El presente análisis es un documento de máxima utilidad preventiva y para aprender; tanto en los casos de usuarios avanzados interesados en la materia, como para los básicos y ocasionales en ánimo o con propositos de enriquecer sus conocimientos, saber más y estar al día.

Principales riesgos y consecuencias asociados al uso del ChatGPT Atlas, según ESET

Inyección rápida: La inyección de prompts es uno de los principales riesgos en navegadores integrados con GenAI. El contenido malicioso puede ocultarse en la página visitada, en URL o incluso en imágenes manipuladas. Cuando el navegador interpreta esta información oculta, su comportamiento puede alterarse: desde proporcionar datos sensibles a atacantes, mostrar contenido distinto al esperado, hasta modificar sus ajustes para ser más permisivo en etapas posteriores del ataque.

Filtración de datos sensibles: Entre las funciones del navegador está el relleno de formularios de forma automatizada, lo que significa que, si una página maliciosa solicita datos que normalmente se solicitan en estos formularios, como nombre completo, teléfono, dirección, entre otros, el navegador puede proporcionarlos sin necesidad de validaciones adicionales.

Acceso excesivo a datos personales: Dado que el navegador está integrado de forma nativa con una GenAI, es posible que pueda acceder y procesar el contenido de todas las pestañas abiertas o que hayan estado abiertas. Por ejemplo, si se mantienen abiertas las cuentas de correo en distintos proveedores, una pestaña con el calendario para no perder citas o contactos, el navegador podría utilizar esa información para ejecutar acciones en esas herramientas. Esto puede ser útil en un uso legítimo, pero si se explota de manera maliciosa, podría implicar la exposición de datos sensibles a ciberdelincuentes.

Las integraciones pueden implicar riesgos de privacidad que muchos usuarios no anticipan, incluyendo el acceso a todos los archivos presentes en el dispositivo. De hecho, es posible enviar cualquier archivo como adjunto, y el navegador podría procesarlo sin aplicar controles adicionales, lo que aumenta la exposición de información sensible. 

Destaca Daniel Cunha Barbosa,

          Investigador de Seguridad Informática

                 en ESET Latinoamérica

Memoria del navegador: Dado que el navegador puede interactuar con servicios autenticados, estas sesiones pueden permanecer abiertas indefinidamente. Si ocurre una interacción maliciosa y el navegador tiene varias sesiones activas, los atacantes podrían aprovecharlas para realizar acciones no autorizadas, incluyendo ataques de secuestro de sesión.

Vulnerabilidad ante ataques de phishing: Los ataques de phishing representan una amenaza significativa en navegadores que procesan contenido antes de mostrarlo en pantalla. Aunque existen ciertos indicadores para diferenciar un sitio legítimo de uno fraudulento, aún no se han identificado mecanismos eficientes para hacerlo. Esta falta de detección facilita la interacción con contenido malicioso, lo que beneficia a los ciberdelincuentes.

Omnibox vulnerable a comandos maliciosos: La Omnibox es la funcionalidad de la barra de direcciones que permite ingresar tanto URLs como términos de búsqueda, ofreciendo resultados relevantes en ambos casos. En el contexto de ChatGPT Atlas, existe el riesgo de que los usuarios sean engañados para hacer clic en comandos disfrazados de URLs. Estos comandos pueden alterar el comportamiento del navegador o redirigir a las víctimas hacia sitios web controlados por ciberdelincuentes.

Falta de transparencia en la ejecución de las acciones: Este punto resume la mayoría de las preocupaciones de seguridad relacionadas con este navegador. Al contar con capacidades automatizadas basadas en IA, muchas de las acciones que realiza no son visibles ni controlables por el usuario. Esto incluye desde interacciones con contenido malicioso en páginas web hasta el procesamiento de información personal o sensible, que incluso podría utilizarse como parte de modelos de entrenamiento o en respuestas futuras a otros usuarios. Idealmente, este tipo de navegador debería ofrecer configuraciones explícitas para cada funcionalidad que pueda comprometer la seguridad o privacidad del usuario.

Ausencia de estándares de divulgación de vulnerabilidades: Al igual que cualquier otro tipo de software, los navegadores integrados con IA pueden tener vulnerabilidades que afectan su funcionamiento. Esto hace necesario que la propia OpenAI disponga de formas de revelar estas vulnerabilidades para poder trabajar en una solución y actualización de software. Muchas vulnerabilidades permiten a los ciberdelincuentes controlar los dispositivos sin tener que interactuar con sus víctimas.

Inyección en portapapeles: La manipulación de portapapeles es un recurso utilizado por varios tipos de malware y suele estar destinada a robar información. Los troyanos suelen usar esta función al atacar carteras de criptomonedas; cuando la víctima copia la dirección de la cartera a la que quiere enviar fondos, el troyano la cambia y coloca la cartera de los ciberdelincuentes; cuando la víctima va a pegar la información y completa la transferencia, los fondos se envían a los delincuentes.

Inyección de Reconocimiento Óptico de Caracteres (OCR): La interpretación de texto oculto en imágenes como comandos válidos representa un riesgo emergente. Aunque la capacidad de reconocer contenido en imágenes no es nueva, el problema surge cuando esta función se utiliza con fines maliciosos. Es posible incrustar instrucciones ocultas en imágenes, invisibles para el ojo humano, que el navegador interprete como comandos válidos. Esto puede modificar su comportamiento de manera similar a una inyección de prompts.

Hay mejoras aplicadas

-Es importante conocer que, consciente de los riesgos asociados al nuevo producto, OpenAI ha adoptado medidas para mejorar la seguridad del navegador Atlas. Estableció limitaciones de agentes, Atlas no puede ejecutar código, descargar archivos, instalar extensiones, acceder a otras aplicaciones ni a información del dispositivo local sin acceso a contraseñas ni autocompletado. Además, el agente no puede acceder a contraseñas guardadas, datos autocompletados ni memorias internas fuera de su alcance. En cuanto al historial y control de navegación, el usuario puede borrar historial, memorias y definir qué sitios son visibles para ChatGPT, incluyendo la opción de bloquear la IA con un solo clic. Por otro lado, para que Atlas recuerde páginas visitadas, el usuario debe habilitar la función (desactivada por defecto). Asimismo, las interacciones no se usarán para entrenamiento de modelos, salvo que el usuario lo autorice explícitamente cuidando la privacidad. Y, finalmente, reforzaron la protección para sitios críticos y acciones en sitios sensibles (por ejemplo, bancos) requieren aprobación manual del usuario.

