18 millones de correos electrónicos engañosos al día

Son hábiles, no tienen escrúpulos y saben aprovechar los momentos de confusión. Los ciberdelincuentes son los que menos cumplen la cuarentena por la pandemia del coronavirus, están activos por todo el mundo y a todas horas. Solo un ejemplo: a las 10 horas del 20 de abril de 2020 había activos en España más de 217.000 ataques online, según la corporación de servicios Akamai, que mantiene un panel con las visualizaciones de los ataques en tiempo real. Correos maliciosos, estafas, robo de información y otros ataques que viajan entre dispositivos en una situación de teletrabajo, compra online, estudio a distancia y juego virtual.

Si en las primeras semanas de la cuarentena se centraban en lanzar aplicaciones o webs falsas de seguimiento de la expansión del coronavirus o para hacer diagnósticos rápidos, los ciberestafadores han pasado a una segunda fase ahora que parece estar cerca el aligeramiento de las condiciones de confinamiento del estado de alarma. Las técnicas de phishing (engaño y robo de datos personales) tienen como eje central supuestas encuestas sobre la COVID-19 o las medidas de estímulo económico tomadas por los distintos gobiernos.

La Oficina de Seguridad del Internauta (OSI) ha detectado en la última semana mensajes en aplicaciones de mensajería instantánea y redes sociales animando a responder encuestas y rellenar cuestionarios relacionados con la emergencia sanitaria provocada por la propagación del coronavirus. Los ciberestafadores lanzan cuestionarios online alojados en servicios que permiten crear encuestas de forma gratuita como Google Forms. La OIS advierte que rellenar estos formularios puede exponer al usuario a riesgos como la elaboración ilegítima de perfiles comerciales, recepción de publicidad no deseada, suplantación de identidad, ataques de ingeniería social o phishing o incluso chantajes.

El pasado 13 de abril, la OIS detectó una campaña de correos electrónicos fraudulentos que tenían como objetivo extorsionar al receptor con el envío a sus contactos de supuestos vídeos íntimos de contenido sexual o con la infección del coronavirus a sus familiares. En las últimas semanas se han producido estafas relacionadas con al venta de mascarillas y otros materiales sanitarios y también con supuestos pagos adicionales por parte de Correos.

Según la empresa de seguridad Barracuda Networks, los ataques de phishing –técnicas de engaño para ganarse la confianza del internauta– han aumentado un 667 % desde el mes de febrero.

La publicación especializada en redes sociales y tecnología TreceBits ha explicado que Google bloquea diariamente más de 100 millones de correos electrónicos con contenido falso y engañoso que utilizan estas técnicas de phishing como mecanismo para estafar o robar datos. De ellos, cerca del 20 % –alrededor de 18 millones de correos electrónicos– están relacionados con el coronavirus. Remitentes que se hacen pasar por autoridades sanitarias nacionales o internacionales o supuestas peticiones de ayuda por parte de ONGs para frenar la COVID-19 son también habituales durante el confinamiento. En EE. UU. ya se han detectado ciberengaños que utilizan la promesa de cheques gubernamentales. Los correos maliciosos han aparecido días después de que el Congreso norteamericano aprobara un estímulo de 2 billones de dólares. IBM ha llegado a analizar correos maliciosos que prometen una compensación financiera relacionada con la COVID-19. Según un informe de la empresa de seguridad informática Barracuda Networks, en enero solo se detectaron 137 mensajes con ciberestafas relacionadas con el coronavirus, en febrero fueron 1.180 y hasta el 23 de marzo se detectaron más de 9.000.

Parece que la expansión de la ciberdelincuencia lleva una velocidad similar a la del virus con origen en Wuhan. Esperemos que el control también se haga a la par. Los ataques basados en técnicas de ingeniería social. El Instituto Nacional de Ciberseguridad ha establecido unas pautas sencillas de detección y control de estas ciberestafas:

• Siempre con prisas. Los delincuentes te piden urgencia para hacer una determinada acción. Así no tendrás tiempo de valorar si la comunicación es legítima. Casi siempre llevan asociada una consecuencia negativa.
• Aquí la autoridad. El engaño comienza porque suelen suplantar instituciones o personalidades reconocidas como empresas de mensajería, tecnológicas, servicios de correos, organismos gubernamentales, entidades bancarias, empresas energéticas o fuerzas y cuerpos de seguridad del Estado.
• Todos somos buenos. La excusa suele ser la emergencia por el coronavirus. Estamos más sensibles y empáticos y los ciberdelincuentes lo saben.
• Nada es gratis. El servicio es gratuito, esa es su estrategia. Cuidado cuando te ofrezcan mascarillas, servicios sanitarios, luz o internet sin coste alguno.
• Mira bien el remitente. Un ejemplo, un correo de un organismo gubernamental nunca procederá de una cuenta gratuita de Gmail u Outlook.
• Malditos adjuntos, malditos enlaces. La precaución tiene que ser máxima. La mayoría de entidades, públicas o privadas, nunca mandan adjuntos a no ser que hayan avisado con antelación. Lo mismo ocurre con los enlaces, que suelen redirigir a webs que difunden malware.
• Firmas falsas. Cada veza perfeccionan más su técnica pero la ausencia de firma en el correo o que no coincida exactamente con la entidad a la que representa también son indicios. Fíjate bien.