Una persona recibe un correo de un amigo de la infancia recordando viejos tiempos y pidiendo ayuda financiera urgente. Otro un mensaje de voz por WhatsApp de su jefe pidiéndole información sensible del funcionamiento de la empresa. En ambos casos los interlocutores no son las personas que pensamos, sino cibercriminales que han abandonado los clásicos correos phishing o suplatanción de identidad para urdir sofisticadas simulaciones de nuestros conocidos para engaños.
Un proceso en el que nosotros mismos hemos contribuido, ya que la información que nosotros hemos compartido voluntariamente en Internet, una fotografía de nuestras vacaciones, información sobre nuestro nuevo trabajo o un video para saludar a alguien por su cumpleaños, puede ser una herramienta de los ciberdelincuentes para construir un complejo perfil de su blanco y utilizarlo posteriormente en una estafa mediante la técnica de la recopilación de inteligencia de fuentes abiertas (Open-source intelligence u OSINT, por sus siglas en inglés).
El uso de OSINT no es un fenómeno nuevo y la recopilación de inteligencia a partir de fuentes abiertas existe desde antes de la aparición de la World Wide Web en 1989, siendo utilizada durante décadas en ámbitos militares y de investigación. Sin embargo, los avances tecnológicos actuales han ‘democratizado’ el uso de esta técnica para que sus blancos no tengan que ser personas de alto perfil, sino ciudadanos comunes como tú y yo.
“Antes del internet, por ejemplo, una persona podía revisar periódicos y encontrar información en noticias o avisos para establecer relaciones entre individuos. Con Internet y las redes sociales, la cantidad de información disponible aumentó enormemente”, señaló en conversación con El Comercio Rodrigo Álvarez, Security Awareness Specialist en ESET para Latinoamérica.
El especialista señaló que la IA cambió el panorama completamente “Muchas de esas tareas pueden automatizarse, especialmente la recolección y el cruce de información de distintas fuentes. Incluso existen herramientas específicas de OSINT que utilizan inteligencia artificial para facilitar ese trabajo”, agregó. “Por eso, una actividad que anteriormente podía requerir conocimientos especializados y mucho tiempo ahora puede hacerse de manera mucho más rápida y accesible.”
Uno de los factores más peligrosos de este tipo de ataques es que no necesita vulnerar una computadora para iniciar, ya que utiliza información libremente compartida en la Web. Adicionalmente, el uso de herramientas como los grandes modelos de lenguaje les permiten ayudar a masificar su número de víctimas sin necesidad de perder aquel toque ‘personal’.
Para ilustrar cómo podría ser un ataque de OSINT, Álvarez planteó el caso de una persona que dirige una pequeña o mediana empresa y que, por motivos laborales, tiene una importante presencia pública en Internet.
El delincuente puede comenzar por LinkedIn para averiguar dónde trabaja, cuál es su cargo, quiénes son sus superiores o qué personas trabajan bajo su dirección. Después puede revisar Instagram para conocer al propietario de la empresa, sus actividades, los lugares que visita o incluso sus viajes recientes. Las fotografías y videos pueden aportar todavía más información, con una publicación en Instagram revelando una ubicación, una rutina o las personas con las que alguien se relaciona. Si además contiene la voz de la víctima, esa grabación podría utilizarse para generar una imitación mediante inteligencia artificial.
Con todos esos datos, el atacante puede construir una historia. Por ejemplo, un viernes por la tarde, un empleado recibe un mensaje de WhatsApp aparentemente enviado por su jefe. La voz es reconocible, suena como él, porque ha sido clonada. El supuesto jefe asegura encontrarse en un aeropuerto y afirma que necesita realizar urgentemente un pago a un nuevo proveedor, por lo que envía los datos de una cuenta bancaria y solicita que la transferencia se haga cuanto antes.
La operación puede reforzarse con un correo electrónico cuyo dominio es casi idéntico al de la empresa, solo que con una vaga diferencia. Un “0” en lugar de “o” o un guión sospechoso, lo suficiente para pasar desapercibida de una persona que está apurada para atender una emergencia.
“Lo que el delincuente necesitó fue nada que no estuviese público. O sea, ni una contraseña”, explica Álvarez.
Ni siquiera tiene que tratarse de una estafa tan elaborada y este tipo de ataques pueden también tomar la forma de la llamada de un mensaje por WhatsApp de un supuesto familiar que cambió de número o una falsa llamada de un banco que conoce datos personales de la víctima o un mensaje de un superior que solicita accesos a sistemas sensibles de la empresa.
