nos anima de inmediato a enviar la instantánea a familiares o amigos. O a subirla a Facebook, Instagram o cualquier red social.

   Pero, ¿reflexionamos antes de hacerlo? ¿somos conscientes de que subir una imagen de un menor entraña todos estos riesgos? ¿nos planteamos cómo pueden sentirse nuestros hijos si compartimos, no sé, una imagen suya dormidos con la boca abierta? o ¿hasta qué punto esto puede afectarles en la autoestima y en su autoconcepto?

   Tal vez, deberíamos tomarnos unos minutos de reflexión antes de compartir fotos, vídeos o imágenes de nuestros hijos. Ponernos en su lugar también pueden ayudarnos a empatizar con ellos.

QRishing o QR phishing: Qué son los códigos QR y cómo se utilizan. Cómo detectarlos. Cómo protegernos

Los códigos QR están por todos lados: en restaurantes, envases de yogur, exposiciones de los museos, en las facturas de ciertos servicios o la lotería. Y los usuarios los utilizan para abrir sitios web, descargar aplicaciones, recopilar puntos de programas de fidelidad, hacer pagos y transferir dinero e, incluso, para donar a organizaciones benéficas. Esta tecnología tan accesible y práctica resulta cómoda para muchos, incluidos, como siempre, los ciberdelincuentes, que ya han desplegado múltiples estrategias basadas en los códigos QR.

De la unión de los términos QR y phishing surge el nombre de este fraude, el QRishing, que consiste en la manipulación de códigos QR para engañar a la víctima y que acceda a enlaces o aplicaciones maliciosas y obtener su información privada.

Qué son los códigos QR y cómo se utilizan

   Hoy en día, casi todos tenemos un smartphone y muchos de los modelos actuales ya cuentan con un escáner de códigos QR incorporado, pero cualquiera puede descargar una aplicación que lea estos códigos o elegir una especial, por ejemplo, para un museo.

   Para escanear un código QR, el usuario solo tiene que abrir la aplicación del escáner y apuntar la cámara del teléfono hacia el código. La mayoría de las veces, el smartphone te dirigirá a cierto sitio web o a descargar una aplicación. Sin embargo, existen otras opciones, de las que hablaremos más adelante.

   Asimismo, algunas aplicaciones pueden crear códigos QR para ofrecer cierta información a cualquiera que lo escanee. Por ejemplo, es posible que reciban el nombre y contraseña de tu red wifi para invitados o información bancaria.

   Inventado en Japón en los años 90, desde la pandemia se ha popularizado enormemente para reducir el contacto con soportes físicos en usos como el certificado de vacunación, el menú del restaurante o en el mobiliario urbano. Esto no ha pasado desapercibido para los ciberdelincuentes que pueden «colarnos» enlaces maliciosos.

Veamos algunos ejemplos reales

• Multas de tráfico con un QR que conduce a una web falsa para el pago de la sanción, pero realmente es el ciberdelincuente el que recibe el importe.
• Un tipo de estafa conocida como QR inverso, realizada a camareros al pagar la cuenta. El presunto delincuente enseña a la víctima un código QR vinculado a su propia entidad bancaria, cuando en realidad se trata de una solicitud de dinero. Asimismo, logra hacerse con sus datos personales y bancarios.

• Combinado con otras técnicas, como la instalación de malware o webs que suplantan páginas reales (web spoofing) para que facilites datos personales.

• Colocando pegatinas encima el código QR real en un establecimiento comercial.

Ultima campaña

  En primer lugar, la víctima recibe un correo electrónico que incluye su nombre y el de la empresa. En el mensaje se incita a la víctima a escanear un código QR a través de su teléfono móvil. Para ello, los ciberdelincuentes pueden alegar que es necesaria una verificación de la identidad o de un doble factor de autenticación.

   Esta campaña de correos fraudulentos es especialmente peligrosa, ya que los ciberdelincuentes utilizan cuentas de correo electrónico comprometidas para personalizar el nombre del remitente y los asuntos, en función de la organización y el correo electrónico del destinatario. Por ejemplo: « Scan requirement: [NOMBRE EMPRESA] Security Authentication for your account: [email_destinatario] ».

   En los correos detectados el código QR fraudulento suele encontrarse directamente en el cuerpo del mensaje, aunque también se han detectado versiones en las que se incluye en un documento adjunto.

En caso de que la víctima escanee el código QR, será redirigido a una página web fraudulenta, muy parecida a la de inicio de sesión en los servicios de Microsoft de su organización. Además, a través del escaneo del código QR, los ciberdelincuentes consiguen que la dirección de la víctima pueda aparecer ya rellenada en el formulario

En caso de que la víctima introduzca los datos, estos quedarían en manos de los ciberdelincuentes.

En algunos de los casos detectados, los destinatarios eran personal directivo o con grandes responsabilidades en la organización.

Problemas y consejos

   Los códigos QR permiten a los atacantes ocultar los enlaces maliciosos de manera efectiva, ya que se esconden dentro de la imagen de los mismos, que a su vez están incrustadas en una imagen PNG o un archivo PDF adjunto.

   Aunque los códigos QR tienen legítimos propósitos, su uso en campañas maliciosas está en aumento debido a su efectividad en comparación con los enlaces tradicionales en los correos de phishing: los dispositivos móviles no suelen estar regulados por las empresas, lo que los coloca fuera del alcance de los sistemas de seguridad empresariales.

   Los expertos animan a los usuarios a no fiarse de ningún e-mail, SMS o similar que le redirija a un sitio web si no están 100% seguros de conocer al remitente. Así, cualquier QR que no parezca fiable no debería ni llegar a ser escaneado… y, aun pareciéndolo, debemos verificar las URLs durante todo el proceso (pues el dominio puede cambiar varias veces con cada clic) y asegurarnos de que coincide con un dominio legítimo.

Cómo detectar este fraude

La prevención se basa en tratar de identificar la dirección a la que nos remite el código QR:

Aunque no es infalible, si la web empieza por https quiere decir que cumple con un mínimo de seguridad y protección.

• Extremar precauciones y comprobar que el enlace web o url no es sospechoso, antes de abrirlo. Si es un enlace acortado mejor «alargarlo» antes para verificarlo o no abrirlo.

• Si accedemos a una web que nos solicite datos, es preferible acceder nosotros directamente desde la url completa o desde la propia aplicación.

