Trampas en Internet

• Amenazas clásicas en mensajes de correo
• Phishing
• ¿A quién le gusta blanquear dinero?
• Scareware
• Cuidado al comprar: el peligro de las suscripciones ocultas
• Fraudes en redes sociales
• Twitter – el peligro de las URLs abreviadas
• Películas, juegos, música… y programas maliciosos
• Conclusión

Introducción

Todos, a muy temprana edad, aprendemos a analizar, ya sea de manera consciente o inconsciente, el lenguaje corporal y la entonación de los demás. Algunos estudios muestran que durante más del 60% de nuestro tiempo prestamos más atención al lenguaje corporal de una persona que a lo que en realidad dice, y usamos esa información para sacar conclusiones sobre lo sincera que es esa persona. Estas conclusiones son vitales para evitar ser víctimas de estafadores, timadores o de cualquiera que trate de manipularnos. Pero el fraude no es sólo una amenaza en la vida real, sino que los engaños virtuales son cada vez más frecuentes en Internet desde hace ya algún tiempo. Esto significa que necesitamos un nuevo enfoque para evaluar las posibles amenazas; los correos electrónicos o las redes sociales no ofrecen lenguaje corporal ni entonación, y, por lo general, sólo contamos con textos e imágenes como único referente. ¿Significa esto que ya no podemos confiar en nuestro instinto básico?

Podría ser el caso. Sin embargo, Internet sí ofrece otros aspectos que podemos interpretar y que nos ayudan a compensar nuestro instinto básico, que parece menguar cuando navegamos por la Red. Para que esto funcione, necesitamos aprender con qué debemos tener cuidado. Es muy poco probable que los ciberdelincuentes y los estafadores redescubran la pólvora, así que una vez que reconocemos una estafa o amenaza, y asimilamos que se trata de eso, podemos usar esta información para estar prevenidos en el futuro. Por ello, este artículo describe algunos ejemplos típicos y explica cómo protegernos de estas amenazas. El artículo está dirigido principalmente a usuarios de Internet sin experiencia, aunque esperamos que los ejemplos descritos puedan también servir a los expertos, de una manera u otra.

Amenazas clásicas en mensajes de correo

Una de las primeras cosas que hará un usuario nuevo de Internet es, probablemente, abrir una cuenta de correo. No sólo para comunicarse con su familia y sus amigos, sino para hacer compras online o participar en foros y redes sociales.

Por desgracia, al igual que su bandeja de entrada de correo puede acabar abarrotada con mensajes publicitarios, también puede verse desbordada con mensajes no deseados. Hasta un 80 por ciento de todos los mensajes de correo enviados son clasificados como spam: mensajes que nunca se solicitaron y que ofrecen préstamos a bajo interés, Viagra con descuentos, así como una amplia gama de productos y servicios. Estas ofertas de ninguna manera son legítimas, y a menudo los mensajes contienen vínculos a sitios web infectados con virus, troyanos y otros programas maliciosos. Estos mensajes deben ser eliminados sin leerlos para que no dañen el equipo; de esta forma, lo único que perderá el usuario será unos instantes mientras los elimina.

Es fácil decir que se elimine estos mensajes, pero a veces parecen muy tentadores para borrarlos. Los ciberdelincuentes son inteligentes: están más activos durante fiestas importantes como Navidad, Semana Santa, y, por supuesto, San Valentín. En particular, esta última fiesta es una mina de oro para los cibercriminales, ya que tradicionalmente se trata del día en que uno admite sus sentimientos por otra persona sin avergonzarse por ello, incluso si apenas se conoce a esa persona. Así que si recibe un mensaje en san Valentín con el asunto “Te amo”, ¿lo abriría?

