A pesar de que ya han pasado décadas desde su aparición, el correo electrónico sigue siendo una herramienta de comunicación básica en el ámbito personal, pero, sobre todo, en el profesional. En todos estos años han surgido apps de mensajería instantánea, redes sociales e infinidad de soluciones corporativas, cada cual más innovadora que la anterior, y, sin embargo, el clásico email sigue siendo el soporte de comunicación formal por excelencia dentro de cualquier compañía.
Por este motivo, los ciberdelincuentes ven el correo electrónico como una ventana muy atractiva para intentar “colarse” dentro de una organización o para contactar y engañar a los empleados de la misma, asegurándose el anonimato.
| Imagen: freepik.es |
En esta serie de dos artículos veremos: primero, algunas de las principales amenazas a día de hoy para una empresa; y a continuación, nos detendremos a revisar con más detalle cuál es el funcionamiento técnico de los mecanismos anti-phishing: SPF, DKIM y DMARC.
Podemos hacer una categorización de este tipo de amenazas que nos ayude a comprenderlas mejor, pero debemos ser conscientes de que no son categorías cerradas: el ciberdelincuente intentará combinar todas las técnicas que le sean posibles para que sus correos maliciosos logren su objetivo.
Hay tres líneas principales que podríamos diferenciar y que nos ayudarán a comprender mejor la problemática contra la que nos enfrentamos en un entorno corporativo:
1) Correos con malware.
Con el término malware nos referimos a cualquier tipo de software dañino que, por supuesto, se ejecuta sin que el usuario se dé cuenta o que no se percibe hasta que ya es demasiado tarde. Este malware viajaría en el correo electrónico como un fichero adjunto y requiere que el usuario que lo recibe abra dicho fichero para ejecutarse. Dependiendo de lo avanzado que sea el engaño, un antivirus puede interceptar el correo o impedir su ejecución, aunque también es posible que se reconozca como una extensión válida (a menudo un PDF o un documento Office) y esconda un ejecutable en su interior.
Si bien este tipo de amenaza es antigua (dos de los virus más famosos, como el Melissa o el ILoveYou, han cumplido ya veinte años), el envío de malware por email sigue estando a la orden del día. Inicialmente el objetivo mayoritario era dañar los sistemas infectados y propagarse, pero ahora los grandes ataques parecen más encaminados en obtener un rédito económico directo o indirecto.
Pueden distinguirse múltiples categorías de malware dependiendo de su propósito, algunas de las más populares actualmente son:
2) Correos Phishing.
La palabra “phishing” viene de “fishing”, una analogía evidente de la pesca, donde los ciberdelincuentes lanzan sus redes o anzuelos masivamente y se limitan a esperar a que algún incauto pique.
| Imagen: freepik.es |
Estos engaños son tan antiguos como el propio correo electrónico, estafas como la de ese “príncipe nigeriano” que está deseando compartir su enorme fortuna con el receptor del correo ya forman parte de la cultura popular (¡y aun así, siguen funcionando!).
En lo que respecta al campo profesional, el objetivo suele ser conseguir información sensible o confidencial de la persona que recibe el correo, principalmente la contraseña acceso a algún sistema. Un ejemplo de phishing actual podría ser una campaña de correos en nombre de Office 365 solicitando pinchar un enlace y reintroducir allí nuestras credenciales, alegando cualquier excusa (nuestra cuenta ha sido bloqueada, la cuenta está a punto de expirar, etc).
El phishing a su vez se puede categorizar, dependiendo de su enfoque:
3) Correos Spoofing.
Con el término spoofing nos referimos a la suplantación de identidad, donde un ciberdelincuente ha realizado un trabajo de investigación previo, nada despreciable, para hacerse pasar por una persona que tiene relación con el destinatario del correo. Por ejemplo, podría ser que recibiéramos un email que parece ser de nuestro jefe o de figuras públicas como altos cargos de la empresa, donde se ven su nombre y su dirección de correo electrónico, pero en realidad es otra persona que se está haciendo pasar por él.
Actualmente, y sobre todo en un entorno corporativo, los correos maliciosos hacen uso de la suplantación de identidad para ser más creíbles y lograr sus objetivos. Mencionábamos en el apartado anterior el whaling o fraude del CEO, que típicamente se incluye como ejemplo de phishing, y evidencia que no se pueden establecer categorías cerradas: sería más acertado considerarlo spoofing, pues la clave de este engaño reside precisamente en la suplantación de la identidad del CEO de la empresa.
Veamos un ejemplo real de un caso de “fraude del CEO”:
El departamento de Administración de una empresa recibió este email de su CEO, ¿quién no ejecutaría inmediatamente una petición del jefe? El lenguaje empleado era correcto y figuraban su nombre y su dirección de correo perfectamente visibles y bien escritas. De hecho, al ser correcta su dirección, el Outlook corporativo incluso cargaba su foto de perfil.
A simple vista, se trata de un correo legítimo y no hay razones para sospechar del mismo:
¿Y qué sucede al pulsar “Responder” a este correo?
Al igual que sucede en otros ámbitos de la ciberseguridad, las amenazas a través del correo electrónico plantean una carrera incesante entre delincuentes e investigadores, donde cada parte intenta continuamente superar a la otra. Los escenarios son cambiantes y las soluciones del mercado intentan adaptarse a ellos.
No nos detendremos mucho en este punto, puesto que independientemente de la naturaleza del malware o el objetivo de este, los mecanismos de protección son comunes y bastante conocidos:
Uno de los grandes peligros del phishing y el spoofing es su enorme simpleza. ¿Por qué un ciberdelincuente querría complicarse la vida buscando o programando un malware complejo, capaz de esquivar un sistema antivirus y explotar una vulnerabilidad concreta… cuando puede pedir directamente la información confidencial a su víctima?
Estos engaños y suplantaciones de identidad pueden ser muy difíciles de identificar, de hecho, normalmente se delatan con algo tan simple de corregir como es el lenguaje. Un texto con erratas o con expresiones poco naturales es el que suele levantar las alarmas, pero, ¿qué pasaría si el mensaje estuviera correctamente escrito? Sin ninguna duda, las posibilidades de engañar a la víctima se multiplicarían exponencialmente.
En el siguiente artículo de la serie explicamos con detalle cómo funciona y cómo se activa cada uno de estos sistemas.