• Como dueño de una empresa comprueba los QR que pones a disposición de tus clientes para comprobar que no han sido falseados.
• Haz una revisión física rápida antes de escanear un código QR de un cartel o señal para asegurarte de que el código no está pegado sobre la imagen original.

• Utilizar aplicaciones que permitan ver el enlace antes de abrirlo. En el caso de dispositivos iOS se hace desde la propia cámara pero debes activar la funcionalidad. En Android dispones de la app Google Lens que ya viene preinstalada o aplicaciones dedicadas que encontrarás en la Play Store.

• TENER SENTIDO COMUN

El fraude del "sí" al contestar al teléfono. Cómo actúan. Qué hacer de caso de ser victima

El INCIBE ha alertado a los usuarios que, cuando descuelguen una llamada, traten de no dar ninguna afirmación pese a que la persona al otro lado de la línea presente datos personales, ya que podrían haberlos encontrado en redes sociales.

El Instituto Nacional de Ciberseguridad (INCIBE), del Ministerio de Asuntos Económicos y Transformación de España, ha explicado por qué no tenemos que decir 'sí' a la hora de descolgar el teléfono. Según cuentan, al hacerlo, nos volvemos más vulnerables ante los ciberdelincuentes.

       Las llamadas por teléfono son una de las vías más utilizadas por los estafadores. Habitualmente, cuando respondemos a una de ellas, lo hacemos con un simple 'sí'. Sin embargo, en INCIBE afirman que esa palabra tan simple, de una sola sílaba, puede grabarse y usarse para actos delictivos.

       Como ejemplo, señalan que una afirmación como la que usamos al descolgar se puede emplear para autorizar transacciones financieras, contratos o para falsificar nuestra identidad. La grabación también puede manipularse y dañar nuestra reputación.

       Este método, que ha sido alertado por varios medios de comunicación tanto escritos como audiovisuales, se engloba dentro de las estafas de vishing. Los fraudes de vishing son un tipo de phishing que se realiza a través de una llamada telefónica. En este caso, según informó el Instituto Nacional de Ciberseguridad (INCIBE) en un artículo publicado en su blog, los estafadores siguen varios pasos para conseguir el “sí” de sus víctimas.

¿Conoces el #fraude del "sí" al contestar por teléfono ☎️? Antes de responder así en la próxima llamada 📞, toma nota 📝 de los consejos que te damos desde @osiseguridad.

➡️ Más detalles: https://t.co/zBbXzPPFeO #ProtecciónDigital pic.twitter.com/YWNGBjFNXX
— INCIBE (@INCIBE) September 20, 2023

El paso a paso del fraude

Según informan desde la INCIBE, el proceso que siguen los ciberdelincuentes para llevar a cabo su engaño es el siguiente:

• Llamada inicial: el estafador se hace pasar por un representante de un banco, servicio de venta, atención al cliente, soporte o similares. Genera confianza, mencionando información personal básica que podrían haber sacado de redes sociales o de una estafa anterior. Así pueden ir grabando respuestas que se podrían hacer en una llamada real, para grabar posibles respuestas.

• También es probable que les baste con un simple 'sí' y que después cuelguen.

• Diálogo y preguntas: en caso de buscar solo un 'sí' y no obtener esa respuesta de primeras, es posible que el ciberdelincuente vaya haciendo preguntas como '¿está usted autorizando transacciones en este momento?', o '¿está de acuerdo con recibir actualizaciones de nuestros servicios?'. Así, buscará obtener un 'sí' o una respuesta afirmativa.

• Uso de la grabación de voz: una vez obtenido el audio afirmativo de la víctima, el estafador podría usarlo para darse de alta en algún servicio bancario o realizar una encuesta en su nombre.

¿Qué puede hacer la víctima? Si la víctima detecta que están usando su identidad sin su consentimiento, debe denunciar a las Fuerzas y Cuerpos de Seguridad del Estado.

Cómo debes actuar si sospechas o has caído en un fraude como este

•Mantén la calma: Es comprensible sentirse preocupado o asustado, pero intenta mantener la calma y pensar con claridad. La toma de decisiones racionales te ayudará a abordar la situación de manera más efectiva.

•Cuelga la llamada: Si sospechas que la llamada es fraudulenta o no te sientes cómodo con la situación, simplemente cuelga. No proporciones ninguna información adicional y evita prolongar la conversación.

•Verifica la legitimidad: Si la llamada supuestamente proviene de una entidad financiera o empresa legítima, busca el número de contacto oficial de esa organización y llámalos directamente para verificar la autenticidad de la llamada. No utilices los datos de contacto proporcionados por el presunto estafador, ya que podrían ser falsos.

•Monitoriza tus cuentas: Haz un seguimiento cercano de tus cuentas bancarias y tarjetas de crédito para detectar cualquier actividad inusual. Si notas transacciones no autorizadas, informa a tu banco de inmediato.

•Controla la información que circula sobre ti en la red: Realiza egosurfing para conocer la información sobre ti publicada en Internet. Además, activa las alertas de Google para recibir notificaciones sobre menciones de tu nombre o información personal y poder tomar las medidas necesarias para su retirada de Internet.

•Cambia las contraseñas y códigos de seguridad: Para estar seguro, cambia las contraseñas y los códigos de seguridad relacionados con tus cuentas que pudieran estar comprometidas. Utiliza contraseñas fuertes y únicas que sean difíciles de adivinar.

•Mantén registros: Guarda cualquier evidencia relevante, como números de teléfono, grabaciones de llamadas, correos electrónicos o mensajes de texto recibidos durante la estafa. Estos registros pueden ser útiles para informar a las autoridades y respaldar cualquier reclamo futuro.

•Denuncia la estafa: Interpón la denuncia correspondiente ante las Fuerzas y Cuerpos de Seguridad del Estado proporcionando todos los detalles y evidencias de las que dispongas.

Recuerda, la prevención es clave. Mantén una actitud cautelosa al recibir llamadas telefónicas de números desconocidos y evita compartir información personal o financiera confidencial a menos que estés seguro de la legitimidad de la llamada. Confía en tus instintos y no dudes en colgar si algo parece sospechoso.

Estafas en plataformas de compra y venta de segunda mano

La delegación de la OCU alerta del incremento de fraudes en webs de productos de segunda mano como Wallapop, Vinted, Ebay o Vibbo en los que un presunto comprador con perfil falso se interesa en un producto de un cierto valor (entre 400 y 1.000 euros) y propone continuar la gestión fuera de la aplicación con la excusa de ahorrarse los gastos asociados al uso de la plataforma.

