Erakundeen nortasuna ordezkatzearekin lotutako arriskuak
Celia Catalán.jpg)
El aumento del uso de Internet ha generado consecuencias en la privacidad e intimidad de las personas. Gran cantidad de información personal puede encontrarse indexada en los principales buscadores o visible en perfiles de redes sociales. Además de toda aquella información personal presente en filtraciones de datos como las sufridas a lo largo del tiempo por grandes servicios como Facebook, Twitter, LinkedIn o Badoo entre muchos otros.
En ocasiones, desde el departamento de Ciberinteligencia necesitamos transmitir a nuestros clientes la repercusión que estos hechos pueden tener sobre sus compañías y empleados, ya que la información expuesta o filtrada es utilizada por los atacantes para suplantar la identidad de personas con capacidad de decisión o con los medios para realizar pagos. La identificación de este tipo de riesgos sirve a nuestros clientes para prevenir o mitigar posibles ataques.
Algunas de las técnicas de suplantación de identidad más utilizadas son:
- Suplantación de dominio o dominio similar (typosquatting): variación del dominio que se pretende suplantar usando caracteres muy similares, agregando o eliminando otros de modo que pase inadvertido para la víctima. Otra variante es el uso de un TLD distinto, pero con el mismo nombre de dominio. Ejemplo: elcorteingles.es o vodafone.org.
Suplantazio hori saihestu daiteke zaintza digitalaren jardueren bidez, domeinuak sortzeko unean egoera horiek identifikatzea ahalbidetzen baitute.
- Web orrien identitatea: legezko webgune baten diseinua, logotipoa, marka-irudia erabiltzea, kredentzialak, kreditu-txartelen informazioa edo iruzurra egiteko faltsu bat sortzeko. artikuluak salduz gero bidali gabe.
Teknika mota hauek saihestu daitezke, webgune baten klonazioa identifikatzea ahalbidetzen duten tresnak erabiliz.
- Kontua hartzea: posta elektronikoko kontuak lapurtzea pasahitzen ihesagatik. Hainbat zerbitzutan pasahitzak erabiltzeak (berrerabilpena) eta lantokitik kanpo posta elektronikoko kontu korporatiboa erabiltzeak haien lapurreta errazten du. Lapurreta honek eskala handiko finantza iruzurrak sor ditzake lapurtutako kontua bitarteko gisa erabiliz.
Pasahitzen infiltrazioa identifikatu daiteke, eta are arindu ere, pasahitzak kontrolatzeko teknikak erabiliz isuriak mota hau argitaratzen duten gune ezberdinetan.
- Suplantación de correo electrónico y SMISHING: mediante el envío de malware o falsas notificaciones en las que es necesario introducir la contraseña a la cuenta de correo electrónico se genera el robo de las credenciales de esta para posteriormente acceder y realizar la suplantación. También se puede encontrar en este tipo de suplantación el envío de SMS fraudulentos que engañan al usuario para acceder a una web suplantada y robar información bancaria.
Posta elektronikoaren spoofing-a saihesteko, oso gomendagarria da egiaztapen-teknikak ezartzea, baita zaintza-teknikak ere. SMISHING goian zerrendatutako neurri batzuekin murriztu daiteke, nahiz eta hau ez den benetan eraginkorra zibersegurtasunaren kontzientziarik gabe.
- Suplantación como servicio: se ha identificado la venta de conjuntos de contraseñas, números de teléfono, cuentas de correo de recuperación asociadas e información que puede utilizarse para saltar la autentificación multifactor de cuentas concretas, asegurando al atacante el acceso a estas y su robo.
Teknika mota hauek arintzea oso zaila da, nahiz eta arrisku hori murriztea posible den gure nabigazio sisteman zerrenda beltzak sartuz.
Adicionalmente, es altamente recomendable establecer políticas de seguridad que promuevan el uso adecuado del correo electrónico corporativo (exclusivamente en el ámbito laboral), políticas de seguridad adecuadas que eviten la reutilización de contraseñas y promuevan su cambio periódico así como crear procedimientos para reportar correos electrónicos recibidos de dudosa fiabilidad.
Desde Zerolynx defendemos el establecimiento de medidas de seguridad para evitar estos ataques, pero consideramos que el hecho de, llevar a cabo formaciones y la concienciación de los empleados y clientes puede mejorar la prevención, así como colaborar a que el impacto de estos ataques sea mínimo. Porque, a pesar de que no es posible exigir a los empleados el conocimiento en profundidad de las técnicas mencionadas, sí lo es el ayudarles a adquirir las herramientas necesarias para identificarlos y así evitar la materialización de estas amenazas.
Noelia B., Intelligence Analyst.
