Geofencing, Qrishing y estafas BEC, los ciberataques más perpetrados este 2023

El Correo Electrónico como Vector Principal de Amenazas en 2023

El correo electrónico ha vuelto a convertirse este año 2023 en el mayor vector de entrada de amenazas en las organizaciones. Los mayores riesgos están en las nuevas técnicas que emplean los actores maliciosos para tratar de conseguir acceso a las credenciales de los usuarios. Esta es la llave que les abre la puerta a información que puede ser valiosa en sí misma para el ciberdelincuente o por la que puede obtener dinero gracias a su venta, ya sea a un tercero interesado en la misma o a aquellos a los que se los ha robado, empresa o usuario, lo cual se conoce como ransomware o secuestro de datos.

Evasión de Defensas y Geofencing

Hay muchas tácticas. Una de ellas, altamente explotada este año, es la evasión de defensas, que tiene dispone una alta efectividad frente a las plataformas defensivas. Consiste en, por ejemplo, ocultar código malicioso dentro de una web aparentemente legítima, y que ésta, redirija, a su vez, a una URL, también maliciosa, pero que contiene malware.

Una de las técnicas para conseguir esto es la llamada geofencing; ésta consiste en persuadir al usuario para que conceda permisos a una aplicación determinada. La aplicación posteriormente procesa y recopila toda la información del terminal y del usuario y, aquí está la gran diferencia, en base a la localización del dispositivo, idioma y configuración, es capaz de lanzar malware si se cumplen los parámetros que necesita, en caso de no cumplirse, redirigirá a un lugar totalmente diferente y sin peligro. Esta amenaza consigue engañar tanto al usuario como a casi todos los sistemas de protección de correo electrónico.

Phishing con Códigos QR (Qrishing)

Pero sin duda, la estrella de este 2023 ha sido el llamado phishing con códigos QR, o Qrishing. Esta técnica consiste en suplantar un código QR legítimo por uno que nos dirige a un lugar donde nos robarán las credenciales o nos descargarán un software malicioso tipo troyano, ransomware, etc. El QR es algo que hemos implementado en nuestra vida a raíz de la pandemia y los actores maliciosos han conseguido, mediante ingeniería social, que seamos vulnerables a este tipo de amenazas.

Se ha descubierto recientemente que en Madrid, en el servicio de Bicimad, se estaban colocando pegatinas con QRs falsos para tratar de robar los datos de tarjetas de crédito de los usuarios del servicio. Por lo tanto, esta amenaza traspasa incluso la barrera virtual para trasladarse al “mundo real”.

Dentro del correo electrónico, un código QR no parece tener mucho peligro, ya que no contiene un enlace directo y ha de ser escaneado por un teléfono, no obstante, aquí es donde vuelven a “jugar” con nuestra confianza. Al recibir, por ejemplo, un mensaje de Microsoft indicando que debemos de escanear el código para poder acceder a nuestra de cuenta de Office, vamos a usar el terminal móvil. Este dispositivo, que posiblemente no disponga de las mismas protecciones que el equipo portátil o de sobremesa, accederá al enlace malicioso, una web exactamente igual, que nos solicitará nuestro usuario y contraseña, es en este momento cuando, tras introducir los datos, habremos perdido nuestras credenciales.

Estafas BEC (Business Email Compromise)

Por último, tenemos las estafas BEC (Business Email Compromise), también conocidas como la estafa del CEO, que están generadas por inteligencia artificial. Esta estafa es una variante prácticamente imposible de detectar por un humano. Consigue un altísimo nivel de perfección, tanto en la gramática como en el lenguaje. Los cibercriminales consiguen entrenar inteligencias artificiales interceptando correos legítimos para copiar el estilo y la forma de escribir, consiguiendo una suplantación de identidad casi perfecta de los jefes, con lo que la víctima piensa que recibe órdenes de un superior y cae sin siquiera imaginarlo.

Medidas de Protección ante las Nuevas Amenazas

¿Cómo podemos protegernos ante estas nuevas amenazas del cibercrimen? Aunque las técnicas evolucionan casi a diario, las respuestas vuelven a ser las mismas de siempre.

Para empezar, la concienciación de los usuarios, desconfiar de los remitentes y estudiar los dominios desde donde nos envían los correos con los enlaces o archivos adjuntos. Seguimos por aplicar la lógica. Si no esperamos recibir una factura, seguro que se trata de un engaño, igualmente, si nunca hemos accedido a nuestra cuenta con un código QR, debemos sospechar que se trata de un intento de robo de credenciales.

Con las nuevas técnicas de BEC (o estafa del CEO), se recomienda llamar a la persona que nos solicita el cambio de cuenta bancaria para comprobar que no se trata de una estafa, este simple, pero esta verificación puede ahorrar miles de euros en pérdidas ya que la estafa media de BEC es estimada en torno a los cincuenta mil euros por estafa, llegando al millón de euros en algunos casos.

Por último, confiar en herramientas de ciberseguridad avanzadas que permitan detectar estos comportamientos cada vez más complejos y tan difíciles de distinguir para cualquier usuario. Estas herramientas de protección de correo de electrónico permiten detectar cualquier comportamiento anómalo y textos escritos por inteligencias artificiales, además de bloquear cualquier código malicioso que haya detrás de los códigos QR o enlaces que nos envíen.