Si el vendedor accede, le pedirán un correo electrónico para continuar con la operación. No suelen regatear en el precio y muestran cierta urgencia en cerrar el trato. La trampa se materializa cuando el vendedor recibe un correo con un enlace de una supuesta entidad bancaria que solicita los datos de su tarjeta para ingresar en su cuenta el importe acordado. En el momento en que el vendedor facilite los datos se consuma la estafa, ya que se usarán para sustraerle dinero o realizar compras con su tarjeta. La OCU advierte de que, al mantener la conversación fuera de la plataforma, ésta no puede monitorizar y proteger la compraventa, eliminando por ejemplo el envío de enlaces web o detectando otros intentos de fraude. Al tiempo que dificulta la posibilidad de reclamar posteriormente a dicha plataforma.

De esto es precisamente de lo que se aprovechan a la hora de realizar la estafa, ya que puede que no levante sospechas, puesto que simplemente es un usuario que se encuentra con otro y quieren tener una conversación para intercambiar un producto. Es después de esto cuando, si el estafador detecta que la persona lleva poco tiempo utilizando la aplicación o es la primera vez que realiza un envío, intentará manipularla. Tras detectarlo y conversar con él, el ciberdelincuente hará dudar al vendedor sobre que no ha hecho correctamente el registro de su cuenta y que por ello no le permite hacer el pago, además de hacerle creer que le falta introducir de manera correcta el correo electrónico con el que se ha registrado y pidiéndoselo a la víctima. Todo ello simulando ser una persona amable, normal y corriente.

Tras fiarse de la persona y lograr esa atmosfera de relativa confianza, puede que el estafador le pregunté con toda la buena intención sobre el correo que está utilizando para verificar si tiene algo mal redactado, por ejemplo.

Ejemplo de un posible diálogo

ESTAFADOR: “como debes ser nueva en la app, no has hecho bien el registro y no puedo hacer el pago […], Parece que no has puesto tu email y desde Wallapop no pueden cargarlo en mi tarjeta. ¿Con qué email estás registrada?”

USUARIO: m*****.****@gm**.com

ESTAFADOR: ¡Qué raro! Voy a volver a intentarlo. Ahora te digo.

       En el momento que el usuario se lo pone por escrito, le llegará a la bandeja de entrada de su correo un supuesto mensaje de Wallapop indicando que ‘el sistema ha reservado con éxito el artículo para la venta’ y que para confirmarlo debe hacer clic en el botón que contiene, según explica la compañía.

       Dicho botón lleva a una página prácticamente exacta al verdadero sitio de la plataforma en el que debe confirmar su dirección de correo electrónico, contraseña, confirmación de tarjeta de crédito…

       Pero claro, se trata de un sitio para lograr toda la información bancaria del usuario. Por ello, siempre debemos desconfiar cuando alguien nos pida datos personales o bancarios, incluso si se trata de una web oficial, tenemos que asegurarnos bien.

Consejos de la OCU

       Por todo ello, la Organización ofrece cinco recomendaciones básicas para prevenir problemas.

                • Priorice webs o plataformas conocidas y no salga de ellas, ya que disponen de controles internos de seguridad para detectar todo tipo de fraudes. Desconfíe de los compradores o vendedores que a la hora de pagar u organizar el envío exigen continuar fuera de ella.
                • Antes de comprar o vender o un producto revise el perfil de la otra parte. Sea especialmente cauteloso con perfiles con poca antigüedad y sin reseñas, sobre todo si tienen mucha prisa por cerrar la gestión o el producto que anuncian es especialmente barato.
                • La petición de datos de la otra parte, como un correo electrónico o un teléfono de contacto puede ser el inicio de un intento de phishing. Desconfíe de los links que le lleguen por estos medios, podrían solicitarle sus datos bancarios con alguna excusa aparentemente razonable.
                • Para los pagos, aproveche las herramientas que ofrece la plataforma. Pero si finalmente opta por comprar o vender el producto en persona, priorice el efectivo. Si le hacen un bizum, asegúrese que no le están pidiendo aceptar una solicitud de dinero (en vez de un ingreso).
                • Si a pesar de todo sufre una estafa, póngase cuanto antes en contacto con la plataforma, avise a su banco y denúncielo en la policía. Si operó dentro de la plataforma y no dejó sus datos a nadie podría recuperar el dinero perdido.

       Desafortunadamente, estas plataformas se están convirtiendo en las plataformas favoritas por excelencia de los estafadores, para timar a usuarios que pretenden comprar y vender en la plataforma. Sólo hay que echar un vistazo a los foros y ver cuántas personas están siendo estafadas a través de las compraventas online.

       Es por ello que hay que tener mucho cuidado al usar dichas plataformas, puesto que estos estafados se la ingenian para ir cambiando de métodos, plataformas y estrategias para seguir quedándose con un dinero que no les corresponde.

       Si eres un usuario que suele utilizar plataformas como Wallapop, te recomendamos que conozcas muy bien los métodos de estafas más habituales y actuales que hemos podido encontrar en Wallapop y otras plataformas.

Las estafas más comunes en wallapop:

1. Enlaces de bizum

Uno de los problemas más habituales que hemos detectado a través de internet son con Bizum y sus enlaces. ¿Pero, cómo es posible? Algunos estafadores usan Bizum como gancho para persuadir a varios usuarios y dejarles sin ahorros. Esto está ocurriendo por lo general, a personas que frecuentemente no son especialistas en móvil o nuevas tecnologías.

El funcionamiento es el siguiente: el usuario recibe una notificación o enlace del estafador, y éste te comenta que debes aceptarlo para recibir el dinero que te está intentando mandar por Bizum. Tu le crees y piensas que ese enlace es para aceptar el dinero del Bizum, sin embargo, lo que estás haciendo en realidad es transferir tu dinero / pagar tú al estafador por algo que tú le estás vendiendo.

•Es por ello que es imprescindible fijarse bien, no solo en la cantidad de dinero, sino en comprobar si es un enlace de “enviar dinero” o “recibir dinero».

2. Estafas DHL

       Las estafas en Wallapop relacionadas con la empresa de mensajería DHL han sido un tipo de phishing que ha salido muy caro a muchos usuarios de Wallapop.