Los ciberdelincuentes se aprovechan no sólo de las fiestas y los temas candentes. A menudo se describe Internet como lo máximo entre los medios de entretenimiento, y existen muchos sitios dedicados exclusivamente a artículos, imágenes y vídeos de este género. A todos nos gusta divertirnos, y los cibercriminales se aprovechan de ello, enviando mensajes con asuntos intrigantes como “Mira este video divertido” o “Fotos divertidas”. Pero se debe resistir la tentación de abrir el archivo adjunto al mensaje. Existe un 99,99 por ciento de probabilidad de que este archivo contenga programas que dañen la información guardada en su equipo, de que espíen sus actividades online o que de alguna manera intenten estafarle. En su artículo titulado “Evolución del spam: Junio de 2009”, mi colega Tatyana Kulikova sostiene que el 0,31 por ciento de todos los mensajes enviados por Internet en Rusia contienen adjuntos maliciosos. Puede que este porcentaje no parezca particularmente elevado, pero dado el hecho de que se envían a diario 500.000 tipos de spam, el número total de mensajes resulta bastante alto, especialmente si se considera que un mensaje spam se envía a millones de direcciones de correo.

Phishing

Quizás una de las formas más conocidas de fraude es el phishing. Usted recibe un mensaje en el que se le pide visitar un sitio (el vínculo aparece en el mensaje) e introducir algunos datos personales, como contraseñas, número de cuentas bancarias, etc. El mensaje puede tener toda la apariencia de ser un envío legítimo de su banco, de eBay, de un sistema de pago como PayPal, etc. Sin embargo, no importa lo convincentes que parezcan, son falsos; si activa el vínculo e ingresa la información que le piden, los cibercriminales accederán a sus datos y los usarán para sus propios fines.

Muchos bancos implementan medidas adicionales de seguridad para neutralizar estos intentos de robar información personal (phishing), lo que significa que el número de mensajes phishing dirigidos a los bancos más conocidos está decreciendo. Sin embargo, esto no significa que este tipo de fraude ya no se use más, sino sólo que se ha modificado para responder a las nuevas circunstancias.

Los mensajes phishing constituyen un fenómeno internacional: un texto básico se traduce a varios idiomas y se diseña un mensaje para imitar la apariencia y autenticidad de un banco o institución financiera conocidos. El mayor esfuerzo está dedicado al diseño del mensaje, y los logotipos y colores usados a menudo son difíciles de distinguir de los auténticos. Por otra parte, es posible que el texto aparezca confuso con errores gramaticales o de ortografía: una bandera roja instantánea. Además, los mensajes que empiezan con “Estimado cliente” en vez de usar su nombre real constituyen una alarma sonora de un intento de phishing; hoy en día, cuando se pueden personalizar hasta los boletines de noticias, una comunicación legítima no puede permitirse omitir su nombre. Y, por último, los bancos legítimos nunca solicitan números PIN, contraseñas u otra información confidencial, y menos aún por correo electrónico.

Como se mencionó anteriormente, no sólo los bancos son blanco de los ataques de phishing. Recientemente, un gran número de mensajes phishing vienen diseñados para recolectar datos de cuentas de sistemas de pago online, como PayPal o de sitios de subastas como eBay. Los mensajes phishing constituyen un 0,94 por ciento de todos los mensajes spam, y un increíble 60 por ciento de estos mensajes están dirigidos a PayPal. Los mensajes phishing de este tipo a menudo amenazan al usuario con cerrar su cuenta alegando que éste dejó de usarla. Para mantener su cuenta, dicen estos mensajes, el usuario debe acceder a la página y, por supuesto, el mensaje incluye un vínculo para ello. Cuando se activa el vínculo, el usuario se encuentra en una página que se parece mucho al sitio legítimo, y se le pide que ingrese su nombre de usuario y su contraseña. Por más real que parezca, este sitio web es falso. Nunca se debe activar los vínculos que vienen en mensajes que llevan a un sitio web y que piden que se introduzca información confidencial. Para evitar esto, utilice los marcadores que hay en su navegador o escriba usted mismo la dirección. Incluso aunque el vínculo parezca legítimo, JavaScript puede abrir en segundo plano una dirección completamente diferente a la que se muestra.

 
Figura 1: ¿Casi mejor que el auténtico? Un sitio phishing eBay

Si tiene dudas sobre la autenticidad de un mensaje, llame a la empresa en cuestión o envíeles un mensaje preguntando sobre la validez del mensaje que recibió. Pero, si decide ponerse en contacto con la empresa en cuestión por correo, evite por todos los medios hacerlo respondiendo al mensaje dudoso. Busque en el sitio web de la empresa una dirección de contacto y úsela. De esta manera se asegurará de que su consulta llegue a la empresa misma y no a una dirección de respuesta inválida implementada por los timadores.