Resumen que concreta las recomendaciones de ESET en materia de ciberseguridad para reducir los riesgos

• No proporcionar datos para entrenamiento: Evitar enviar información sensible que pueda aparecer en interacciones futuras.
• Cumplir con leyes de protección de datos: Especialmente en entornos corporativos (LGPD, GDPR).
• Usar el agente con precaución: Recordar que toma decisiones por / en nombre del usuario; no todas serán seguras.
• Evitar sitios poco confiables: Reduce riesgos de inyección de prompts y otros ataques.
• Utilizar entornos virtuales cuando sea posible: Facilitar la recuperación ante fallos o ataques.
• Capacitar a los usuarios: La formación en seguridad es clave para minimizar riesgos.

“La integración con GenAI es una tendencia inevitable, pero la seguridad debe evolucionar al mismo ritmo. Será responsabilidad de los profesionales y usuarios configurar y usar estas herramientas de forma consciente para reducir los riesgos”, agrega para finalizar Cunha Barbosa de ESET Latinoamérica.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

DOBLE LLAVE

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

Un PDF malicioso puede instalar o descargar malware, robar información privada o sensible, e incluso explotar vulnerabilidades del sistema o de los lectores para PDF. Según ESET, generalmente, se distribuyen como adjuntos en correos de phishing que apelan a la urgencia, la emoción o la preocupación para inducir a su apertura. De acuerdo con el último Threat Report de ESET, los archivos PDF se encuentran en el sexto lugar del TOP 10 de detecciones de amenazas, y son una de las tendencias en ataques mediante correos electrónicos maliciosos.

“Los atacantes se esfuerzan por evitar ser detectados por los usuarios y simulan ser PDF legítimos. Es fácil que contengan elementos maliciosos que a simple vista son imperceptibles, especialmente para usuarios ajenos a la ciberseguridad o informática.”, comenta Fabiana Ramirez Cuenca, Investigadora de Seguridad Informática de ESET Latinoamérica.

Entre los ejemplos más comunes de las distintas formas en que pretenden camuflar o disfrazar los PDF maliciosos, se encuentran:

• Facturas de compra o de deudas, con nombres como “factura.pdf”
• Currículums laborales, principalmente en ataques dirigidos a empresas
• Resultados de estudios médicos
• Documentos vinculados a entidades financieras, bancarias o gubernamentales

Uno de los métodos más frecuentes que utilizan los atacantes es incrustar scripts -fragmentos de código- que pueden estar diseñados para descargar malware, abrir conexiones remotas o ejecutar comandos y procesos en segundo plano, entre otras acciones maliciosas. También pueden contener enlaces ocultos que se abren al interactuar con ciertas funcionalidades del archivo. Además, pueden aprovechar alguna vulnerabilidad o falla de lectores populares, como Adobe Reader, Foxit, entre otros.

Una campaña de phishing documentada por ESET utilizó archivos PDF para distribuir el troyano bancario Grandoreiro. El ataque comenzaba con un enlace malicioso que derivaba en la descarga del PDF infectado.

Mail de phishing suplantando a agencia del gobierno argentino, con link malicioso que lleva a descarga de archivo PDF falso

En un primer momento, la apariencia del documento no genera desconfianza y se presenta simulando ser un archivo PDF real.

Link de descarga del PDF malicioso

Señales que alertan

Existen ciertas señales que podrían indicar que se ha recibido un PDF malicioso. Para identificarlo, desde ESET recomiendan tener en cuenta algunas de las siguientes características:

• Viene comprimido en un ZIP o RAR: Para evitar que los sistemas o antivirus los detecten, suelen ser comprimidos para evadir filtros de correos electrónicos e incluso ocultar otras extensiones sospechosas.
• Tienen nombres engañosos o genéricos, como documento.pdf.exe o factura.pdf: Al estar las campañas usualmente dirigidas a muchos usuarios, se tiende a colocar nombres genéricos o aprovechar la extensión .pdf para confundir y enviar un .exe, que incluso puede estar oculto.
• El remitente no coincide con lo que dice el archivo: Por ejemplo, si un mail dice ser de una entidad o persona conocida, pero el remitente no es identificable. Un dominio extraño es una clara señal de alerta.
• No tiene sentido recibirlo: Pregúntate si esperabas ese archivo, si conoces al remitente o si tiene lógica que te lo envíe.

Ante la sospecha de haber recibido un PDF malicioso, ESET comparte algunas recomendaciones para analizar el archivo y determinar su naturaleza:

• Analizarlo en VirusTotal: En este sitio se puede cargar el documento sospechoso y analizarlo con múltiples antivirus.
• Activar la vista de extensiones en el explorador de archivos del sistema operativo, para ver la extensión real de los archivos y detectar intentos de engaño.
• Chequear el tamaño y nombre del archivo antes de abrirlo.
• Evitar abrir archivos comprimidos sospechosos.
• Usar siempre visores de PDF actualizados a las últimas versiones, para evitar explotación de vulnerabilidades conocidas.
• Usar siempre soluciones de seguridad, como antivirus y antimalware, para poder detectar amenazas.

¿Qué se debe hacer si ya fue abierto el PDF?

En el caso de haber abierto un PDF malicioso, existen varias medidas que se pueden tomar:

• Desconectarse de internet: Esto podría evitar que se complete la cadena de infección y que ingrese un malware, o evitar que el dispositivo infectado se conecte con el servidor de los criminales (C2). También evita que se exfiltre información o se descarguen herramientas adicionales, así como que la infección se propague a otros dispositivos conectados a la misma red.
• Escanear el equipo con antimalware: Si el PDF contenía o descargó malware, el escaneo podría detectarlo.
• Revisar los procesos activos del sistema: Esto permitirá identificar la presencia de procesos sospechosos o que no deberían estar abiertos. También permite ver si hay un consumo anormal de CPU, red o memoria.
• Cambiar las contraseñas: Dada la posibilidad de infección, es recomendable cambiar las contraseñas de mail, redes, cuentas financieras, etc., para evitar que los criminales puedan utilizar aquellas que logren filtrar.
• Contactar con profesionales: Ante la duda, y si no se tiene suficiente conocimiento, siempre es recomendable acudir a especialistas que puedan identificar intrusiones.

“Los archivos PDF son parte de nuestra vida cotidiana, pero también pueden ser utilizados como herramientas de engaño por los cibercriminales. Mantener buenas prácticas de seguridad, verificar el origen de los archivos y estar atentos a señales de alerta es clave para protegerse”, concluye Ramirez Cuenca, de ESET Latinoamérica.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

DOBLE LLAVE

Con información e imágenes referenciales suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

El 2024 fue un año de despegue para las credenciales robadas como vector inicial para el acceso a los sistemas de las organizaciones. Si bien la explotación de vulnerabilidades continúa siendo el vector preferido de los cibercriminales (con un 33%), el robo de credenciales (16%) logró superar al phishing (14%), para ubicarse como el segundo vector de infección inicial más frecuente (en 2024). Así lo destacó Mandiant, empresa dedicada a la ciberseguridad propiedad de Google, en su M-Trends Report 2025.