       El modus operandi de los estafadores en este caso es el siguiente: El ciberdelincuente se hace pasar por comprador y se interesada por un artículo que tenemos en venta en Wallapop. A continuación, nos pide que sigamos la conversación a través de correo electrónico. Una vez contactas con él por correo, recibes un falso email en el que se hacen pasar por la agencia de transporte DHL y en la que te notician que han recibido un ingreso del “supuesto comprador” pero que falta por tu parte que les facilites todos tus datos personales y bancarios, ellos a cambio te prometen que pagarán por adelantado.

       Ahí es donde debería sonar el signo de alerta de estafa. A partir de aquí, si les facilitas tus datos bancarios, ellos ya tendrán acceso a operar con tus cuentas bancarias inmediatamente, hasta que lo descubras y bloquees la cuenta, pero ya será demasiado tarde.

3. Phishing y bots en la plataforma wallapop

       Una de las últimas estrategias de phishing que los ciberdelincuentes están haciendo en Wallapop consiste en la siguiente: los ciberdelincuentes se están valiendo de bots automatizados que fingen ser humanos reales para convencer a los vendedores y así estafarlos.

       Estos bots intentan convencer a los vendedores para cerrar un acuerdo fuera de la plataforma y a través de correo electrónico. Una vez los vendedores caen en la primera parte de la estafa y facilitan o envían un correo electrónico al supuesto comprador interesado, es cuando entra en juego el papel del ciberdelincuente: Éstos se hacen pasar por empresas bancarias o compañías de transporte para intentar conseguir tus datos personales y bancarios. Como consejo: Nunca, bajo ningún concepto, facilites tus datos por correo electrónico y fíjate que el correo contenga una extensión empresarial; Ej: @transporteoficial.com.

       De todos modos, NUNCA una empresa de transporte o bancaria, va a pedirte tus datos bancarios o personales a través de un correo electrónico.

4. El PayPal “amigo” y producto defectuoso

       A través de Paypal se comenten dos tipos de estafas muy comunes por «caer en ser inocente»:

       Los vendedores te pedirán que por favor mandes el dinero del articulo que estás pagando a la cuenta de PayPal de algún familiar o amigo. Según ellos, al elegir la metodología «Amigos, familiar o conocido», se ahorrarían la comisión de la plataforma. Una vez el comprador realiza el pago, el vendedor desaparece y el dinero deja de ser reclamable al haberse realizado con este método, y no podrás reclamarlo a PayPal.

       Otro método es el Chargeback Scam. El timo es el siguiente: PayPal permite que el comprador pueda devolver lo comprado, produciéndose así la devolución del dinero. Así pues, el estafador devuelve un artículo totalmente diferente al que pidió (puede ser otro producto o algo de muchísima menos calidad), quedándose tanto con el dinero como con el artículo. Lo mismo puede suceder con Wallapop Protect, con lo cual hay que tener cuidado.

5. La estafa nigeriana o de Reino Unido

       Un clásico en Wallapop: Existe una enorme cantidad de personas afectadas con la comúnmente llamada “Estafa Nigeriana”

       La estafa consiste en los siguiente: una persona con un perfil falso y un castellano cuanto menos dudoso está interesada en un artículo en venta. El susodicho contacta con el vendedor y alega que no se encuentra en el país de venta del artículo en cuestión, razón por la cual añadirá al precio final del producto un extra por las molestias y los gastos de envío.

       Tras esto, el vendedor recibe un supuesto correo de PayPal o Western Union advirtiendo de que la cantidad adeudada está retenida hasta que no se envíe el producto. Desde luego, éste correo en cuestión es falso, ya que ni PayPal ni Western Union retienen envíos de dinero.

       Pueden contactarte desde Nigeria, o puede ser Italia, Alemania, cualquier parte de Inglaterra… lo importante es que sea fuera de España y que la molestia por enviar el paquete fuera sirva como excusa para pagarnos un sobreprecio.

6. Estafas en el pago contrareembolso

Un método poco utilizado ya,puesto que en la mayoría de casos el comprador revisa el estado del pedido previamente a realizar el pago. El pago contra reembolso consiste en realizar el pago al mensajero cuando se recibe el envío de la compra.

Esta estafa consiste en enviar y recibir algo que no era ni de lejos lo que habías acordado con el vendedor: un producto diferente o en mal estado. Sin embargo, en ese caso al no haber elegido una opción que te proteja, el dinero ya está en manos del vendedor y tu con un producto con el que no estás de acuerdo.

• Para evitar esta estafa, lo mejor es abrir el paquete antes de pagar y firmar nada, para poder comprobar que todo está en orden, pero es algo que no todas las compañías de mensajería permiten hacer.

7. Estafas en wallapop por transferencia bancaria

Actualmente es la estafa menos común en Wallapop. El timo consiste en el siguiente: El estafador o «Supuesto comprador» nos contacta y nos pide que sigamos manteniendo el acuerdo fuera de la aplicación utilizando el correo.

Después de esto, una vez contactamos con él, el supuesto comprador nos indica la urgencia de la compra y que incluso no le importa pagar un precio extra a sumar al articulo. Además, para dar más veracidad, nos dirá que nos envía una dirección de envío una vez realice la transferencia.

Si picamos en su anzuelo, y acabamos enviando el artículo, de cuyo envío deberemos enviar prueba inmediata, el estafador procederá cancelar la transferencia los bancos dan un plazo de 48 horas para anular estas operaciones, por lo que tú te quedarás sin artículo y sin dinero.

8. Falso mensaje del equipo y/o administrador de wallapop

Otra estafa en Wallapop común es la de recibir, de unos «presuntos» administradores o equipo de Wallapop (son realmente unos estafadores que nada que ver tienen con Wallapop) , un supuesto mensaje del chat a través la misma plataforma, solicitando los datos de acceso a tu cuenta por motivos de seguridad y verificación.

Si picamos en su trampa, los estafadores procederán a cambiar la contraseña. Ya tendrán los suficientes datos para adueñarse de nuestra cuenta: Si se aportan esos datos los delincuentes cambiarán la contraseña y pedirán el código de confirmación, que si se les facilita, dará completo acceso a la cuenta.

9. Estafas sobre paquete vacío, artículo roto o en mal estado

       Actualmente, existen muchos usuarios que venden productos sin la calidad que han especificado o incluso que no llegan al enviar el artículo tras recibir el dinero.

       Otros, simplemente alegan no haber recibido un producto y se quedan tanto con el producto, como con el dinero.

