Los ciberdelincuentes siempre andan al acecho para obtener las credenciales de nuestras cuentas y obtener beneficio. Sus objetivos generalmente apuntan a las cuentas de Microsoft, a las de las redes sociales y a las relacionadas con el entorno laboral. Desde RedesZone explican las estrategias de Phishing más comunes en las redes sociales Facebook, Instagram, LinkedIn y Twitter, para que no caigas en ellas. Lo primero que vamos a hacer es explicar qué es el Phishing y una serie de nociones básicas, para que no seamos víctimas de un ataque de este tipo. Luego, nos centraremos en las plataformas anteriormente mencionadas y explicaremos las estrategias que emplean los ciberdelincuentes.
Qué es el Phishing y cómo evitar ser víctima de él
Un ataque de Phishing tiene como objetivo saquear las credenciales de nuestras cuentas. Todo comienza cuando se envía un mensaje que se hace pasar por una empresa u organización legitima. En este caso, nos referimos a que se hacen pasar por mensajes legítimos de redes sociales como Facebook, Twitter, Instagram etc. cuando realmente no lo son.
Ese mensaje que recibimos, generalmente contiene un enlace que nos dirige a una página web del ciberdelincuente o a un archivo malicioso. Sin duda, nos encontramos con un caso de suplantación de identidad de una empresa en la que la víctima va a pensar que está en el sitio oficial. El objetivo de un ataque de Phishing es que, el usuario, al iniciar sesión con normalidad, termina entregando los datos de su cuenta (usuario + contraseña) al ciberdelincuente.
Las estrategias Phishing que emplean los atacantes pueden ser muy variadas, pero aquí tienes algunas medidas que pueden ayudar a evitarlos:
- No debemos iniciar sesión desde enlaces de correos electrónicos.
- Tampoco hay que abrir o descargar archivos adjuntos.
- Hay que analizar la gramática y el aspecto del mensaje. Si tiene faltas de ortografía, y el texto parece que lo han traducido de otros idiomas y está mal, desconfía.
- Comprobar que el enlace tiene el dominio correcto antes de pulsar sobre él.
- Proteger la cuenta con la autenticación multifactor.
- Mantener nuestros equipos convenientemente actualizados con las últimas actualizaciones de software. Además, medidas como tener un buen antivirus y software antimalware son muy recomendables.
Las estrategias Phishing más comunes en Facebook
Facebook es una de las redes sociales más populares, y también uno de los objetivos prioritarios de los piratas informáticos. Cada vez tenemos mejores métodos de protección para proteger nuestras cuentas, pero también los atacantes siguen trabajando para romper esas barreras de defensa. Una de las estrategias Phishing más utilizadas por los ciberdelincuentes con el objetivo de robar credenciales es la ingeniería social.
En este sentido, está cobrando una gran importancia el Phishing dirigido. En el mensaje que reciben las víctimas muestran información privada suya como:
- Nombre y apellidos.
- El sitio donde estudian o trabajan.
Estos datos para que hagan más creíble ese mensaje, como habréis deducido vosotros mismos, los obtienen de Facebook. Otro aspecto que debemos estar atentos también es a los anuncios maliciosos. Facebook cuenta con medidas de seguridad para evitar este tipo de actuaciones, aunque ocasionalmente se logran introducir algunos. Gracias a estos anuncios falsos, pueden permitir la descarga de malware o redirigir a sitios controlados por los atacantes, pueden permitir la descarga de malware o redirigirnos a páginas web controladas por los ciberdelincuentes.
Sin duda, otra de las estrategias Phishing más utilizadas en Facebook son los enlaces que recibimos a través de Facebook Messenger. Aquí hay que estar muy atento y actuar con cautela, midiendo muy bien nuestros pasos. En este sentido, aunque los ataques de Phishing son uno de los que más se utiliza hay más. Por ejemplo, podría tratarse de links que nos dirijan a webs maliciosas con software diseñado para infectar nuestros equipos, o también ser engaños y publicidad falsa.