¿A quién le gusta blanquear dinero?

En el clima económico actual, muchos de nosotros estamos buscando trabajo y cualquier oferta siempre es bien recibida. Suponga que recibe una oferta de trabajo a través de un mensaje de correo electrónico con la promesa de un trabajo bien pagado que le permite trabajar desde su casa y que requiere un mínimo de tiempo y de esfuerzo. Incluso si ya tiene un buen trabajo, la idea de ganar unos 1.500 o 2.000 euros extras cada mes es muy atractiva. ¿Y qué es lo que debe hacer? Simplemente recibir sumas de dinero desde una cuenta A y transferirlas a una cuenta B vía Western Union, recibiendo por ello cierto porcentaje como comisión.

Por desgracia, si algo parece demasiado bueno, es sólo eso, una apariencia. Las sumas que se le pide transferir provienen de phishing u otras estafas; su papel es asegurarse de que el dinero llegue a la cuenta de los estafadores y ciberdelincuentes a través de una ruta compleja. Esto permite que no sea fácil rastrear a los ciberdelincuentes, pero la transacción que usted realice será muy obvia. Al realizar estas transacciones se convertirá en lo que se conoce como una mula de dinero, y será culpable del blanqueado de dinero o acusado de complicidad con una actividad delictiva. Si llega a ser detenido, podría enfrentarse, como mínimo, a altas multas. Una vez más, la mejor manera de tratar estos mensajes es simplemente eliminarlos, a pesar de lo tentadora que suene la oferta.

Scareware

Imagínese lo siguiente: está navegando por Internet en busca de una nueva imagen de fondo para su pantalla. De pronto aparece un mensaje diciéndole que su equipo está infectado con 527 troyanos, virus y gusanos. Esto le parecerá extraño pues su equipo cuenta con una solución de seguridad y ésta no le avisado sobre ninguna infección o amenaza. ¿Es que no está funcionando bien?

Una vez superada esta sorpresa inicial, observe el mensaje con mayor detenimiento. Dice que puede descargar un nuevo programa antivirus que resolverá su problema. Y, lo mejor de todo, ¡este programa es gratuito! Aliviado, decide aprovechar la oferta, descarga el programa y lo instala. Después ejecuta el análisis antivirus manualmente sólo para enterarse de que ahora el nuevo software identificó aun más infecciones, y esta vez le aparece un nuevo mensaje: sólo es posible eliminar los programas maliciosos con la versión de pago del producto. Un rápido vistazo al sitio web revela que los precios están entre 30 y 80 euros. Ya que la solución de seguridad que inicialmente tenía instalada parece haberle decepcionado, concentra sus esperanzas en la nueva “solución milagrosa”, la compra, y pulsa “Desinfectar”. Todas las amenazas parecen haberse eliminado con rapidez… ¿Será así?

Esta es una estafa que está teniendo mucho éxito y que juega con el miedo de que su equipo esté seriamente infectado. El enfoque de los programas que producen miedo (scareware) puede variar. La estrategia más común consiste en que mientras se navega por Internet, aparece una ventana emergente que simula estar ejecutando un análisis antivirus en su disco duro. Después muestra un número aleatorio de infecciones virales. Una estrategia menos conocida es la del “drive-by-download”: mientras se visita un sitio web infectado una parte de un programa malicioso se descarga en su equipo. En el caso del scareware, este software suele desplegar mensajes informándole de que su equipo está infectado. Incluso la imagen de fondo de su pantalla puede cambiar para recordarle las infecciones que, hay que recordar, no existen en realidad. Cambiar esta nueva imagen de fondo a la imagen original es una tarea complicada; la opción para hacerlo ha sido eliminada del menú de configuración, y aunque hay otras maneras de hacerlo, requieren conocimientos técnicos que muchos usuarios desconocen. Por esta razón, la que parecía ser la “solución milagrosa” acabó siendo un software que no aportó ningún beneficio al usuario.