       En estos casos Wallapop lo tiene difícil para comprobar si ha habido realmente una Estafa, puesto que no hay suficientes pruebas para demostrar quién dice la verdad y quién miente.

10. Estafas en wallapop con billetes falsos

Al final, nada de esto nos convence y preferimos quedar en persona. ¡Cuidado! Aquí también hay posible estafa:

En estas situaciones en las que decidimos realizar la venta en persona y realizar la transacción con el pago en metálico, puede darse el caso de que te acaben endorsando dinero Falso.

Consejos

1. Guíate por tu intuición

2. Observa la actitud y el comportamiento del usuario

3. Observa con lupa el perfil y fotos del usuario

4. Evita pagar por adelantado

5. Olvídate de contactar a través de correo electrónico

6. Evita los envíos internacionales

7. Siempre utilizar Paypal como producto o servicio

8. Desconfía de precios venta muy bajos o de compra muy altos

Los ataques más comunes contra las contraseñas y cómo protegernos

Las claves de acceso débiles, inseguras, robadas y reutilizadas hacen el trabajo de los ciberdelincuentes mucho más fácil, ya que permiten que estos actores maliciosos accedan a tu sistema para explotar sus vulnerabilidades de la forma que deseen, lo cual puede generarte grandes pérdidas financieras.

Por lo tanto, es necesario asegurarte de proteger tus cuentas aplicando las mejores medidas preventivas contra los diversos tipos de ataques de contraseña que se mencionan a continuación.

Una credencial de acceso es básicamente un nombre de usuario y una contraseña asociada a esa persona y a los permisos de accesos que tiene otorgados para una aplicación, servicio o sistema. También puede considerarse como credencial de acceso un certificado de usuario, o cualquier otra forma o método de autenticación cuya finalidad es poder disponer de acceso a un recurso, como una aplicación o una página web o servicio.

Las credenciales de acceso son empleadas a diario por todo tipo de perfil de usuario, tanto expertos en sistemas TIC como personas no habituadas a las nuevas tecnologías. Esto hace de ellas un blanco a atacar por parte de los ciberdelincuentes, que además requieren de estas credenciales para conseguir sus objetivos.

Los delitos dirigidos a conseguir credenciales de acceso crecen cada año, implementando nuevas técnicas y mecanismos para tratar de obtener estas.

Las credenciales de acceso son esenciales de cara a proteger la información de una organización y la personal, por lo que conviene tener claro qué ataques están enfocados a obtener estas y qué mecanismos y técnicas emplean.

Qué tipos de ataques son los mas comunes

Phishing

El phishing es uno de los ataques de contraseña que más afecta a usuarios en la red, solo en el año 2021, un estudio reveló que al menos 83 % de las organizaciones encuestadas reportaron ataques de phishing vía correo electrónico en los que los atacantes engañaron a los usuarios para que hicieran clic en enlaces maliciosos o descargaran archivos infectados con malware.

Es fácil llevar a cabo este tipo de ataques, ya que los ciberdelincuentes se hacen pasar por fuentes genuinas y confiables con las que la víctima siente que puede responder y compartir información confidencial; en la actualidad hay cuatro formas de ataques comunes de phishing:

¿Qué es el ‘phishing’ y cómo detectarlo?

Phishing normal

Es también conocido como phishing regular, la victima recibe un correo que luce genuino para una función con la que está familiarizado, como por ejemplo restablecer su contraseña. Si la victima sigue adelante sin confirmar la autenticidad del remitente, automáticamente expone sus credenciales a los atacantes, ya que el enlace lo redirige a un sitio web falso que parece legítimo.

¿Qué es un enlace malicioso?

Spear phishing

Con los ataques de contraseña spear phishing, los ciberdelincuentes envían correos usando una dirección de confianza en tu directorio (generalmente un amigo o colega de trabajo), quien solicita que hagas clic a un enlace o descargues una aplicación maliciosa al abrir el correo.

Smishing y Vishing

Estos son ataques de contraseña en los que recibes un SMS fraudulento (smishing) o una llamada de voz (vishing) que te solicitan compartir tus credenciales o transferir fondos

Estafa del 'smishing'

Vishing y el timo de la doble llamada

Whaling

Con los ataques whailing recibes correos de alguien con un cargo prominente dentro de tu empresa u organización que solicita información confidencial, quienes caen victima a este tipo de ataque generalmente no confirman la veracidad del correo y envían lo que se les solicita.

Ataques de fuerza bruta

Los ataques de fuerza bruta sirven para robar contraseñas usando el método “hit-and-try.” Bajo esta modalidad los ciberdelincuentes realizan múltiples intentos para obtener contraseñas usando programas automatizados que facilitan la cantidad de intentos de acceso, generalmente pueden omitir la cantidad de veces que se puede ingresar una contraseña, lo que facilita más aún el pirateo de cuentas. Una medida preventiva que es bastante eficaz contra los ataques de fuerza bruta es el uso de un administrador de contraseñas.

Otra modalidad de ataque de fuerza bruta son los ataques de máscara, los cuales son una táctica para descifrar contraseñas omitiendo combinaciones de caracteres no requeridos, lo que reduce el tiempo que lleva hackear una contraseña.

Los principales tipos de ataques de fuerza bruta incluyen también ataques de rocío de contraseñas y ataques de diccionario.

Rocío de contraseñas (password spraying)

En los ataques de rocío de contraseñas, los ciberdelincuentes usan una selección de claves de acceso comunes en una gran cantidad de cuentas, los atacantes se dirigen a una plataforma con pantalla de inicio de sesión o basada en la nube y como sugiere el término, se procede a rociar estas contraseñas para intentar piratear miles (o incluso millones) de cuentas a la vez, lo que a su vez reduce el riesgo de que el ciberdelincuente sea atrapado.

Evita el ataque de pulverización de contraseñas:

•Utilizando herramientas que garanticen la seguridad de tus contraseñas como las de los protocolos LDAP, Active Directory o servicios externos que obligan al cumplimiento de ciertos requisitos:

•periodos de validez para las contraseñas;

•posibilidad de reutilización de contraseñas ya usadas;

•formato de la contraseña: longitud mínima;

•tipos de caracteres que deben incluir;

•cumplimiento de reglas semánticas.

•posibilidad de elección y modificación de la contraseña por parte del usuario;

•almacenamiento de las claves:tamaño del histórico de claves a almacenar para cada usuario;

•método de cifrado de las claves.