A continuación, ESET repasa cuáles son las principales maneras mediante las cuales los ciberdelincuentes logran, o intentan, obtener credenciales:

Phishing e ingeniería social

-Se suplanta la identidad de amigos, familiares u organizaciones públicas en un correo electrónico, u otros medios de comunicación, para inducir a entregar información sensible, como datos personales o contraseñas, en una página web falsa que ellos mismos controlan y que simula ser la oficial. También se utiliza para engañar a las personas para que descarguen malware que roba credenciales.

Ataques de fuerza bruta

-Son técnicas que usan los cibercriminales para probar combinaciones de contraseñas y dar con la credencial legítima de la víctima. Las contraseñas débiles, fáciles de recordar, o que son de las más comunes, hacen más sencillo el uso de esta metodología y técnicas por parte del cibercrimen.

Filtraciones de datos 

-Cada vez son más comunes los casos de filtraciones, que son otra fuente de la cual se valen los malhechores para obtener estos accesos, y también del posterior comercio de credenciales en foros clandestinos para que sean utilizadas en distintos servicios por otros ciberdelincuentes.

Malware infostealer

-Se trata de un tipo de malware cuyo principal objetivo es robar información del equipo infectado y enviarlo a los cibercriminales. Si bien se enfoca mayormente en robar credenciales almacenadas en el navegador o espacios de guardado temporal y el historial, también puede presentar funciones adicionales, como para el de billeteras de criptomonedas.

A este tipo de ataques también se suma y agrava en lo atinente a la información corporativa, la tendencia del modelo BYOD («Bring Your Own Device») y cualquier tipo de uso informal de equipos corporativos. Allí conviven cuentas laborales con personales, muchas veces sin el control necesario, por lo que en un descuido, a veces inconsciente, la entrega de credenciales no solo afecta al usuario sino también la información de la compañía para la cual trabaja.

“Es necesario que tanto las organizaciones como los propios usuarios puedan reformular la manera en la que protegen sus credenciales. Para ello, implementar ciertas medidas de prevención puede ser la clave. A saber: desde activar el doble factor de autenticación (2FA) y monitorear activamente las credenciales filtradas, hasta la creación de políticas de acceso condicional. Como siempre subrayamos desde ESET, no solo se trata de contar con una contraseña única y robusta, sino también con diversas capas de seguridad que mantengan a resguardo nuestros bienes digitales más preciados”, concluye y precisa Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros datos preventivos está igualmente disponible: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

DOBLE LLAVE

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

“Ya sea que se trate de phishing, spam o malspam, siempre es necesario que como usuarios seamos cuidadosos con dónde hacemos clic, ya que se nos podría estar dirigiendo a sitios que busquen robar nuestra información personal o incluso descargar algún tipo de contenido malicioso a nuestra máquina”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Seguridad informática de ESET Latinoamérica.

El phishing es una técnica que utiliza el cibercrimen para engañar a sus víctimas y que entreguen información confidencial, ya sean contraseñas, datos bancarios y personales. La metodología más común de phishing es hacerse pasar por organismos, bancos o empresas reconocidas y de confianza por correo electrónico o mensaje, para así tentar a la víctima a completar un formulario falso en el mensaje o adjunto a él y visitar una página web solicitando la entrada de los detalles de la cuenta o las credenciales de inicio de sesión.

Ejemplo de phishing que suplanta la identidad de VISA

En cuanto al spam, podemos decir que es el correo no deseado, o basura, en las bandejas de entrada de las casillas de correo. Enviado de forma masiva por un remitente desconocido, busca hacer publicidad de un producto o servicio. En varios países ya regulan el uso de este tipo de comunicaciones e imponen multas a las empresas que incumplan. Si bien es común que el spam se envíe en formato de texto o con contenido HTML, también lo hay vía mensajes instantáneos, SMS, redes sociales, llamadas telefónicas o correo de voz.

Por otro lado, se denomina malspam a las técnicas de envío masivo que utilizan los actores maliciosos para intentar infectar dispositivos a través de archivos o enlaces maliciosos adjuntos. Su nombre, en concreto, se debe a que se unen los conceptos de malware y spam; este tipo de correos suelen combinarse con técnicas de phishing ya que su objetivo es ganar la confianza de la víctima haciéndose pasar por una entidad conocida e inducirlo a entregar sus datos personales.

Diferencias esenciales y acciones para mantener los datos protegidos

Hay diferencias esenciales entre phishing y spam (y malspam) que hay que remarcar para saber en qué caso se trata de cada uno:

• Mientras que el spam busca anunciar un producto o servicio, el phishing sólo busca obtener información personal y financiera de sus víctimas. El malspam, en cambio, intenta infectar un dispositivo, y así tomar el control del equipo.
• El phishing suplanta la identidad de una empresa reconocida tratando de engañar a las personas, mientras que el spam puede venir de una empresa que realmente existe.
• En el caso del spam, por lo general redirige a sitios donde se puede adquirir el producto o servicio anunciado. En cambio, con las campañas de phishing, busca robar información personal. El malspam, a su vez, contiene archivos maliciosos (PDF, Word, Excel, Zip) o incluye links a sitios falsos o maliciosos.
• Los sitios a los cuales redirigen las campañas de spam se encuentran por lo general en servicios gratuitos de alojamiento, mientras que los sitios de phishing se suelen alojar en sitios web legítimos que son vulnerables o en aquellos falsos creados por los propios cibercriminales.
• Las campañas de spam suelen extenderse a foros, buscadores y diversos servicios gratuitos en Internet. En cambio, el phishing suele estar más enfocado en usuarios de un determinado país o región.

Desde ESET se comparten y recomiendan distintas acciones para mantener los datos protegidos. En principio no compartir indiscriminadamente la dirección de correo en sitios webs, y crear una dirección de correo electrónico desechable para recibir newsletters o suscripciones.

Además, en el caso de recibir un mail de un remitente conocido sin previo aviso y con un enlace sospechoso o un archivo descargable, se aconseja consultar a esa persona de manera directa antes de abrirlo. Por otro lado, si el mensaje proviene de una entidad bancaria o una marca reconocida, verificar en los canales oficiales de esa entidad que se trata de algo legítimo. Una regla de oro es que los organismos oficiales nunca piden datos personales, ni envían formularios online, ni archivos para descargar.

