Cuando el Clickbait le abre las puertas a los atacantes

En el primer semestre de 2022 en Colombia, hubo un registro de más de 20.500 crímenes cibernéticos de acuerdo con cifras de la Fiscalía General de la Nación. 

Algo tan simple como dar un clic puede generar repercusiones desastrosas para una identidad, cuenta bancaria y negocio. Los enlaces maliciosos suelen aparecer en un correo electrónico, mensajes de texto, sitios web o aplicaciones y tan solo con ingresar al link puede tomar semanas, meses o incluso años para recuperarse, si es que es posible hacerlo. 

En la actualidad en internet se utiliza un sinnúmero de técnicas para atraer usuarios y generar delitos informáticos. Uno de los más comunes es el llamado clickbait o clickbating, que tiene como objetivo, conseguir visitas a webs para aumentar los ingresos publicitarios y apela a la curiosidad del usuario que acabará haciendo clic en el titular, porque le generará tanta curiosidad que no podrá evitarlo, razón por la que también se ha hecho popular en el entorno de los ciberdelitos. 

¿Cómo identificar un enlace malicioso?

Para el usuario final, determinar si el correo electrónico es malicioso (enlaces o archivos adjuntos) puede ser complicado, pero hay algunas prácticas básicas que cualquiera puede aplicar para detectar las trampas. He aquí cuatro recomendaciones de los expertos en ciberseguridad de BeyondTrust.

1. Esté atento a los errores y a la extraña presentación, construcción o formato del correo electrónico, incluyendo faltas de ortografía, errores tipográficos, mala gramática o nombres de enlaces o archivos sospechosos.
2. Pruebe o valide la identidad del remitente. Si recibe un correo electrónico o un mensaje sospechoso de una fuente aparentemente legítima, puede intentar ponerse en contacto con ellos a través de un canal de comunicación alternativo, como una llamada telefónica. 
3. Preste atención a sus emociones. Si el mensaje le provoca una respuesta curiosa, temerosa o negativa, considere su respuesta emocional como una bandera roja.
4. Desconfíe de dar información de forma voluntaria: incluso datos básicos como su dirección de correo electrónico o su número de teléfono pueden hacerle vulnerable. 

¿Por qué es tan fácil caer en estafas de clickbait?

Los ciberdelincuentes buscan encontrar el camino más fácil para comprometer su identidad o penetrar en la red de su empresa. Los enlaces maliciosos son las llaves del reino para ellos. Con ello, las acciones más probables de los atacantes son:

1. Sabotaje: difundir infecciones de malware, etc. para interrumpir o corromper los datos, causando daños o inconvenientes a usted o a su empresa (esto puede ser perjudicial para una organización).

2. Robo: atraer a un usuario desprevenido para que exponga objetos de valor, como datos, identidades o dinero, para concederle un punto de acceso a sistemas restringidos o a través del cual pueda moverse para acceder a información.

Los ataques pueden producirse en línea, en persona y a través de otras interacciones en prácticamente cualquier dispositivo electrónico utilizado para las comunicaciones. Esto lo convierte en un modelo comercial lucrativo para los actores de amenazas. Las unidades del crimen organizado operan como “negocios” en geolocalizaciones que están fuera de las jurisdicciones de aplicación de la ley. Se dirigen a gobiernos, personas y organizaciones extranjeras con ransomware, chantaje, extorsión y otros esquemas tortuosos. 

Todo esto se debe a que un pequeño enlace aparentemente inocuo puede lograr mucho para el actor de la amenaza. Esto se denomina ingeniería social y utiliza un sinfín de rasgos para incitarlo a hacer clic. En el ámbito de la seguridad de la información, la ingeniería social también se conoce como «hacking humano», ya que consiste en manipular psicológicamente a las personas para que realicen acciones o divulguen información confidencial y, a continuación, explotar el error para obtener un acceso inapropiado a información privada, activos u otros recursos de valor.

¿Cuál es la mejor defensa contra una URL maliciosa?

Una buena limpieza de ciberseguridad puede salvaguardarlo cuando la educación preventiva, la formación y la identificación fallan. Esta minimiza el riesgo de incidentes de seguridad, el compromiso y la pérdida de datos, las interrupciones operativas y el tiempo de inactividad, las pérdidas financieras y las multas gubernamentales, el daño a la reputación y los riesgos de responsabilidad legal.

Saber identificar y evitar (o mejor aún, denunciar) un enlace malicioso es una estrategia preventiva importante. Tanto si el correo electrónico o el sitio web parecen reales como si no provocan nuestra respuesta de «lucha o huida», nunca estamos seguros al 100% de nuestra capacidad para detectar un enlace malicioso.