•número de intentos de autenticación permitidos.

Ataques de diccionario

En los ataques de diccionario, los ciberdelincuentes ponen a prueban una lista de palabras y frases de uso común en lugar de intentos que saltan de un carácter a otro como los ataques de contraseña de fuerza bruta. Estos ataques se llevan a cabo usando el nombre de mascotas populares, personajes de películas famosas e incluso información en línea disponible de forma pública y notoria como el nombre de tu hijo, nombre completo, cumpleaños, etc.

Evita el ataque de diccionario creando contraseñas robustas que cumplan las siguientes directrices:

   •Deben contener al menos ocho caracteres y combinarlos de distinto tipo (mayúsculas, minúsculas, números    y símbolos);
   •No deben contener los siguientes tipos de palabras:palabras sencillas en cualquier idioma (palabras de            diccionarios);
           •Nombres propios, fechas, lugares o datos de carácter personal;

•Palabras que estén formadas por caracteres próximos en el teclado;

•Palabras excesivamente cortas.

   •Tampoco utilizaremos claves formadas únicamente por elementos o palabras que puedan ser públicas o        fácilmente adivinables (ej. nombre + fecha de nacimiento);
   •Se establecerán contraseñas más fuertes para el acceso a aquellos servicios o aplicaciones más críticas;
   •Se tendrá en cuenta lo expuesto en los puntos anteriores también en el caso de utilizar contraseñas de tipo    passphrase (contraseña larga formada por una secuencia de palabras).

Relleno de Credenciales (credential stuffing / credential reuse)

Un ataque de contraseña de relleno de credenciales es aquel que se lleva cabo con credenciales robadas por parte de los actores maliciosos; esta táctica se vale de la psicología humana y la mala costumbre de usar contraseñas similares para múltiples programas, cuentas de redes sociales, banca por Internet, etc.

Los ciberdelincuentes roban contraseñas y proceden a comprobar si también son usadas en otras plataformas, para esto se valen de herramientas automatizadas que sirven para verificar qué contraseñas siguen siendo válidas y en que otras plataformas funcionan; es por eso que lo mejor es usar autenticación de dos factores para proteger tus datos esenciales.

Evita el ataque de relleno de credenciales:

•Habilitando la autenticación de dos factores en tus cuentas online cuando sea posible. Considera además del uso de la contraseña otros factores como:

•huella digital;

•tokens criptográficos hardware;

•sistemas OTP (One Time Password);

•tarjetas de coordenadas.

•Utilizando contraseñas únicas, es decir, que solo utilices en ese servicio específico.

•Usando la cuenta de la empresa solo para registrarte en servicios corporativos.

Ataques Keylogger

Los ataques de keylogger o keystroke logger son una táctica de spyware, ya que se usa software malicioso que permite a los ciberdelincuentes obtener información en secreto registrando cada tecleada que das.

Los ataques de contraseña Keylogger son muy dañinos ya que exponen las contraseñas más seguras, bajo esta modalidad los ciberdelincuentes no necesitan descifrar contraseña alguna ya que el usuario les otorga toda la información que necesitan cada vez que pulsan una tecla al momento de escribir. Los keyloggers no solo registran contraseñas, sino también todo lo que escribes, lo que hace que este tipo de ataque sea aún más peligroso para tu privacidad.

Los ciberdelincuentes que se valen de software keylogger no tienen que usar ninguna otra técnica para obtener tu nombre de usuario, número de tarjeta de crédito, número de seguro social y otra información vital para causar daño; por lo tanto, la mejor medida preventiva de seguridad para tus datos físicos y digitales es la encriptación mediante un algoritmo, el cual impide que los actores maliciosos accedan a tu computadora y cuentas, incluso si tienen tus contraseñas.

Evita los ataques de keylogger:

•Comprobando la legitimidad de los adjuntos y ficheros descargables antes de abrirlos o ejecutarlos.

•Instalando software antimalware en tus dispositivos.

•Revisando que no haya conectado ningún dispositivo extraño en tu ordenador.

Ataques de intermediario (Man-in-The Middle)

Un ataque de intermediario involucra tres partes: un usuario, un ciberdelincuente y la plataforma a la que el usuario intenta acceder. Los atacantes se posicionan en secreto entre los usuarios para interceptar y robar datos, estos pueden disfrazarse de terceros y redirigir al usuario desprevenido a un sitio web que luce legítimo, similar al mecanismo del phishing.

MY2022, una aplicación obligatoria para todos los asistentes a los Juegos Olímpicos de Invierno de Beijing, fue manipulada mediante ataques de intermediario. Ya que esta contenía información confidencial sobre los deportistas, tales como detalles del pasaporte, historial médico, detalles demográficos, etc. Los atacantes también ganaron acceso a mensajes de audio y otros archivos cargados en la plataforma.

A partir del 17 de enero, la falla aún existe en la versión 2.0.5 de MY2022 para iOS, solo imagina cómo esto puede dañar a los asistentes y sus familias.

Evita los ataques de Man-in-the-middle:

   •Aprendiendo a identificar la legitimidad de los correos.
   •Evitando las conexiones de riesgo como por ejemplo las wifi públicas.
   •Aplicando consejos de navegación segura I y II.

Intercepción de tráfico (Traffic interception)

La intercepción de tráfico es un tipo de técnica implementada para realizar ataques de negación de servicio con contraseñas largas, ya que este tipo de ataques cierran los sistemas para que los usuarios no puedan acceder a él. Con la intercepción de tráfico, el atacante lee o escucha en secreto información en tráfico de la red, dado que las puertas de enlace más comunes para este tipo de ataques son accesos de Wi-Fi que no son seguros o conexiones de red que no están encriptadas.

Esto también es posible con el secuestro de SSL, donde los ciberdelincuentes crean puentes para interceptar información que se envía entre dos entidades, con la mala suerte de que la información interceptada puede ser una contraseña.

Ataques de tablas de arcoíris

Para conocer el mecanismo de ataque de tabla de arcoíris, es necesario entender que es hashing, este es un proceso en el que las empresas convierten y encriptan matemáticamente las contraseñas de los usuarios, lo cual las mantiene almacenadas como secuencias criptográficas para que los ciberdelincuentes solo vean valores cifrados y no las contraseñas reales.

Una tabla de arcoíris es la clave para descifrar contraseñas cifradas en hashing, ya que estas permiten a los ciberdelincuentes comparar valores y descifrar numerosas contraseñas.