Fuera de vivir en una cueva remota, el mundo moderno nos exige utilizar Internet y, en algunos casos, incluso las redes sociales. Sin embargo, si hay algo que podemos controlar es la cantidad de información que dejamos expuesta.
Y esto se comienza con los fundamentos, señaló Álvarez, quien recomienda que debemos controlar quiénes pueden acceder a nuestras redes sociales, ya que los perfiles públicos permiten que desconocidos accedan a fotografías, videos, contactos y publicaciones que pueden servir para elaborar un perfil de la víctima.
También conviene revisar qué aparece detrás de cada fotografía antes de publicarla, ya que una imagen aparentemente inocente puede revelar la dirección de una casa, una matrícula, una credencial laboral o algún otro dato sensible. En particular, Álvarez recomienda evitar publicar fotografías de documentos, tarjetas, pasajes de avión, credenciales laborales o vehículos sin ocultar previamente la información identificatoria.
Por último, aconsejó nunca revelar información sobre nuestros horarios o nuestras vacaciones, ya que puede resultar información útil no solo para los ciberdelincuentes, sino para los delincuentes regulares que una casa puede estar vacía.
En materia de seguridad de las cuentas, las recomendaciones son igualmente importantes:
- Activar la autenticación multifactor (MFA) en correo electrónico, redes sociales, aplicaciones bancarias y otros servicios importantes.
- Utilizar contraseñas largas, robustas y diferentes para cada servicio. Un gestor de contraseñas puede ayudar a administrarlas.
- No aceptar solicitudes de amistad o seguimiento de desconocidos. En caso de duda, contactar a la persona por otro canal.
- Nunca compartir códigos de verificación recibidos por SMS, WhatsApp u otras plataformas. Un atacante puede utilizarlos para tomar el control de una cuenta.
- En empresas, no aprobar transferencias o cambios de cuentas bancarias mediante un único canal. Si una solicitud llega por WhatsApp, por ejemplo, debe confirmarse mediante una llamada u otro mecanismo independiente.
- En el ámbito familiar, establecer una palabra o pregunta secreta que permita comprobar la identidad de una persona cuando exista una llamada inesperada y urgente. La clave no debería ser un dato que pueda encontrarse fácilmente en redes sociales.
Por más que uno tome precauciones en adelante, uno no puede borrar el pasado, más aún en la Web donde toda la información parece mantenerse a perpetuidad.
“No podemos borrar todo lo que hemos subido a Internet. Una vez publicado, perdemos parte del control sobre ese contenido porque puede haber sido copiado o republicado”, señaló Álvarez. “Lo que sí podemos hacer es reducir nuestra superficie de exposición.”
Una práctica que recomienda el experto es periódicamente buscarse a uno mismo en Internet utilizando diferentes motores de búsqueda, no como un ejercicio de vanidad, sino para revisar qué información aparece públicamente sobre nosotros, como si se tratara de un atacante.
Este proceso puede servir para localizar cuentas antiguas que ya no utilizamos y podemos cerrar, publicaciones olvidadas o información que convendría retirar de la web, algo que es posible en servicios como Google.
Una herramienta útil en esta tarea son páginas como Haveibeenpwned.com, que permite consultar si nuestro correo o números telefónicos han estado en una filtración de datos y tomar las medidas necesarias para evitar mayores vulnerabilidades.
La principal señal de que estamos ante un fraude es que están diseñados para causar una sensación de urgencia.
“Si un mensaje te empieza a acelerar el corazón y te empuja a actuar ya, esa es una bandera roja de que estamos siendo atacados”, afirmó Álvarez.
La solución, entonces, es tomar las cosas con calma para detenerse y verificar. Así, si un familiar que te pide dinero desesperadamente desde un número desconocido, llámalo de regreso al número que sí conoces. Si un supuesto jefe pide una transferencia por WhatsApp, contáctalo por teléfono para verificar la comunicación.
Otras recomendaciones son ya conocidas, como no hacer click sobre enlaces extraños o compartir códigos de verificación, contraseñas o datos bancarios con personas de cuya identidad sospeches (o, en general, con nadie). Pero quizás la recomendación más importante ocurre una vez que nos hemos dado que hemos caído en un fraude.
“Si finalmente hemos sido víctimas de una estafa, debemos denunciarlo”, aseveró el experto. “La vergüenza puede hacer que las personas oculten lo ocurrido, pero informar permite investigar el caso y ayudar a mitigar este tipo de riesgos.”