 
Figura 2: Scareware

Sin embargo, el scareware sí es beneficioso para los cibercriminales: ganan dinero vendiendo licencias para estos falsos programas de seguridad. Además, estos falsos programas antivirus a menudo incluyen programas claramente maliciosos que se usan para poder acceder a su equipo, robar su información personal (que luego revenden) o transformar su ordenador en un equipo zombi utilizado para enviar grandes volúmenes de correo spam. Aunque este último caso no parezca tan lucrativo, los spammers, o creadores de mensajes spam, están dispuestos a pagar para adquirir o alquilar estos equipos y asegurarse de que sus mensajes se distribuyan masivamente, pues es sólo una forma más de ganar dinero en el mundo de la ciberdelincuencia.

El nombre scareware está muy justificado; se invierten muchos esfuerzos para asegurarse en primer lugar de que los mensajes sean convincentes, y en segundo lugar, para que estos programas parezcan genuinos. Asimismo, estos programas suelen tener nombres similares a los de aplicaciones de seguridad legítimas. Todo esto contribuye a darle al fraude una apariencia de respetabilidad capaz de engañar incluso a los usuarios expertos de Internet. ¿Qué debemos hacer entonces? Asegúrese de tener instalada una solución antivirus de confianza. Si comienza a recibir mensajes de este tipo, no se asuste, y por supuesto, no compre el software que le ofrecen. Utilice su solución antivirus instalada para realizar un análisis completo del sistema.

Cuidado al comprar: el peligro de las suscripciones ocultas

Hoy en día, los programas gratuitos están disponibles para casi cualquier propósito imaginable. Es posible encontrar todo lo que se busca: juegos, reproductores de sonido o vídeo, clientes de mensajería instantánea, etc., así como una variedad de lugares para adquirirlos. Supongamos que está buscando un software para su oficina, como un procesador de texto, hojas de cálculo, etc. Inicia su búsqueda y su motor de búsqueda le da como resultado una gran cantidad de opciones. La primera opción parece prometedora: un sitio web tiene lo que necesita, parece ser legítimo, así que accede a él sin pensarlo dos veces. Sin embargo, antes de que descargue lo que desea, el sitio le pide que se suscriba, para lo cual tiene que introducir su nombre y una dirección de correo válida. Aunque le parece que esto es un poco raro, sabe que existen portales de descargas en los que se suscribe para beneficiarse de la máxima velocidad de descarga. Un poco molesto, pero familiarizado con el proceso, puesto que está suscrito a varias tiendas en línea, redes sociales y foros, introduce los datos que se le piden en los respectivos campos. A continuación marca la casilla en la que indica estar de acuerdo con los términos y condiciones; no se toma la molestia de leerlos porque, piensa, después de todo, todos dicen lo mismo. Finalmente, se inicia la descarga del programa que solicitó.

Pero poco después recibe una sorpresa muy desagradable a través de un correo que le exige que pague 96 euros. Según los términos y condiciones, acaba de aceptar una suscripción de dos años. Si no paga, tendrá que enfrentarse a acciones legales.

 
Figura 3: Cuidado al comprar: suscripciones ocultas

Se estima que de un 10 a 20 por ciento de las víctimas sí pagan. Sin embargo, no se deje intimidar por este tipo de amenazas. (www.netzwelt.de/news) Este tipo de fraudes intentan sacar dinero recurriendo al miedo de la gente a la ley. Después de todo, usted es consciente de que no leyó los términos y condiciones. Si recibe un mensaje de este tipo, investigue un poco: busque casos similares en Internet, o llame a su abogado. Es posible que la amenaza no tenga sustento legal, o que sea sólo eso, una amenaza, porque los cibercriminales se contentan con conseguir dinero de ese 10 a 20 por ciento de víctimas dispuestas a pagar.

Fraudes en los sitios de redes sociales

Por lo general, los jóvenes son atraídos por redes sociales como Facebook o MySpace. A través de estos sitios el usuario puede mantenerse en contacto con amigos e intercambiar información. También existen redes sociales para usuarios de más edad, a través de los cuales se pueden establecer o mantener contactos de trabajo, o buscar a viejos amigos del colegio.

