Diario de Navarra

“Buenos días, le llamo del departamento de Seguridad. Estamos haciendo algunas comprobaciones con empleados que estáis teletrabajando y vamos a verificar algunos datos”. “Buenos días, somos de Sevicios Informáticos del Ayuntamiento de Pamplona (también existe la versión Hacienda e incluso la de la Policía) y contactamos con usted para...”. En una situación ‘normal’, en la oficina, uno puede desconfiar de este tipo de llamadas con más facilidad. Simplemente, extrañarse de que contacten para eso desde esos supuestos organismos por e-mail o en su teléfono particular, en lugar de acercarse hasta su puesto de trabajo para esas comprobaciones. O simplemente conversar con el resto de compañeros y saber si a ellos les preguntaron lo mismo. Cuando le respondieran que no, desconfiaría rápidamente de ese misterioso interlocutor y no le accedería a darle entrada a sus datos o programas. Ambos ejemplos, haciéndose pasar por informáticos de la empresa o el mismo consistorio pamplonés, fueron engaños utilizados en Navarra para lograr obtener datos sensibles de particulares y empresas, indican desde la Policía Nacional. Tres de sus responsables impartieron a modo preventivo una jornada recientemente en la Cámara de Comercio, con advertencias sobre este tipo de delitos. “Hemos detectado un aumento significativo en el número de ciberdelitos a través de nuevas dinámicas delictivas, o adaptando las clásicas al nuevo escenario”, resume David González, uno de los inspectores al frente de la jornada, seguida por 40 empresas. “No nos gusta decir no” La generalizacion del teletrabajo a raíz de la pandemia de la covid-19 ha modificado las formas de relación personal y laboral, implicando un menor contacto personal y más ‘tráfico’ telefónico o por sistemas telemáticos. “El trabajador solo, en casa, es más vulnerable, y los hackers y delincuentes intentan aprovecharlo”. La mayor debilidad de sistemas informáticos cada vez más sofisticados es la de la persona que los maneja. “El eslabón más débil es el ser humano. El ‘malo’ aplica entonces todo su despliegue en ingeniería social, o lo que es lo mismo, un conjunto de prácticas que lo que buscan es explotar la ingenuidad natural presente en la mayoría de la gente”. Por ingeniería social en este campo se entiende todas las estrategias basadas en reacciones como ‘no nos gusta decir que no’ (si nos llaman del supuesto departamento de seguridad y hemos de negarles acceso, por ejemplo), ‘todos queremos ayudar’, ‘ el primer movimiento, en general, suele ser de confianza hacia el interlocutor’ y somos vulnerables a las alabanzas. De los diversos ataques que se están denunciado en la Policía mediante técnicas de ingeniería social, el que más están viendo los agentes es el que tiene su origen en técnicas de ‘vishing’. Ese concepto engloba estafas urdidas a través de llamadas telefónicas que, tras la generación de confianza, recaban datos sensibles para la seguridad de la empresa. “La gente empezó a desconfiar de los correos electrónicos, se habían oído más casos de delitos que comenzaban con e-mails, pero no tanto de llamadas. Además, las más preparadas suelen ser de personas que se han documentado a través de la red y que muestran cierto conocimiento de cómo se trabaja en esa compañía, creando una falsa sensación de seguridad en el usuario. Si sabe mi correo electrónico, es que será de la organización, piensan, cuando su correo corporativo está a la vista de cualquiera, por ejemplo, en la web de la empresa”. Es necesario sospechar de los mensajes o llamadas de tipo inesperado, que dicen ser urgentes o confidenciales. “Hay que dudar de lo que se sale de lo normal y no está de más un doble chequeo o comprobación, sobre todo en lo relativo a cuentas, transferencias, información delicada, etc”. Desde la Policía trasladan a las empresas la importancia de cultivar una ‘cultura de la seguridad’. Equipos corporativos Entre otras medidas, los investigadores admiten que hay opciones que protegen mejor a empleados y compañías. “La mejor opción es la que pasa por usar dispositivos corporativos y evitar compartir el mismo ordenador para uso profesional y personal. Si no es así, es importante usar distintas cuentas con usuarios limitados y servicios restringidos”. Es aconsejable también tener los equipos actualizados (parches de seguridad y disposición de antivirus y cortafuegos actualizados), tanto en el sistema operativo como en las aplicaciones y contar con copias de seguridad que permitan restaurar el equipo en caso de incidente, “única forma de combatir el ransonware o secuestro de datos”. Todo ello de la mano de un sistema de acceso seguro mediante el uso de contraseñas de alto nivel. “También puede resultar clave la red de comunicación entre el empleado y la empresa. La