Campaña de extorsión con el email como herramienta

Los ciberdelicuentes suplantan la identidad de la víctima y envían un mensaje desde la dirección del usuario haciéndole creer que se ha pirateado la cuenta.

ESET, el mayor fabricante de software de seguridad de la Unión Europea, ha alertado sobre una nueva campaña de extorsión llevada a cabo a través del correo electrónico que consiste en que la víctima recibe un mensaje procedente de su propia dirección informándole de que su cuenta ha sido pirateada.

"El uso de la extorsión por parte de los ciberdelincuentes no es una técnica nueva: al hallazgo de esta campaña que utiliza el correo electrónico como herramienta de ataque se une la que el pasado mes de julio descubrió el Laboratorio de ESET y que intentaba también estafar a los usuarios haciéndoles creer que habían conseguido acceder a la webcam del dispositivo y amenazándoles con la publicación de las grabaciones si no se realizaba un pago en bitcoines", afirma Josep Albors, responsable de investigación y concienciación de ESET España. "Estas actividades nos hacen pensar que las extorsiones se van a convertir en una tendencia del cibercrimen en los próximos meses".

Las víctimas de la extorsión reciben un mensaje de correo electrónico con el asunto "su cuenta ha sido pirateada" desde, aparentemente, su propia dirección, lo que hace creer al usuario que el delincuente ha accedido realmente a su cuenta. El objetivo final del atacante es conseguir que la víctima pague por la recuperación de sus credenciales. A cambio de eliminar la información confidencial supuestamente obtenida por el atacante, se solicita a la víctima un pago mediante bitcoines. En este momento, en la cuenta del delincuente figuran ingresos superiores a los 5.400€.

Mediante el uso de una técnica conocida como spoofing (suplantación de la identidad), el atacante consigue la confianza del usuario, ya que cree que el mensaje ha sido enviado desde su propia cuenta. Para evitar este tipo de ataques, desde ESET recomiendan utilizar soluciones de seguridad que incorporen mecanismos de autenticación, no responder nunca a este tipo de mensajes y, sobre todo, no pagar nunca el rescate. Como medida adicional, ESET aconseja cambiar la contraseña del gestor de correo regularmente, tapar la webcam y habilitar las opciones de doble autenticación.

"A pesar de que el spoofing lleva siendo utilizado muchos años, aún a día de hoy sigue siendo relativamente fácil engañar a un usuario que no esté debidamente concienciado", concluye Albors.