Herramientas de apoyo para los ataques de fuerza bruta

Para adivinar la contraseña de un usuario o sitio concreto es necesario mucho tiempo, por lo que se han desarrollado herramientas que agilizan esta tarea.

Los diccionarios son la herramienta más básica. Se utilizan diccionarios íntegros y amplían palabras con ayuda de caracteres especiales y números, o bien utilizan diccionarios especiales, aunque este método de ataque secuencial resulta engorroso.

En un ataque estándar, se elige un destino y combina posibles contraseñas con el nombre de usuario seleccionado. A este tipo de ataques se les denomina ataques de diccionario.

Como su nombre implica, un ataque de fuerza bruta inverso consiste en invertir la estrategia de ataque, comenzando con una contraseña conocida (como las contraseñas filtradas disponibles en línea) y buscando millones de usuarios hasta que se encuentra una coincidencia.

También hay disponibles algunas herramientas automatizadas que pueden ayudar en los ataques de fuerza bruta, como Brutus, Medusa, THC Hydra, Ncrack, John The Ripper, Aircrack-ng y Rainbow. Muchos de ellos pueden descifrar una contraseña consistente en una única palabra que pertenezca a un diccionario en un segundo.

Estas herramientas se ejecutan contra muchos protocolos informáticos (por ejemplo FTP, MySQL, SMPT y Telnet) y permiten identificar contraseñas débiles, descifrar contraseñas en almacenamientos cifrados, traducir palabras a leetspeak (por ejemplo, "don't'hackme'" se convierte en "d0n7H4cKm3"), probar todas las combinaciones de caracteres posibles y ejecutar ataques de diccionario.

Algunas herramientas analizan tablas Rainbow previamente calculadas en busca de las entradas y salidas de las funciones hash conocidas (el método de cifrado basado en algoritmos utilizado para traducir contraseñas en largas series de longitud fija compuestas de letras y números).

Cómo protegernos ante estos ataques los especialistas de IT

Para dificultar el éxito de los ataques de fuerza bruta, los administradores del sistema deben asegurarse de que las contraseñas de los sistemas están cifradas con las tasas de cifrado más altas posibles, como el cifrado de 256 bits. Cuanto mayor sea el número de bits en el esquema de cifrado, más difícil será descifrar la contraseña.

Los administradores también deben añadir sal al hash , es decir, distribuir de forma aleatoria los hashes de las contraseñas mediante la adición de una cadena aleatoria de letras y números (sal) a la propia contraseña. Esta cadena deberá estar almacenada en una base de datos independiente y poder recuperarla y añadirla antes del hash. De esta manera, los usuarios con la misma contraseña tendrán hash diferentes. Además, los administradores pueden solicitar la autenticación en dos pasos e instalar un sistema de detección de intrusiones que detecte los ataques de fuerza bruta.

Al limitar el número de intentos también se reduce la susceptibilidad de los ataques de fuerza bruta. Si solo se permiten, por ejemplo, tres intentos para introducir la contraseña correcta antes de bloquear al usuario durante varios minutos, se pueden causar retrasos significativos, lo que haría que apuntaran hacia un blanco más fácil.

Cómo podemos protegernos los usuarios y fortalecer las contraseñas

Crear contraseñas robustas que cumplan las siguientes directrices:
•Al menos entre 10 y 12 caracteres, combinando los de distinto tipo (mayúsculas, minúsculas, números y
símbolos);
   •No se deben emplear:
           •Palabras sencillas en cualquier idioma (palabras de diccionarios);
             •Nombres propios, fechas, lugares o datos de carácter personal;
             •Palabras que estén formadas por caracteres próximos en el teclado;
             •Palabras excesivamente cortas.
•Evitar el uso de contraseñas formadas por elementos o palabras que puedan ser públicas o fácilmente adivinables (ej. nombre + fecha de nacimiento);
•Crear contraseñas más fuertes y robustas, totalmente distintas a otras, para el acceso a servicios o aplicaciones críticas
•No reutilizar contraseñas en ningún caso, especialmente aquellas que se empleen para accesos a sistemas críticos.
•Habilitar el MFA (múltiple factor de autenticación) o el 2FA (doble factor de autenticación) siempre que el sistema al que se accede lo permita.
•Considerar acceder mediante factores distintos al propio “usuario/contraseña”, tales como:Sistemas biométricos como la huella dactilar, iris, etc.
        •Tokens criptográficos, por software o hardware
         •Tarjetas de coordenadas
         •Accesos por OTP (One time Password)
•Evitar usar la cuenta y correo corporativos para registrarse en servicios que no sean corporativos.

Ataques DDoS; cómo funcionan, qué tipos hay, cómo protegernos y qué hacer en caso de haber sido victima de uno

Los ataques de red distribuidos a menudo se conocen como ataques de denegación distribuida de servicio (DDoS). Este tipo de ataque aprovecha los límites de capacidad específicos que se aplican a cualquier recurso de red, tal como la infraestructura que habilita el sitio web de la empresa. El ataque DDoS envía varias solicitudes al recurso web atacado, con la intención de desbordar la capacidad del sitio web para administrar varias solicitudes y de evitar que este funcione correctamente.

Entre los objetivos más comunes de los ataques DDoS se incluyen:

       • Sitios de compra por Internet
     • Casinos en línea
       • Cualquier empresa u organización que dependa de la prestación de servicios en línea.

Cómo funciona un ataque DDoS

Los recursos de red (tales como los servidores web) tienen un límite finito de solicitudes que pueden atender al mismo tiempo. Además del límite de capacidad del servidor, el canal que conecta el servidor a Internet tiene un ancho de banda o capacidad limitados. Cuando la cantidad de solicitudes sobrepasa los límites de capacidad de cualquiera de los componentes de la infraestructura, el nivel de servicio probablemente se vea afectado de alguna de las siguientes maneras:

• La respuesta a las solicitudes será mucho más lenta de lo normal.
• Es posible que se ignoren algunas (o todas) las solicitudes de los usuarios.

Por regla general, la intención primordial del atacante es evitar por completo el funcionamiento normal del recurso web, una "denegación" total del servicio. El atacante también puede solicitar un pago para detener el ataque. En algunos casos, el objetivo del ataque DDoS puede ser desacreditar o dañar el negocio de un competidor.