Cualquiera que sea el sitio que se use, siempre existen peligros. Supongamos que un amigo le pide ayuda, probablemente responderá que sí de inmediato. Ahora traslade esta misma situación al contexto de una red social. Un amigo le envía un mensaje diciéndole que está atascado, por ejemplo, en el aeropuerto de Heathrow, y que le han atracado. Ahora está sin dinero, sin tarjeta de crédito y sin su billete de avión, y le pide que le transfiera 400 dólares a través de Western Union para que pueda volver a casa. Usted puede dudar: ¿por qué enviar el dinero por Western Union? Su amigo insiste en que esa es la única manera en que puede recibir el dinero. Usted le pide que le llame, pero aparentemente los asaltantes también se llevaron su teléfono móvil. Sus sospechas se acrecientan: su amigo se está comportando de un amanera muy extraña, y usa palabras y frases que no utilizó antes. Quizás sea porque está en una situación tensa. Ya que le preocupa la situación de su amigo, y no quiere tener un problema de conciencia, accede a transferirle el dinero. Y después, no vuelve a saber más de él.

¿Qué es lo que ha pasado? Este tipo de fraude es actualmente muy común y muy efectivo porque no es muy conocido. La explicación es bastante simple: los cibercriminales lograron acceder a la cuenta de su amigo e intentan sacar dinero a todos sus contactos. Si usted es un usuario activo de las redes sociales, puede tener cientos de amigos, y no siempre sabrá quién es quién, lo que hace que la historia sea más creíble.

Sin embargo, también hay claras señales de que se trata de un fraude. Un europeo atascado en Londres no le pediría a otro europeo dinero en dólares. Lo mismo se aplica al lenguaje y a las frases usadas. Si usted recibe un mensaje así, asegúrese de contactar directamente con su amigo. Incluso si dice en su mensaje que le robaron su teléfono móvil, trate de llamarle. Se encontrará con la agradable sorpresa de que cuando le conteste desde su casa, no sólo podrá charlar con él, sino que también confirmará que el mensaje que recibió era falso.

Si desea proteger su cuenta de una red social y evitar que sea utilizada de esta manera, sólo tiene que seguir unas simples reglas. Una forma de proteger su cuenta tiene que ver con el método de reestablecer su contraseña. Cuando se inscribe a una red social, a menudo le dan la opción de responder a una “pregunta secreta”. Si olvida su contraseña, puede generar otra ingresando la respuesta a dicha pregunta. Por lo general, sólo puede escoger entre tres “preguntas secretas”, que son muy generales, por ejemplo, el nombre de su mascota, o el de su primer colegio. Si usted incluyó este tipo de información en su perfil o en su página, acceder a su cuenta será para los cibercriminales como un juego de niños.

Para proteger su cuenta de la manera más efectiva, recuerde que puede modificar tanto la pregunta como la respuesta en cualquier momento. Guarde con seguridad su nombre de usuario y su contraseña. Además, asegúrese de no ser víctima de los ataques phishing (arriba descritos) y utilice una solución antivirus actualizada: esto mantendrá su equipo libre de troyanos capaces de encontrar su contraseña y enviársela a los cibercriminales.

Twitter – el peligro de las URLs abreviadas

Desde 2006, Twitter ha experimentado un gran crecimiento. Más de 25 millones de usuarios quieren saber la respuesta al lema del sitio: “¿Qué estás haciendo?”. Twitter es una red social con una diferencia: su formato de micro-blogs limita los mensajes a 140 caracteres, lo que dificulta incluir URLs que consumirían un 50 por ciento de los caracteres disponibles. Y es aquí donde aparecen servicios de Internet poco conocidos: los que convierten largas y complicadas direcciones en una forma significativamente abreviada. Estos servicios de reducción de URLs tienen sus desventajas: resulta difícil determinar a dónde conduce una URL codificada y reducida, y esto significa que se compromete la transparencia.

Figura 4: Mensajes enviados automáticamente a través de Twitter,
incluyendo URLS reducidas

Los cibercriminales han aprovechado esta oportunidad y utilizan estos servicios para convertir direcciones reducidas que conducen a sitios web infectados. Estos mensajes pueden propagarse de manera automática, y juegan con noticias sensacionalistas, como la muerte de una celebridad (por ejemplo Michael Jackson). Cuando no existen noticias sensacionalistas, los cibercriminales inventan cualquier cosa, por ejemplo, la supuesta muerte de Britney Spears se propagó ampliamente en Twitter, aunque la artista estaba sana y salva.