Además, tendríamos que hablar del peligro de los bots o perfiles falsos. Gracias a ellos los atacantes podrían introducir comentarios en nuestros perfiles o en los grupos que estemos. Allí pueden utilizar enlaces maliciosos de Phishing o de otro tipo, utilizarlos para recopilar información o atacarnos de alguna manera. Para finalizar, una cosa que se recomienda en RedesZone es activar la doble autenticación en Facebook.
Las estrategias Phishing en Instagram y ejemplo práctico
Instagram se ha convertido en una de las principales redes sociales para muchos influencers. De hecho, algunos de ellos pueden vivir holgadamente realizando sus stories y publicaciones en esta popular red social.
Tanto profesionales como gente que está empezando, puede ser víctima de las estrategias Phishing de los ciberdelincuentes. Uno de los recursos más utilizados es aquel en que recibimos una notificación que nuestra cuenta ha violado los derechos de autor. En el mensaje que recibimos, además, aparece el logo y la cabecera de Instagram y, además, el remitente tiene una dirección de envió muy similar a la original.
Otra cuestión a resaltar es que el atacante ofrece un breve plazo para solucionar el problema. Generalmente dejan 24 horas, aunque en algunos casos se han visto que daban un periodo de 48 horas. En los casos que se juega con la estrategia de la rapidez hay que desconfiar. Esto se utiliza mucho en los ataques, tanto de cuentas de Instagram, Microsoft e incluso con los bancos.
Si hacemos clic en un enlace del mensaje, llegaremos a una web muy convincente que como ya comenté antes, no le falta detalle ya que se incluye logo y el resto de elementos de la web oficial. En caso de seguir adelante y seguir todos los pasos, nuestros datos de la cuenta acabarán en manos del atacante. Ahora vamos a ver un ejemplo práctico de un ataque de Phishing en Instagram. La forma de actuación es similar en el resto de plataformas porque utilizan el mismo método.
Una de las estrategias Phishing que utilizaron fue mandar un mensaje a usuarios de Instagram en el que les ofrecían una banda o un distintivo especial para nuestra cuenta, que evidentemente no existe. Lo primero que vemos, es un mensaje como este para poder conseguir el distintivo / insignia prometida. A continuación, lo que tendríamos que hacer es pulsar en Next.
Luego, en ese formulario se nos pide que ingresemos nuestro usuario y contraseña de Instagram.
Si lo hacemos, nuestra cuenta lamentablemente habrá caído en malas manos.
El Phishing en LinkedIn
La plataforma LinkedIn que mucha gente utiliza para buscar empleo, mejorar su trabajo actual o buscar el perfil de un candidato para un puesto, es una de las que más ha sufrido ataques de Phishing.
En este caso, recibimos un mensaje en el que se nos insta a pulsar sobre un enlace, porque en caso contrario, nuestra cuenta de LinkedIn será desactivada. Como suele ser habitual, si lo analizamos en profundidad, encontraríamos que la dirección del remitente no corresponde con el dominio. También descubriremos la falta de personalización del mensaje y errores gramaticales junto con el enlace a un sitio falso. Por último, si completas todos los pasos para tranquilizar a la víctima, suele redirigirla a la web oficial de LinkedIn.
Los ataques de Phishing en Twitter
En Twitter, la red social en que se habla de las tendencias más actuales tampoco se libra del Phishing. En ese sentido, también debemos estar muy atentos a los mensajes y enlaces sobre los que pulsamos. Aquí tenemos un ejemplo de Phishing de Twitter en el que buscan obtener los datos habituales: usuario y contraseña.
Cómo podéis apreciar, en todas estas plataformas utilizan estrategias Phishing similares para robar nuestras cuentas.
Qué debo hacer si cometo un error por introducir los datos
Lo primero que debemos hacer es entrar en nuestra cuenta de Facebook, Instagram, LinkedIn o Twitter y cambiar la contraseña de inmediato. En este sentido, hay que señalar que el tiempo es importante, cuanto antes lo solucionemos más fácil será que no tenga consecuencias negativas para nosotros. Por último, otra cosa que nos podría ayudar es activar la autenticación multifactor si la plataforma lo admite.