mejor manera de garantizar la seguridad del acceso es mediante el uso de una red privada virtual, más conocida como VPN (Virtual Private Network)”. Finalmente, no es recomendable el sistema de ‘escritorio remoto’, igual que no es recomendable el uso de wifi, siendo más seguro el uso de red cableada. “Si se opta por la conexión wifi, será necesario haber configurado adecuadamente todas las opciones de seguridad y proteger el acceso (por ejemplo protocolo WPA2), fortalecer la seguridad del router, mantenerlo actualizado y cambiar claves de acceso”. Envío masivo de correos, secuestros de equipos y suplantar al CEO En el ámbito del ciberdelito, las estafas más habituales responden básicamente a cuatro tipologías. Con variantes o cambiando cierta temática con el señuelo, son las siguientes: 1. Phising-Spear (pesca a gran escala) Consiste en el envío masivo de correos electrónicos con alguna palabra clave a modo de señuelo, como el covid, otras con la apariencia de una entidad legítima, reconocida o fiable, como puede ser una institución del Estado (Seguridad Social), una entidad bancaria o red social, con el fin de que algunas de las miles de personas que lo reciben ‘piquen el anzuelo’, de ahí lo de pescar en el nombre, y faciliten sus datos bancarios o descarguen algún archivo infectado. Por ejemplo, en el caso del phising suplantando a la Seguridad Social el usuario recibía un correo al parecer remitido desde la Tesorería General. En él se le informaba de un supuesto reembolso a su favor de 345,76 euros. “Estimado cliente, nuestro sistema de gestión de facturas detecta que tiene derecho a recibir este pago. Para aceptar pagos rápidos en línea, haga click en el siguiente enlace y guarde la información de reembolso. Por razones de seguridad y protección, tenga en cuenta que este documento web es temporalmente válido hasta dentro de diez días”. Al pinchar en el enlace y en caso de facilitar los datos, se materializaba la estafa. 2. Ransonware Se trata del secuestro de un sistema informático mediante el cifrado de datos. Suele iniciarse con un phising y los autores solicitan para el descifrado de la información una determinada suma de dinero, generalmente en moneda virtual como bitcoins. 3. Fraude del CEO Se trata de la suplantación del correo electrónico de un alto cargo (directivo o financiero) de una empresa, el cual contacta con un empleado de los que tienen poderes de pago. Con el pretexto de encontrarse a punto de realizar una operación ventajosa para la empresa, le convence para que le haga una transferencia a una cuenta controlada por criminales. Suele valerse de argucias como “vas a ser mi contacto con el fin de llevar a cabo esta transacción estrictamente confidencial. El anuncio legal será en breve en nuestras instalaciones y en presencia de todos los implicados”. 4. Fraude proveedor (Man in the Middle) Se trata de una variante del anterior. Aquí no suplantan al CEO sino a un a proveedor o cliente y solicitan un cambio en el número de cuenta habitual donde se hacen los abonos. Una cultura de la seguridad y proyectos como el ‘C1b3rWall’ Tener a los empleados formados en pautas de actuación en estos nuevos escenarios puede ahorrar muchos disgustos a las empresas, insisten desde Policía Nacional. “Es cambiar el chip de algunas cosas que, si nos paramos a pensar, hacemos de forma ilógica”, señala otro de los ponentes de la jornada, el inspector Montenegro. Un ejemplo práctica y cuyo uso se ha universalizado en los últimos meses es el de las videoconferencias. “Si en esos foros vamos a abordar temas confidenciales o delicados hay que reforzar la seguridad que concierne a esa conversación, desde un software actualizado a verificar la identidad de los invitados a proporcionar contraseñas seguras para los perfiles de usuario autentificados. En esa línea y de cara a empresas del sector de seguridad, pero también académico o policial, se trabaja en varios proyectos en España. Uno de ellos es el C1b3rWall, dentro del campo de la ciberseguridad y la lucha contra el cibercrimen. Entre los temas que se abordan: comunicaciones inalámbricas, criptografía, programación, inteligencia artificial, redes, criptomonedas o desinformación.

Diario de Navarra

Los delitos informáticos aumentan en Navarra al aprovecharse del teletrabajo

"Soy del departamento de seguridad y quiero verificar unos datos" fue la excusa en la estafa a una empresa navarra

Comentarios

Navarra restringe a partir de las 11 h de este viernes las actividades agrícolas en terrenos de secano y los trabajos forestales

Qué ver y hacer este viernes 26 de junio en Pamplona y Navarra

Vídeo de un nuevo hallazgo en Irulegi

Vídeo con el inicio del fuego que se ha extendido al norte de San Cristóbal

Fotos del Navarra Economic Summit 2026