Por último desde ESET, advierten desconfiar de toda aquella oferta o promoción que sea demasiado buena para ser verdad e implementar una solución de seguridad, cuyo software antispam evite y/o bloquee la apertura o recepción de correos electrónicos no deseados o no solicitados. Por ejemplo, en el caso de ESET Home Security, la solución bloquea sitios web y correos electrónicos sospechosos y su función antiphishing bloquea las páginas que intentan adquirir datos personales para evitar el robo de identidad y el uso indebido de la información, mientras que brinda protección proactiva contra todo tipo de malware, incluidos virus, troyanos, gusanos y spyware.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros datos preventivos está igualmente disponible: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

DOBLE LLAVE

Con información e imágenes referenciales suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

Los cibercriminales o delincuentes informáticos toman pequeños fragmentos de una grabación real y mediante el uso de la Inteligencia Artificial (IA) y los patrones de voz, crean conversaciones y frases para llevar a cabo sus engaños, con consecuencias tan graves como costosas.  Estas muestras las obtienen de grabaciones de voz o de videos que estén publicados en redes sociales como Instagram o TikTok.

Para dimensionar cuál es su impacto, la Comisión Federal de Comercio de los Estados Unidos informó que en 2023 ese país perdió 2.700 millones de dólares solo por estafas. En esa línea, Starling Bank (banco británico que opera de manera online) alertó sobre la preponderancia de este tipo de estafas en el Reino Unido. La encuesta realizada a más de 3.000 personas reveló que más de una cuarta parte de los adultos afirma haber sido víctima de una estafa de clonación de voz mediante inteligencia artificial al menos una vez en el año. Además, el 46% de los encuestados mencionó que no sabía que existían tales estafas.

El crecimiento del número de estafas que involucran a la Inteligencia Artificial llevó al FBI a emitir un comunicado para alertar a las personas: “Los atacantes están aprovechando la IA para crear mensajes de voz o video y correos electrónicos muy convincentes para permitir esquemas de fraude contra individuos y empresas por igual. Estas tácticas sofisticadas pueden resultar en pérdidas financieras devastadoras, daño a la reputación y compromiso de datos confidenciales”, remarcó el organismo de investigaciones estadounidense.

Recomendaciones de ESET

Desde ESET advierten que ante este tipo de estafas que involucran la ingeniería social, el primer consejo es mantenerse bien alerta. Esto quiere decir, prestar especial atención a aquellos mensajes inesperados que llegan con la urgencia de solicitar dinero o credenciales de ciertas cuentas. Y en esa misma línea, devolver la llamada al familiar o amigo correspondiente a un número de teléfono conocido.

Otra de las medidas sugeridas por el equipo de investigación de ESET es tener una “frase segura”, que sea acordada previamente entre familiares y amigos, con el objetivo de comprobar si la persona que está hablando del otro lado es quien realmente dice ser.

También es muy importante implementar la autenticación multifactor siempre que se pueda. Se trata de agregar una capa de seguridad extra, con el objetivo de que los ciberdelincuentes no puedan acceder a nuestras cuentas y sistemas.

“En el caso de las empresas, más allá de combinar soluciones para reducir la cantidad de correos electrónicos, llamadas y mensajes de phishing que llegan a sus colaboradores, es primordial educar y concientizar a sus equipos de colaboradores para que puedan detectar los engaños y no caer en la trampa”, comentó y compartió Camilo Gutiérrez Amaya, Jefe del Laboratorio de investigación de ESET Latinoamérica.

Coordenadas de contacto con ESET, empresa especialista en seguridad digital e informática, fuente de la presente información y recomendaciones: https://www.eset.com/ve/.

También sus redes sociales: Instagram (@esetla) y Facebook: (ESET)

DOBLE LLAVE

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros

Las causas o motivos que debemos tomar en cuenta y valorar para cambiar las contraseñas, con el propósito de mantener así más protegidas las cuentas y servicios, son:

1. Contraseña simple: Una contraseña simple, de no más de 7 caracteres, puede ser vulnerada por un cibercriminal en solo dos segundos. Sí, dos segundos. Vale recordar que las contraseñas son la puerta de entrada a nuestra vida digital: redes sociales, cuentas bancarias y otros servicios en los que se almacenan datos personales o información sensible.

Por ello, si aún se tiene una contraseña simple y corta (léase “123456” o “password”), es fundamental que sea cambiada por una mucho más robusta y larga, que contenga números, mayúsculas y caracteres especiales.

2. Contraseña reutilizada: Si utilizas la misma contraseña para diferentes cuentas o servicios, ese es otro gran motivo para cambiarla por otra. A modo de ejemplo, sería igual que utilizar la misma llave para entrar a una casa, encender el automóvil y también abrir la caja fuerte.

Por eso, es muy importante emplear una contraseña única para cada cuenta. Si tienes dudas de cómo armarla, ESET comparte consejos para crear una contraseña única y segura.

3. Contraseña filtrada en una brecha de datos: Si tu contraseña fue filtrada en alguna brecha de datos, es motivo más que suficiente para actualizarla de manera rápida.

Para saber si tu contraseña ha sido «filtrada», a través de Have I Been Pwned, podrás verificar si la dirección de correo electrónico fue filtrada alguna vez y dónde. Esta base de datos se actualiza constantemente, con direcciones y contraseñas que fueron filtradas recientemente.

Mensaje que devuelve Have I Been Pwned si el correo o contraseña fue filtrada

4. Contraseña no actualizada por mucho tiempo: Dado que nuestras contraseñas protegen información tan importante como sensible, actualizarlas periódicamente representa un muy buen hábito para mantener segura la vida digital. Por otro lado, la contraseña anterior no debe ser reutilizada en el futuro ni tampoco en otra cuenta o servicio.
5. Contraseña compuesta por datos personales: Para un cibercriminal, es muy fácil hoy encontrar información personal o gustos de los usuarios a través de todo lo que estos comparten en sus redes sociales. Desde lugares de interés, nombres de mascotas, nombres de los hijos, fechas importantes, equipos deportivos, libros, música, entre tantísimos otros. Usar esos datos para contraseñas o credenciales resulta de alto riesgo.

“Para entender la criticidad de este punto, es vital tener en cuenta que los cibercriminales suelen descifrar contraseñas de usuarios mediante ataques de fuerza bruta, que consisten en probar con grandes volúmenes de palabras de diccionarios, datos públicos, contraseñas de uso común o datos de filtraciones (a base de prueba y error) hasta dar con la credencial correcta. Por ello, si aún cuentas con este tipo de contraseñas, también recomendamos actualizarla de inmediato”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

6. Contraseña compartida: Lamentablemente, compartir la contraseña para acceder, por ejemplo a una cuenta de un servicio de streaming es un fenómeno generalizado, pero también peligroso. Es que una vez que se comparte la contraseña, se pierde el control y no se sabe cómo la otra persona manipulará dicha clave y si a su vez la compartirá con otra persona.

De hecho, si se comparten las credenciales -por ejemplo- de una plataforma de compras, la persona con acceso podría iniciar sesión y ver los métodos de pago guardados y hasta usar la información para realizar una transacción. Por ello, si la contraseña fue compartida en algún momento, lo más aconsejable es cambiarla por otra.