Tales mensajes con vínculos a sitios infectados no son más que una versión avanzada de los fraudes por mensajes de correo, y lo único que buscan es aprovecharse de la curiosidad del usuario. Por desgracia, este tipo de ciberdelincuencia demuestra que no es posible confiar en las URLs abreviadas. Puede protegerse usando herramientas complementarias: por ejemplo, un popular plug-in para Firefox reconvierte una URL reducida a su formato original al posicionar el cursor del ratón sobre el vínculo. Esto le permite juzgar si el vínculo conduce a un sitio de confianza o no.

Películas, juegos, música… y programas maliciosos

Si es un usuario novato de Internet, las primeras cosas que le interesan pueden ser las películas, la música, los programas de televisión o los juegos. Aparte de los aspectos legales relacionados con la descarga de tales contenidos (extensamente detallados en otros textos), existen otros aspectos a considerar. Si está buscando este tipo de contenidos, puede pensar que las redes conocidas como peer-to-peer, o persona-a-persona, ofrecen el camino más corto. Entonces descarga un programa que le ayudará a acceder a la red y escoger lo que desea descargar. Aunque es posible que haya leído alguna vez que estos archivos pueden traer consigo un adjunto malicioso, simplemente lo pasa por alto. Sin embargo, al hacer esto, se está arriesgando.

Por ejemplo, los juegos disponibles para descarga a menudo contienen herramientas para violar la protección de las copias. Son hackers quienes proporcionan estas herramientas, ya sea porque creen que todos los contenidos deberían ser gratuitos, o porque desean impresionar a alguien. La descarga de archivos puede llevar un programa malicioso asociado; los cibercriminales saben que existe un gran mercado para los contenidos gratuitos y al camuflar sus programas maliciosos como archivos populares, aumentan el número de sus potenciales víctimas. Por ejemplo, un troyano bancario puede venir en forma de descarga de un juego, y aunque es poco frecuente que los jóvenes usen servicios bancarios online, el equipo en el que descargan el archivo puede pertenecer a sus padres, quienes suelen usar sus cuentas online. Por lo tanto, este enfoque mata dos (o más) pájaros de un solo tiro.

 
Figura 5: Herramientas rompe códigos en un sitio Bit Torent

La posibilidad de descargar programas maliciosos a través de las redes peer-to-peer es relativamente alta. Así que mientras la descarga ilegal de un juego o de una película puede ahorrarle el coste de la compra, la descarga de troyanos diseñados para robar los detalles de sus cuentas bancarias puede llegar a costarle mucho más, lo que pone en duda la pretendida ganancia inicial. No cabe duda de que la honestidad es la mejor política.

Conclusión

Los cibercriminales son muy creativos y adaptan sus fraudes constantemente a las nuevas tecnologías de Internet y a la evolución de las distintas aplicaciones. En su mayoría, se trata de conocidas estafas que se reciclan hacia nuevos medios. El mejor ejemplo de esto es el clásico mensaje spam que contiene un vínculo a un sitio web malicioso. Ahora ya muchos usuarios saben que no hay que activar el vínculo incluido en un mensaje que provenga de un remitente desconocido. Sin embargo, cuando su estrategia se adapta a los mensajes enviados a través de las redes sociales, el número de usuarios que activa el link aumenta de manera notable.

Hace pocos años, el diseño de un sitio web ponía en evidencia si se trataba de un sitio fraudulento: errores ortográficos, pobre diseño, etc. Pero ahora, los cibercriminales han logrado un alto grado de sofisticación en su trabajo. Si sospecha que es víctima de un fraude, utilice su navegador de Internet para conseguir más información, pues si se trata de una estafa, otras víctimas habrán escrito al respecto. Busque en los sitios sospechosos información de contacto y después verifíquela cruzándola con otras fuentes.

Por último, use el sentido común. Como hemos dicho líneas arriba, todo aquello que parezca demasiado bueno para ser cierto, quizás no lo sea. Si algo hace sonar la campana de alarma, obedezca a sus instintos en Internet. Una buena dosis de escepticismo le ayudará a protegerse contra los fraudes y estafas: una solución antivirus y un software actualizado se encargarán del resto.