Uso de una "red zombi" de botnet para lanzar un ataque DDoS

Para enviar una cantidad extremadamente grande de solicitudes al recurso víctima, el cibercriminal a menudo establece una "red zombi" de computadoras infectadas. Como el delincuente controla las acciones de cada computadora infectada en la red zombi, la gran escala del ataque puede desbordar los recursos web de la víctima.

Tipos de ataques de DDoS

Los ataques de denegación de servicio consisten en atacar de manera constante los recursos de red, usando una o más categorías. Algunos suelen combinar técnicas sofisticadas empleando diferentes vectores. Las categorías que son utilizadas para realizar estos ataques son:

       • Ataques basados por volúmenes - Se envían cantidades masivas de tráfico hasta colapsar el ancho de banda.
       • Ataques por protocolos - Se enfocan en buscar vulnerabilidades en los recursos de los servidores y eventualmente los explotan.
       • Ataques por aplicaciones web - Son los ataques más sofisticados, ya que se enfocan en ciertas aplicaciones webs.
       • Ataques por conexiones TCP - Encuentran vulnerabilidades en conexiones TCP y posteriormente inundan de tráfico el servidor web.
       • Ataques por fragmentación - Se da cuando se logra explotar el proceso de fragmentación de datagramas, en el cual una IP es dividida en paquetes más pequeños. Durante el ataque se inyectan paquetes falsos maliciosos que colapsarán eventualmente el servidor.

Cómo protegernos de un ataques DDoS

Debido a que la detección de ataques de denegación de servicio distribuido es más compleja de identificar en comparación con un virus, para prevenirlos se debe aplicar una variedad de estrategias:

Limita la tasa de peticiones

Limitar el número de peticiones que un servidor aceptará durante un tiempo determinado es una buena manera de mitigar ataques de denegación de servicio. Hay que tener claro que limitar la velocidad de peticiones ralentiza los trabajos de raspadores webs. También reduce los intentos de fuerza bruta para iniciar sesión. Aplicarlo como única solución será insuficiente para prevenir un ataque DDoS.

Implementar un Firewall de aplicaciones webs

Un Firewall de aplicaciones web es una herramienta que puede ser útil para mitigar ataques de DDoS en capa 7. Implementando el WAF (Web Application Firewall) entre internet y el servidor de origen, puede servir como un proxi de reversa. Protege así el servidor objetivo de numerosos tipos de tráfico malicioso.

Al filtrar las peticiones usando como base una serie de reglas para identificar herramientas empleadas en ataques DDoS, los ataques en capa 7 pueden ser impedidos. Una de las principales características que tiene el WAF es su capacidad para implementar rápidamente reglas personalizadas ante un ataque.

Aplica redes de difusión Anycast

Al aplicar una red de difusión Anycast se mitigan ataques de denegación de servicio ya que, al dispersar el tráfico malicioso, se puede enviar a través de una red de servidores hasta una red externa. Esto es algo muy similar a como cuando se canaliza un río a través de canales más pequeños y separados. Este tráfico se vuelve manejable y se puede llevar hasta una desembocadura sin que afecte el entorno.

Es importante señalar que la efectividad de una red de difusión Anycast dependerá del tamaño del ataque y la eficiencia de la red interna.

       La empresa Radware ha hecho pública una guía básica para protegerse contra los ataques de denegación de servicio (DDoS). Según este documento, los ataques de denegación de servicio (DDoS) no son un fenómeno nuevo; pero sí lo es la frecuencia y el carácter (político-social) que han tomado en los últimos tiempos, especialmente a raíz del fenómeno Wikileaks y la adopción de los ataques DDoS por el colectivo Anonymous como método de reivindicación y protesta.

   Entre los consejos que recoge la Guía se sitúan los siguientes:

Comprobar y delimitar el perímetro para la mitigación de un ataque: es preciso asegurar que la solución que emplean tiene capacidades específicas para reconocer el perímetro y detectar anomalías; reconocer las actividades de los intrusos en tiempo real; repeler todos los ataques a los niveles de aplicaciones; discriminar entre el tráfico legítimo y el ilegítimo; y contar con un registro que recoja los datos detallados de cada ataque y rápidamente informe de la situación.

La necesidad de emplear tecnologías de seguridad complementarias

Utilizar sistemas de cortafuegos y de prevención de intrusiones, así como soluciones de seguridad que certifiquen con éxito la mitigación de ataques conocidos y desconocidos, incluyendo:

    • Herramientas anti ataques DDoS para prevenir ataques de inundación de red.
    • Herramientas de análisis de comportamiento de red, que puedan detectar sistemas de firmas en tiempo real para defenderse ante ataques por mal uso de las aplicaciones y ataques en tiempo real.
    • Sistemas de prevención de intrusión contra vulnerabilidades conocidas de aplicaciones.
    • Mecanismos de defensa activos para niveles de aplicaciones.
    • Estrategias de emergencias activas contraataques, con capacidades en alerta

Estar preparado para contraataques, con un sistema proactivo de defensa y a la vez ofensivo.

Diseñar un plan sólido para integrar técnicos especializados en tiempo real que aseguren que las herramientas, alertas, correlación y mitigación se manejan adecuadamente.

Asegurarse de que el equipo está preparado para proporcionar asistencia de forma inmediata y mitigación activa; o contraatacar las acciones de defensa tan pronto como el sistema se encuentre bajo un ataque.

La defensa activa equivale a un contraataque proporcional que acabe con los últimos vestigios de los ataques DDoS y que acabe con el incidente de forma definitiva.

Qué hacer en caso de haber sido víctima de un ataque DDoS

Si tu organización ha sido víctima de un ataque de denegación de servicio y, por ende, la ciberseguridad está comprometida, hay varias medidas que se pueden tomar. Algunas de ellas son:

• Eliminar las infecciones en los dispositivos comprometidos de manera individual con un software de seguridad.

• Aislar y asegurar el tráfico usando subredes, reglas de firewall y administrar minuciosamente los accesos e identificaciones en la red.

• Aplicar un filtrado/enrutamiento de red de tipo blackhole.

• Desplegar instancias sin IP’s públicas.

• Habilitar el balanceador de carga basado en proxis.

Afortunadamente existen en el mercado numerosas empresas que ofrecen servicios de protección contra ataques DDoS. Ya sea desde la nube o por medio de soluciones de seguridad. En cualquier caso, se debe aplicar una combinación de técnicas para mitigar, en lo posible, ataques a la red.