Explicación final

“Contar con contraseñas únicas, robustas y actualizadas es un gran paso hacia adelante respecto de la protección de las cuentas, servicios e información personal. Herramientas como el gestor de contraseñas y la activación de un doble factor de autenticación son dos grandes aliadas para reforzar el buen hábito de tener contraseñas seguras. En el marco del Change your password day, reforzamos la importancia de contar con claves de acceso seguras, robustas, ya que representan la puerta de entrada a nuestra vida digital”, concluye Gutiérrez Amaya de ESET Latinoamérica.

Coordenadas de contacto con ESET: https://www.eset.com/ve/. También sus redes sociales: Instagram (@esetla) y Facebook: (ESET)

DOBLE LLAVE

Con información e imágenes referenciales suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

Hace un año, a principios de 2024, el Centro Nacional de Ciberseguridad del Reino Unido (NCSC) advirtió que la IA ya estaba siendo utilizada por todo tipo de actores de amenazas y que «casi con toda seguridad aumentará el volumen y el impacto de los ciberataques en los próximos dos años». La amenaza es más grave en el contexto de la ingeniería social, donde la IA generativa (GenAI) puede ayudar a los actores maliciosos a elaborar campañas muy convincentes en idiomas locales impecables; o en el reconocimiento, donde la IA puede automatizar la identificación a gran escala de activos vulnerables.

Aunque estas tendencias continuarán sin duda, en 2025 es posible que también se vea el uso de la IA para:

• Eludir la autenticación: La tecnología Deepfake se utiliza para ayudar a los estafadores a hacerse pasar por clientes en selfies y comprobaciones basadas en video para la creación de nuevas cuentas y el acceso a cuentas.
• Compromiso del correo electrónico comercial (BEC): La IA es utilizada para la ingeniería social, pero esta vez para engañar a un destinatario corporativo para transferir fondos a una cuenta bajo el control del estafador. El audio y el video falsos también pueden utilizarse para hacerse pasar por directores generales y otros altos cargos en llamadas telefónicas y reuniones virtuales.
• Estafas de suplantación de identidad: Los grandes modelos lingüísticos (LLM) de código abierto ofrecerán nuevas oportunidades a los estafadores. Al entrenarlos con datos extraídos de cuentas de redes sociales pirateadas o de acceso público, los estafadores podrían suplantar la identidad de las víctimas en secuestros virtuales y otras estafas diseñadas para engañar a amigos y familiares.
• Estafas de personas influyentes: De forma similar, es de esperar que en 2025 los estafadores continúen utilizando GenAI para crear cuentas de redes sociales falsas o duplicadas imitando a celebridades, personas influyentes y otras figuras conocidas. Se publicarán vídeos deepfake para atraer a los seguidores y hacerles entregar información personal y dinero, por ejemplo en estafas de inversión y criptomonedas, incluyendo los tipos de estratagemas destacadas en el último Informe de Amenazas de ESET. Esto aumentará la presión sobre las plataformas de redes sociales para que ofrezcan herramientas eficaces de verificación de cuentas e insignias, así como para mantenerse alerta.
• Desinformación: GenAI se aprovechará para generar de forma fácil o sencilla contenido falso, con el fin de engañar a usuarios a seguir cuentas falsas en redes sociales. Estos usuarios podrían convertirse entonces en amplificadores en línea para operaciones de influencia, de una manera eficaz y más difícil de detectar que las granjas de contenidos/trolls.
• Descifrado de contraseñas: Las herramientas impulsadas por la IA son capaces de desenmascarar credenciales de usuario en masa en cuestión de segundos para permitir el acceso a redes y datos corporativos, así como a cuentas de clientes.

En cuanto a la privacidad, la IA requiere enormes volúmenes de texto, imágenes y vídeo para entrenarse. A menudo, por accidente, algunos de esos datos serán sensibles. En algunos casos, las redes sociales y otras empresas pueden cambiar los términos y condiciones para utilizar los datos de los clientes para entrenar modelos. “Una vez acaparada por el modelo de IA, esta información representa un riesgo para las personas si el propio sistema de IA es pirateado. O si la información se comparte con otros a través de aplicaciones GenAI que se ejecutan sobre el LLM. También existe la preocupación de que los usuarios corporativos compartan involuntariamente información sensible relacionada con el trabajo a través de los mensajes de GenAI. Según una encuesta, una quinta parte de las empresas británicas han expuesto accidentalmente datos corporativos potencialmente sensibles a través del uso de GenAI por parte de sus empleados”, apunta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Gobiernos, empresas privadas y usuarios finales debemos trabajar para aprovechar el potencial de la IA y, al mismo tiempo, mitigar sus riesgos

Por otro lado, se espera que la IA desempeñe un papel cada vez más importante en el trabajo de los equipos de ciberseguridad durante el año, a medida que se incorpore a nuevos productos y servicios. Sobre la base de una larga historia de seguridad impulsada por la IA, estas nuevas ofertas, según ESET, ayudarán a generar datos sintéticos para la formación de usuarios, equipos de seguridad e incluso herramientas de seguridad de IA.

A su vez, resumir informes de inteligencia sobre amenazas largos y complejos para los analistas y facilitar una toma de decisiones más rápida en caso de incidentes. También podrá mejorar la productividad de SecOps contextualizando y priorizando las alertas para los equipos ampliados, y automatizando los flujos de trabajo para la investigación y la corrección. Además, permitirá analizar grandes volúmenes de datos en busca de indicios de comportamiento sospechoso y mejorar la capacitación de los equipos de TI mediante funciones de «copiloto» integradas en varios productos para ayudar a reducir la probabilidad de errores de configuración.

“Está claro es que la IA cambiará radicalmente nuestra forma de interactuar con la tecnología en 2025, para bien y para mal. Ofrece enormes beneficios potenciales a empresas y particulares, pero también nuevos riesgos que deben gestionarse. Los gobiernos, las empresas del sector privado y los usuarios finales debemos desempeñar nuestro papel y trabajar juntos para aprovechar el potencial de la IA y, al mismo tiempo, mitigar sus riesgos”, concluye Gutiérrez Amaya de ESET Latinoamérica.

Para obtener más información sobre el uso de la IA en la ciberseguridad, consulte el libro blanco de ESET.

Coordenadas de contacto. Visite el sitio web de ESET: https://www.eset.com/ve/. También sus redes sociales: Instagram (@esetla) y Facebook: (ESET).

