El ‘correo basura’ ha dejado de ser inofensivo

Treinta años después del primer mensaje comercial no solicitado, los ‘hackers’ perfeccionan su técnica y abren la puerta a nuevos tipos de fraude a través de Internet. Los usuarios y las empresas pueden protegerse de estos peligros si tienen en cuenta unas cuantas pautas.

Algo está cambiando en el submundo de los piratas de Internet. El primer virus informático de la Historia nació hace veinte años para proteger los equipos de los contrabandistas. Hoy, la ciberdelincuencia, más allá de pretender demostrar las habilidades técnicas de los hackers, busca toda posibilidad de hacer dinero a través de la Red. Los delincuentes informáticos cuentan con máquinas capaces de detectar perfiles de personas y dominios web caducados, y de enviar miles de emails fraudulentos en unas pocas fracciones de segundo, así como de crear rápidamente nuevos modos de ataque que esquiven las medidas de control impuestas por las firmas de seguridad informática. En definitiva, los creadores de virus u otros programas espía, como los llamados troyanos y los gusanos, ya no buscan notoriedad infectando millones de ordenadores. Aspiran a lucrarse, poniendo su trabajo al servicio de cibercriminales, que compran datos confidenciales de las personas con fines comerciales e, incluso, fraudulentos. Y la mayor parte de estos peligros procede del email, en forma de spam. “Los ataques se han sofisticado y utilizan herramientas imprescindibles para el trabajo diario, tales como el email o la web”, explican desde Cisco. Precisamente, el spam parece ser una de las asignaturas pendientes del mundo de la seguridad informática. Treinta años después de la aparición del primer mensaje comercial no solicitado, tres de cada cuatro emails son, hoy, correos no solicitados. El primer paso: reconocerlo“Las empresas son conscientes de que el spam es un problema, sobre todo, por el malestar que provoca en las personas recibir gran cantidad de mensajes no deseados”, comenta Juan Ramón Fontán, gerente del departamento de Seguridad Informática de Ernst & Young. “Para las compañías, la frustración es doble, porque estos mensajes ocupan gran parte del ancho de banda, ralentizando las comunicaciones de sus empleados. Además, requieren de una gran capacidad de proceso y de almacenamiento de los emails, por no hablar de los riesgos procedentes de spam con, por ejemplo, phishing o algunos troyanos”, añade Fontán. Por su parte, fuentes de Panda Security recuerdan que “gran parte de la actividad del negocio se basa en recursos sustentados por las infraestructuras de correo”. El phishing consiste en el envío de correos electrónicos, que simulan venir de entidades bancarias, para obtener las claves de banca online del usuario. Mientras, los troyanos se cuelan en el ordenador para abrir puertas traseras, a través de las cuales controlan el sistema de forma remota. Esto puede servir para robar datos confidenciales (por ejemplo, códigos y claves bancarias), convertir el PC en un zombi (como se conoce en el argot técnico) generador de correo basura o realizar ataques contra otras máquinas. ¿Hasta qué punto es peligroso navegar por Internet sin la formación adecuada y sin un programa informático que filtre los archivos y mensajes no deseados? Algunos estudios afirman que un ordenador sin antivirus apenas tarda veinte minutos en contagiarse con cualquier tipo de amenaza informática, más o menos dañina o molesta. Mientras, el mensaje unánime, no sólo de los responsables de las compañías de productos de seguridad informática, sino también del personal técnico y demás expertos en la materia consultados, es que “los antivirus no garantizan que una persona o una empresa estén a salvo de las amenazas del ciberespacio”. Qué hacer“Los programas informáticos de seguridad son muy útiles, pero no garantizan que una empresa esté a salvo. También son necesarios aparatos de vigilancia y sistemas de control de identidad y acceso”, comenta René Head, director general de Unisys en España. “Las soluciones puntuales no sirven de nada; tienen fecha de caducidad y crean problemas administrativos en la empresa”, añade Martín Carvallo, director general de Sophos Iberia.“Si nuestros usuarios recibían 5.000 mensajes de spam diarios, ahora, reciben 10.000 y, si bloqueamos el 99%, todavía les estarán llegando 100 mensajes, el doble que antes”, reconocen desde Panda Security.El mensaje es único también en lo que se refiere a las brechas por las que estos acceden, y la necesidad de reforzar la concienciación y el conocimiento de la sociedad en este ámbito. “El fraude online y, en general, en Internet, se basa en la credulidad y en la falta de experiencia de algunos internautas”, asegura Fontán.Por ese motivo, más allá de instalar un programa antivirus, las empresas optan por cortar el problema de raíz, con una serie de filtros en la propia red, algo que ofrecen compañías como Cisco o la española Satec. Otro paso fundamental es reducir al enemigo interno. “Antes de mirar a China (principal emisor de mensajes de phishing), habría que mirar a los propios empleados de la compañía”, indica Carvallo. Esta necesidad queda plasmada en un reciente estudio elaborado por Deloitte, que concluye que “el mayor peligro de las empresas, a veces, está en los empleados” y que “los riesgos y la seguridad constituyen una cuestión más relacionada con los sectores empresariales que con los países”. “Las grandes firmas tienen problemas para manejar toda su información y para controlar quién accede y manipula los datos”, advierte Head. Y añade: “No se trata únicamente de mantener a las personas adecuadas dentro una empresa, sino de alejar a las erróneas”. Tampoco hay que olvidar que el email no es la única fuente de estos peligros. “En el pasado, los usuarios tenían que visitar intencionalmente sitios maliciosos o pulsar clic en archivos adjuntos de correo electrónico para ser víctimas de las amenazas a la seguridad. Hoy, los hackers atacan páginas web legítimas (aunque sea durante unos pocos minutos), que usan como medio de distribución para entrar en los ordenadores empresariales y del hogar”, advierten fuentes de Symantec. Aunque la seguridad total en Internet no existe, los expertos coinciden en la importancia de informar al usuario sobre cómo evitar caer en la estafa. Paralelamente, las fuerzas de seguridad cuentan con cuerpos específicos que persiguen estas redes de cibercriminales.Una forma común de spam son los bulos y las cartas en cadena. Los primeros consisten en mensajes que advierten sobre virus imposibles de batir, escándalos de algún famoso o alguna enfermedad incurable. La mayor parte de estos mensajes son inofensivos. Buscan que la gente los reenvíe y, como mucho, logran bloquear los servidores de alguna empresa. Desde Sophos, se recomienda que, por precaución, se evite reenviar este tipo de emails. Especial cuidado hay que tener con los correos que prometen un empleo sencillo y bien remunerado, desde casa. Este tipo de mensajes suele proceder de empresas ficticias ofrecen ofertas para trabajar cómodamente desde casa cobrando unos beneficios muy altos. EstafadosSin saberlo, la víctima, conocida como mulero, está blanqueando el dinero obtenido por medio del phishing. Una vez que contacta con los estafadores, tiene que facilitar los datos de su cuenta bancaria, donde recibe un ingreso que procede del dinero estafado a una víctima del phishing. El mulero recibe instrucciones para que se quede con un porcentaje de ese ingreso, mientras que el resto debe enviarlo al destino que le indiquen utilizando un servicio de envío de remesas. Sin saberlo, la víctima está implicada en una estafa y puede tener problemas legales.