La Oficina de Seguridad del Internauta ha incluido en su sitio web una guía con los tipos y características de ciberataques ante los que cualquier usuario podría verse sorprendido.
Esta guía está dividida en cuatro grandes categorías: ataques a contraseñas, ataques por ingeniería social, ataques a las conexiones y ataques por malware.
- Ataques a contraseñas.
1.1 Fuerza bruta, intentan adivinar la contraseña probando diferentes combinaciones con nuestros datos personales, en caso de conocerlos por otras vías. Luego, continúan haciendo combinaciones de palabras al azar, conjugando nombres, letras y números, hasta dar con el patrón correcto.
1.2 Ataque por diccionario, mediante software tratarán de averiguar nuestra contraseña. Para ello, realiza diferentes comprobaciones, empezando con letras simples como “A”, “AA” o “AAA” y, progresivamente, va cambiando a palabras más complejas.
¿Cómo me protego? Mejorar la seguridad de las cuentas utilizando contraseñas robustas. Además, es conveniente aplicar el factor de autenticación múltiple, siempre que el servicio lo permita, y utilizar gestores de contraseñas.
2. Ataques por Ingeniería Social.
Se basan en un conjunto de técnicas dirigidas a los usuarios con el objetivo de conseguir información personal o tomar el control de sus dispositivos.
2.1 Phishing, Vishing y Smishing. De forma general, el ciberdelincuente enviará un mensaje suplantando a una entidad legítima, como puede ser un banco, una red social, un servicio técnico o una entidad pública. Estos mensajes suelen ser de carácter urgente o atractivo, para evitar que apliquen el sentido común y se lo piensen dos veces.
Phishing – Suele emplearse el correo electrónico, redes sociales o aplicaciones de mensajería instantánea.
Vishing – Se lleva a cabo mediante llamadas de teléfono.
Smishing – El canal utilizado son los SMS.
En ocasiones, traen consigo un enlace a un sitio web fraudulento, fingiendo ser un enlace legítimo, o bien se trata de un archivo adjunto malicioso con malware. Cuando se trata de un ataque dirigido a una persona en concreto, se conoce como Spear phishing. Esta modalidad centra en una persona específica las técnicas de manipulación, recabando información sobre ella previamente para maximizar las probabilidades de éxito a la hora de hacerse con su información o dinero.
¿Cómo me protejo? Ser precavido y leer el mensaje detenidamente, especialmente si se trata de entidades con peticiones urgentes o promociones demasiado atractivas. Además, otras pautas que se pueden seguir son:
• Detectar errores gramaticales en el mensaje. Y, si se trata de un asunto urgente o acerca de una promoción muy atractiva, es muy probable que se trate de un fraude.
• Revisar que el enlace coincide con la dirección a la que apunta. Y, en cualquier caso, debemos ingresar la url nosotros directamente en el navegador, sin copiar y pegar.
• Comprobar el remitente del mensaje, o asegurarnos de que se trata de un teléfono legítimo.
• No descargar ningún archivo adjunto y analizarlo previamente con el antivirus.
• Nunca contestar al mensaje y eliminarlo.
2.2 Bating. Valiéndose de un medio físico y nuestra curiosidad o avaricia, los atacantes consiguen infectar nuestros equipos o que compartamos información personal.
El medio más utilizado son los dispositivos USB infectados que los atacantes colocan en sitios estratégicos, como lugares públicos con mucha afluencia de personas o en la entrada de las empresas. Otro método consiste en utilizar anuncios y páginas web para promocionar concursos y premios que nos incitan a compartir nuestros datos o descargar software malicioso.
¿Cómo me protego? No conectar dispositivos desconocidos de almacenamiento externo o con conexión USB a nuestros equipos. Además, debemos mantener nuestro sistema actualizado y las herramientas de protección, como el antivirus, activadas y actualizadas.
2.3 Shoulder surfing. Valiéndose de un medio físico y nuestra curiosidad o avaricia, los atacantes consiguen infectar nuestros equipos o que compartamos información personal.
El medio más utilizado son los dispositivos USB infectados que los atacantes colocan en sitios estratégicos, como lugares públicos con mucha afluencia de personas o en la entrada de las empresas. Otro método consiste en utilizar anuncios y páginas web para promocionar concursos y premios que nos incitan a compartir nuestros datos o descargar software malicioso.
¿Cómo me protego? No conectar dispositivos desconocidos de almacenamiento externo o con conexión USB a nuestros equipos. Además, debemos mantener nuestro sistema actualizado y las herramientas de protección, como el antivirus, activadas y actualizadas.
2.4 Dumpster Diving. Se conoce como el proceso de “buscar en nuestra basura” para obtener información útil sobre nosotros o nuestra empresa, y que pueda utilizarse para otro tipo de ataques.
¿Cómo me protego? La única medida de protección que debemos seguir es la eliminación segura de información. Desde una trituradora de papel para el formato físico, hasta seguir los pasos para la eliminación segura de información digital.
2.5 Spam. Es el envío de grandes cantidades de mensajes o envíos publicitarios a través de Internet sin haber sido solicitados, es decir, se trata de mensajes no deseados. La mayoría tienen una finalidad comercial, aunque puede haberlos que contengan algún tipo de malware.
¿Cómo me protego? La recomendación es nunca utilizar la cuenta de correo electrónico principal para registrarnos en ofertas o promociones por Internet. Además, es fundamental configurar el filtro antiSpam para evitar la recepción de este tipo de mensajes. Otros medios, como las redes sociales, también cuentan con medidas de protección similares pero lo mejor es ignorar y eliminar este tipo de mensajes.
2.6 Fraudes online. La ingeniería social es utilizada en todo tipo de fraudes y estafas online para que revelemos nuestros datos personales, o con las que obtengan un beneficio económico a nuestra costa. Existen una gran variedad de fraudes, para aprender a identificarlos y a actuar ante ellos, la OSI pone a disposición una guía para identificar fraudes online, donde se incluye: falsos préstamos, tiendas online fraudulentas, falsos alquileres, falso soporte técnico, sextorsión y muchos otros.
Fuente https://www.osi.es/es/guia-ciberataques