DOBLE LLAVE

Con información e imagen referencial suministrada por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

“En el último semestre de 2024 se observaron cambios en el panorama de los infostealers, estos malware “silenciosos” diseñados para robar información confidencial mostraron un aumento de la actividad en el segundo semestre y se posicionan para este 2025 como amenazas centrales para la seguridad de las organizaciones, sobre todo en aquellas que no implementan la autenticación de dos factores”, comenta y comparte Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Según los datos presentados en el ESET Threat Report del último semestre del año pasado, el alza de la actividad infostealer estuvo motorizada, entre otros factores, por el crecimiento de la actividad de Formbook, y Lumma Stealer que sorprendió con un aumento récord de detecciones. Estos infostealers utilizan el modelo MaaS («malware as a service») en que los cibercriminales ofrecen un paquete de malware en mercados ilegales, con herramientas y plataformas a cambio de una suscripción, generalmente, y esto permite a actores maliciosos menos capacitados lanzar ataques, y expandirse rápidamente.

ESET analiza los infostealers más destacados

Formbook: Este malware, si bien es conocido al menos desde 2016, escaló en el ranking de detecciones hacia el final de año pasado y se posicionó como principal amenaza infostealer con un aumento en sus detecciones en la telemetría ESET de un 200%.

También conocido como XLoader, se difunde principalmente por medio de adjuntos maliciosos en correos electrónicos de phishing. Es un infostealer que recolecta datos del portapapeles, registros de tecleo, capturas de pantalla y cachés de navegadores web.

Correo de phishing distribuyendo formbook

Lumma Stealer: Logró posicionarse por primera vez en el top 10 de detecciones de ESET en el segundo semestre de 2024. En total, en ese periodo mostró un crecimiento récord de 395% más de 50.000 detecciones registradas. El mayor número de detecciones se focalizaron en Perú, Polonia, España, México y Eslovaquia.

Detecciones de telemetría ESET donde se observa el crecimiento de Lumma

Se dirige a las extensiones de navegador para autenticación de dos factores, las credenciales de usuario y billeteras de criptomonedas.

Algunos de los métodos para su distribución fueron a través de repositorios de GitHub, haciéndose pasar por un editor de imágenes IA EditPro, o a través de archivos e instaladores parcheados, principalmente los KMS de copias ilegítimas de Windows. En una investigación de ESET Research, de octubre, se descubrió que varios criptors contenían este infostealer listo para infectar dispositivos de jugadores que buscaban bots de granja o autoclickers (mejoras para el juego) del popular Hamster Kombat (en repositorios de GitHub).

Lumma Stealer distribuyéndose en respositorio de GitHub

RedLine: Activo desde 2020, luego de la Operación Magnus de octubre 2024, se observó un declive en la actividad de este infostealer aunque no ha desaparecido por completo. Se han observado campañas de phishing pasivas que entregan RedLine en comentarios de YouTube o en repositorios de GitHub.

Aunque el creador de este malware no fue arrestado, los expertos estiman que no habrá un intento de resucitarlo. “Si bien podría, en teoría, comprar o alquilar nuevos servidores y usar el código existente para configurar nueva infraestructura y distribuir paneles a los afiliados, ha sido identificado y acusado, por lo que probablemente querrá mantener un perfil bajo … Podemos esperar que el vacío de poder dejado por el desmantelamiento de RedLine conduzca a un aumento en la actividad de otros infostealer MaaS”, advierte Alexandre Côté Cyr, malware researcher de ESET en el reporte.

Prevención: Para mitigar esta amenaza, desde ESET son informadas y recomendadas las siguientes medidas proactivas para organizaciones

1. Implementar la autenticación multifactor en todos los accesos.
2. Educar a las y los empleados sobre los riesgos de correos de phishing.
3. Monitorear y restringir el acceso a repositorios no confiables.
4. Invertir en soluciones de seguridad que detecten y prevengan malware avanzado.

“Los infostealers continuarán desempeñando un rol central en las violaciones de datos, y esto pone en relieve que serán fundamentales en el robo de credenciales en entornos qué no apliquen la autenticación de dos factores. Además, el modelo de MaaS que facilita el acceso a estas herramientas incluso para atacantes con poca experiencia, amplifica el riesgo”, concluye Gutiérrez Amaya de ESET Latinoamérica.

Coordenadas de contacto. Para obtener más información, visite el sitio web de ESET: https://www.eset.com/ve/. También sus redes sociales: Instagram (@esetla) y Facebook: (ESET).

DOBLE LLAVE

Con información e imagen referencial suministrada por ESET y Comstat Rowland Comunicaciones Estratégicas

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

Cuando se permite que una aplicación utilice la ubicación del dispositivo, por ejemplo en una aplicación de citas, es razonable suponer que la ubicación es generalizada, por ejemplo: “situado en Tampa a 23 millas”. Con una población de unos 400.000 habitantes, localizar la ubicación exacta de alguien debería ser una tarea difícil. Sin embargo, la semana pasada en Black Hat USA, un equipo de investigación belga demostró cómo algunas aplicaciones de citas filtraban inadvertidamente datos de ubicación exacta de los usuarios, con los riesgos y violaciones a la privacidad que esto significa.

“Si bien ya se informó responsablemente del problema a las numerosas aplicaciones de citas afectadas y el problema se ha resuelto, este caso funciona como recordatorio de cómo los hábitos aparentemente inofensivos pueden poner en peligro la privacidad”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Se demostró que a partir de los datos de “X millas de distancia” podían triangular una ubicación exacta del usuario. Seleccionando un perfil de destino, dibujaron un círculo con su ubicación en el centro, hasta la distancia de 23 millas. Luego falseando su ubicación dibujaron un segundo círculo superpuesto al anterior en algún punto. Con una tercera ubicación falseada, y un tercer círculo trazado en el lugar donde se encuentran los tres, pudieron determinar la ubicación exacta del usuario objetivo, que nunca se enteró de dicha filtración.

“La misma técnica se puede utilizar cuando se establecen límites de ubicación; por ejemplo, seleccionando todos los perfiles a 8 km. Si repitiéramos el proceso anterior podrá identificarse la ubicación de un perfil. Solo las aplicaciones o servicios que utilizan la ubicación exacta tienen este problema, si la ubicación se redondea a, por ejemplo, una milla, entonces la ubicación exacta no se puede identificar utilizando este método”, complementa el investigador de ESET.

Se examinaron 15 aplicaciones de citas en busca de problemas de privacidad, como el descrito anteriormente, a la vez que analizaban sus interfaces API, políticas de privacidad y otros datos. La investigación se centró específicamente en las aplicaciones de citas, pero muchos servicios y aplicaciones utilizan la ubicación de la misma manera. Por ejemplo, en las aplicaciones de juegos, ya que es posible en varias versiones encontrar a otros jugadores del mismo juego que estén cerca.

“Destacar el problema utilizando las aplicaciones de citas como ejemplo hace el caso más llamativo, ya que todos entendemos el problema de los acosadores y depredadores que pueden utilizar estas plataformas. Sin embargo, es importante que todas las aplicaciones y servicios revisen el uso que hacen de la localización para asegurarse de que ocultan suficientes datos de localización como para que sea imposible calcular la ubicación exacta de alguien”, advierte Gutiérrez Amaya.

ESET comparte algunas medidas para mitigar el problema y limitar la precisión con la que se comparte la ubicación al utilizar los dispositivos móviles

• Cuando una aplicación pide permiso para utilizar la ubicación al instalarla, se puede cambiar el permiso para desactivar el uso compartido de la ubicación exacta. En iOS se utiliza una ubicación a tres kilómetros de la posición exacta, lo que es una variante suficiente para evitar que alguien triangule la posición.
• En los dispositivos Apple, ir a “Ajustes”, “Privacidad y seguridad” y, a continuación, a “Servicios de localización”; cada aplicación y su permiso correspondiente pueden mostrarse y editarse según sea necesario.
• Si se utiliza un dispositivo Android, mantener pulsado el icono de la aplicación y en “Información de la aplicación” encontrar “Permisos”, incluido “Localización”, donde se podrá seleccionar la opción adecuada.

Coordenadas de contacto con ESET en Venezuela: https://www.eset.com/ve/. También sus redes sociales: Instagram (@esetla) y Facebook: (ESET)

DOBLE LLAVE

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en Twitter e Instagram puedes conocer diariamente nuestros contenidos

“El 53% de las pymes encuestadas en un informe reciente afirman que gastan más de 1,2 millones de dólares al año en la nube, frente al 38% del año pasado. Además, la seguridad (72%) y el cumplimiento de normativas (71%) son el segundo y tercer reto más citado por las pymes encuestadas. El primer paso para hacer frente a estos retos es comprender los principales errores que cometen las empresas más pequeñas con sus implementaciones en la nube. De todas formas, no son solo errores que cometen las pymes en la nube, las empresas más grandes y con más recursos son a veces culpables de olvidar lo básico. Al eliminar estos puntos ciegos, su organización puede dar grandes pasos hacia la optimización de su uso de la nube, sin exponerse a riesgos financieros, o de reputación, potencialmente graves”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.

Los 7 principales errores de seguridad en la nube que cometen las Pymes (y no tan Pymes), según ESET

1. Sin autenticación multifactor (MFA): Las contraseñas estáticas son intrínsecamente inseguras y no todas las empresas siguen una política sólida de creación de contraseñas. Las contraseñas pueden ser robadas de varias maneras, por ejemplo mediante phishing, métodos de fuerza bruta o simplemente adivinadas. Por eso es necesario añadir una capa adicional de autenticación (doble llave o doble factor). La MFA hará mucho más difícil que los atacantes accedan a las aplicaciones de las cuentas SaaS, IaaS o PaaS de sus usuarios, mitigando así el riesgo de ransomware, robo de datos y otros posibles resultados. Otra opción consiste en cambiar, siempre que sea posible, a métodos alternativos de autenticación, como la autenticación sin contraseña.
2. Depositar demasiada confianza en el proveedor de la nube: Muchos responsables de TI creen que invertir en la nube significa efectivamente externalizar todo a un tercero de confianza. Esto es cierto solo en parte: existe un modelo de responsabilidad compartida entre el proveedor y el cliente, para asegurar la nube. Lo que hay que tener en cuenta dependerá del tipo de servicio -SaaS, IaaS o PaaS- y del proveedor. Si bien la mayor parte de la responsabilidad recae en el proveedor, vale la pena invertir en controles adicionales de terceros.
3. No hacer copias de seguridad: Nunca dar por sentado que el proveedor de servicios en la nube (por ejemplo, para servicios de almacenamiento/compartición de archivos) te cubre las espaldas. Debes pensar en el peor de los casos: un fallo del sistema o un ciberataque a tu proveedor. No es solo la pérdida de datos lo que afectará a su organización, sino también el tiempo de inactividad y el golpe a la productividad que podría seguir a un incidente.
4. No aplicar parches con regularidad: Si no aplicas parches, expones tus sistemas en la nube a la explotación de vulnerabilidades. Esto, a su vez, podría dar lugar a infecciones de malware, fugas de datos y mucho más. La gestión de parches es una de las mejores prácticas de seguridad que es tan importante en la nube como en demás sistemas.
5. Desconfiguración de la nube: Los proveedores de servicios en la nube son un grupo innovador, pero el enorme volumen de nuevas funciones y capacidades que lanzan en respuesta a los comentarios de los clientes puede acabar creando un entorno en la nube increíblemente complejo para muchas pymes. Esto hace que sea mucho más difícil saber qué configuración es la más segura. Los errores más comunes son configurar el almacenamiento en la nube para que cualquier tercero pueda acceder a él y no bloquear los puertos abiertos.
6. No supervisar el tráfico de la nube: La detección y respuesta rápidas son críticas si se quieren detectar las señales a tiempo, para contener un ataque antes de que tenga la oportunidad de afectar a la organización. Esto hace que la supervisión continua sea imprescindible. Vale la pena pensar que no se trata de “si” el entorno de nube será vulnerado, sino de “cuándo”.
7. No cifrar las joyas de la corona de la empresa: Ningún entorno es 100% a prueba de brechas. Entonces, ¿qué ocurre si un malintencionado consigue acceder a sus datos internos más sensibles o a información personal de empleados/clientes altamente regulada? Si los encripta en reposo y en tránsito, se asegurará de que no puedan utilizarse, incluso si se obtienen.

Qué aconsejan los expertos

Desde ESET aseguran que el primer paso para abordar estos riesgos de seguridad en la nube es comprender cuáles son las responsabilidades y de qué áreas se encargará el proveedor. Se trata de decidir si confiar en los controles de seguridad nativos de la nube o si es preferible mejorarlos con productos adicionales de terceros. Por eso, aconsejan lo siguiente:

• Invertir en soluciones de seguridad de terceros para mejorar la seguridad en la nube y la protección de las aplicaciones de correo electrónico, almacenamiento y colaboración, además de las funciones de seguridad integradas en los servicios en la nube que ofrecen los principales proveedores de servicios en la nube del mundo
• Añadir herramientas de detección y respuesta ampliadas o gestionadas (XDR/MDR) para impulsar una respuesta rápida ante incidentes y la contención/remediación de infracciones
• Desarrollar e implantar un programa continuo de aplicación de parches basado en el riesgo y basado en una sólida gestión de activos (es decir, saber qué activos en la nube se tienen y asegurarse de que están siempre actualizados)
• Cifrar los datos en reposo (a nivel de base de datos) y en tránsito para garantizar su protección. Esto también requerirá una detección y clasificación de datos eficaz y continua
• Definir una política clara de control de acceso; exigir contraseñas seguras, MFA, principios de mínimo privilegio y restricciones basadas en IP/listas de acceso permitido para IP específicas
• Considerar la adopción de un enfoque de confianza cero, que incorporará muchos de los elementos anteriores (MFA, XDR, cifrado) junto con la segmentación de la red y otros controles

“Muchas de las medidas anteriores son las mismas mejores prácticas que uno esperaría desplegar también en los sistemas in situ, con algunos detalles que serán diferentes. Lo más importante es recordar que la seguridad en la nube no es solo responsabilidad del proveedor y que se debe tomar el control para prevenir los riesgos cibernéticos”, concluye Gutiérrez Amaya de ESET.

Para conocer más sobre seguridad informática usted puede visitar el portal de ESET: https://www.welivesecurity.com/es/

Le puede interesar igualmente: Acción preventiva; tener múltiples respaldos de sus datos debe ser prioridad para las empresas

DOBLE LLAVE

Con información e imagen referencial suministrada por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en Twitter e Instagram puedes conocer

“Marketplace se convirtió en una de las plataformas preferidas para las compras y ventas online. Y, como sucede en tantos otros casos, cuando hay algo que llama la atención y es usado masivamente también atrae a los ciberdelincuentes. Es por esta razón que cada vez son más las estafas y engaños que circulan en esta plataforma”, señala Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Las estafas más comunes

– Artículos defectuosos: puede suceder que un vendedor publique un producto con fotos que lo presentan en perfectas condiciones, pero que una vez entregado en realidad esté roto. Esto es particularmente complicado cuando se compran artículos electrónicos, porque por lo general no se pueden evaluar todas sus funciones antes de la compra. Lamentablemente, existen posibilidades de que esto suceda, ya sea por parte a un vendedor sin escrúpulos como por un estafador profesional.

– Artículos falsos: hay casos en los que el producto puede que sea una falsificación. La ropa de diseñador, los perfumes, las joyas y los cosméticos son blancos comunes de falsificación. Todos están buscando una buena oferta, pero cuando parecen demasiado buenas para ser verdad, por lo general se trata de un engaño.

– Estafas de Google Voice: Marketplace también es aprovechado para realizar fraudes en otras plataformas. Un engaño muy común es intentar robar cuentas de Google Voice o crearlas con el número de teléfono de la víctima. Los estafadores se contactan con un vendedor por el supuesto interés en un artículo para intentar llevar la conversación a una plataforma no monitoreada, como puede ser WhatsApp. Allí le solicitan que comparta un código que le enviarán a su teléfono para verificar que es una persona legítima. Ese código es el de la verificación en dos pasos (2FA) de Google Voice, que una vez en poder de los estafadores pueden crear una cuenta asociada a ese número de teléfono.

– Sobrepago: el estafador se hace pasar por un comprador y reclama a un vendedor que pagó demás por un artículo que compró. Enviará una captura de pantalla donde muestra la supuesta transacción por la compra y solicitará que reintegren la diferencia. Obviamente, en ningún momento se realizó un pago y si el vendedor cayó en la trampa habrá perdido el dinero sin posibilidad de reembolso.

– Compra que nunca llega: otro engaño consiste en vender un artículo, cobrar el dinero pero no entregarlo al comprador. Esto solo se aplica a los artículos enviados desde fuera del área local del comprador.

– Phishing y falsos sorteos: una forma de obtener información de las víctimas es enviar correos de phishing con supuestas ofertas y sorteos en la plataforma. La víctima, desprevenida, hará clic en el enlace y completará un formulario con información personal creyendo que así estará participando por artículos de lujo  u otras ofertas especiales. Por supuesto, los estafadores solo quieren información personal para cometer fraude de suplantación o robo de identidad.

– Estafa de los seguros: quienes venden artículos muy costosos en Facebook Marketplace pueden ser contactados por estafadores que se hacen pasar por compradores dispuestos a pagar el costo por el envío del artículo, y hasta envían una factura falsa como prueba. Solo hay un problema: piden que el vendedor pague un pequeño cargo por un supuesto seguro, que generalmente es un monto pequeño en comparación con el precio del artículo, lo que persuade al vendedor de aceptarlo.

– Ofertas engañosas: los estafadores anuncian un producto de alta calidad a un precio tentador, pero en el momento que una persona cree haber sido beneficiada le avisan que el producto ya no está disponible, aunque nunca lo haya estado, y le ofrecerán al comprador un artículo similar por un precio mucho más elevado o una alternativa inferior.

Cómo detectar dichas estafas

Al igual que en otras modalidades de engaños en línea, la clave es mantenerse escépticos y en alerta. Para ello, ESET comparte 10 consejos muy útiles a la hora de navegar y/o comprar por Facebook Marketplace

– Inspeccionar los artículos antes, y comprar solo a vendedores locales.

– Establecer como punto de encuentro un lugar público, bien iluminado y en lo posible durante el día.

– Revisar los perfiles de compradores/vendedores para conocer las calificaciones y mantenerse alerta si los perfiles se han creado recientemente.

– Verificar el precio de mercado de los artículos y, si hay una diferencia significativa entre este y el precio de venta, estarse atento al hecho de que puede ser falsificado, robado, defectuoso, etc.

– Tener cuidado con las ofertas y obsequios, y nunca ingresar datos personales para acceder a ellos.

– Solo usar métodos de pago confiables a través de Facebook Messenger (PayPal, Facebook Checkout), ya que ofrecen una forma de disputar un pago. Los estafadores suelen solicitar tarjetas de regalo (gift cards) así como transferencias bancarias y pagos a través de diferentes servicios.

– Mantener la conversación en Facebook: a los estafadores les gusta mudar la charla a otra plataforma donde resulta más fácil estafar a las personas, porque allí no habrá nada que respalde a la víctima.

– En caso de ser vendedor, nunca enviar artículos antes de que se haya realizado el pago.

– Cuidado con los cambios en el precio de cotización.

– No enviar códigos de verificación (2FA) a posibles compradores.

– Si sucede lo peor y hay sospechas de que se es víctima de un fraude, se debe denunciar al vendedor y reportarlo de inmediato en Facebook Marketplace.

Estar prevenidos y adoptar buenas prácticas

“Por todo lo mencionado anteriormente es necesario adoptar buenas prácticas de seguridad, prestar atención a los indicios de que una oferta puede tratarse de una estafa, e informarse sobre las metodologías que utilizan los cibercriminales para perpetrar sus ataques. Así, es posible que los usuarios eviten comprarse un problema”, concluye Gutiérrez Amaya, de ESET Latinoamérica.

De interés: Acción preventiva; tener múltiples respaldos de sus datos debe ser prioridad para las empresas

DOBLE LLAVE

Con información e imagen suministrada por ESET Latinoamérica y Comstat Rowland Comunicaciones Estratégicas Integrales

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en Twitter e Instagram puedes conocer