Recomendaciones
Cuidado con los mensajes de correo y las llamadas telefónicas desconocidas. Pueden dirigirnos a sitios web que no son de confianza
confianzaA la hora de contestar cualquier llamada telefónica, siempre sospecha e intenta averiguar y determinar si la persona que está al otro lado es quien dice ser. Es muy fácil para un potencial atacante hacerse pasar por otra persona, especialmente si conoce algunos detalles personales de esta. Son muy habituales las llamadas en las que alguien se hace pasar por personal del servicio técnico de alguna empresa conocida (por ejemplo, Microsoft), con la excusa de ayudarte a resolver un problema en tu ordenador. El objetivo real de la llamada es que lleves a cabo alguna acción concreta, como visitar un enlace web, descargar un fichero o habilitar algún tipo de acceso remoto que le permita comprometer tu ordenador.
Otra técnica ampliamente empleada y también asociada a este tipo de amenazas son los ataques dirigidos a través de mensajes personalizados de correo electrónico (spearphishing), donde el usuario víctima identifica el mensaje como auténtico, al proceder de alguien conocido e incluir referencias a sus actividades diarias o a su vida personal o profesional. De nuevo, el objetivo del mensaje es instar al usuario a visitar un enlace web o a descargar un documento adjunto malicioso. Son habituales, por ejemplo, mensajes de servicios de mensajería o correo postal indicando que has recibido un paquete y que debes llevar a cabo ciertas acciones online para poder recogerlo.
Actúa con precaución y de manera responsable cuando proporciones información personal o profesional.
Las interacciones y relaciones con otras personas son habituales en nuestro día a día, tanto en la vida personal como profesional. Por tanto, actúa también con precaución y de manera responsable ante la mera solicitud de información por parte de otros, independientemente del medio empleado (llamada telefónica, correo electrónico, mensajería, redes sociales, etc.). Los ataques de ingeniería social se basan en el exceso de confianza y en el descuido a la hora de proporcionar o facilitar excesiva información personal o corporativa. Esta información, aunque pueda parecer poco relevante, puede ser utilizada posteriormente en ataques más sofisticados y personalizados contra ti, o contra gente de tu entorno de confianza.
Sé cuidadoso con las redes sociales o con sitios web donde proporciones información
Debes tener también en cuenta que alguien se puede hacer pasar por ti para engañar a otros. Hoy en día es relativamente sencillo obtener información muy detallada sobre ti o tu organización a través de los perfiles públicos en las redes sociales (LinkedIn, Facebook, Twitter, Google+, Instagram, etc.), de los buscadores web, de las páginas web oficiales (por ejemplo, el BOE) y de muchas otras fuentes. Por tanto, protege siempre tu información, limitando los datos que facilitas públicamente sobre tu vida, tanto personal como profesional. ¡Cuánto más conozca el intruso sobre ti, más fácil le será tener éxito en su ataque!
Por un lado, no confíes, por ejemplo, en las opciones de privacidad de las redes sociales y de otros servicios similares, ya que podrían no aplicar a tus supuestos contactos o conocidos, y, además, cambian muy frecuentemente, sin tu conocimiento y aprobación. Por otro, deshabilita las capacidades de geolocalización de las fotos en tu dispositivo móvil, es decir, las capacidades de registrar tu ubicación en el momento de tomar la instantánea, ya que si la foto es publicada inmediatamente (o posteriormente), cualquiera puede saber dónde estás (o estabas).
Protege tu información personal y profesional
Limita también el rastro de información personal y corporativa que dejas a tu alrededor en tu entorno más cercano: destruye la documentación antes de deshacerte de ella en las papeleras, procura no olvidar documentos en las impresoras, etc.
Si dudas de que una llamada o una dirección no sean legítimas, toma nota de los datos de contacto y compruébalo.
Si en algún momento tienes dudas y consideras que una llamada o mensaje pueden ser legítimos, solicita y anota la información de contacto de la persona que ha contactado contigo (nombre y extensión). Posteriormente, ponte tú en contacto con ellos empleando directamente la página web, dirección de correo electrónico o el número de teléfono oficiales de la organización con la que quieres contactar.
Uno de los ataques más frecuentes y con mayor éxito últimamente es la distribución de ransomware, es decir, software o ficheros maliciosos que una vez ejecutados o abiertos cifran todos los documentos e información personal y corporativa almacenada en tu ordenador o dispositivo móvil. Posteriormente, el atacante coacciona a la víctima exigiéndole pagar un rescate si desea recuperar sus datos. En el peor de los casos, si tienes también acceso a carpetas o unidades de red desde tu ordenador, podrían verse afectados todos los documentos de la organización.
¿Qué es el cifrado?
El cifrado es un mecanismo de protección que convierte los datos o la información en un formato no legible a través de cálculos matemáticos y de una clave. Únicamente el poseedor de la clave podrá descifrar los contenidos protegidos y disponer así de los datos originales para poder visualizarlos.
Recuerda: si detectas algo sospechoso, no dudes en comunicarlo
Por último, aplica siempre el sentido común y si algo resulta extraño, sospechoso o no te huele bien, probablemente sea un ataque. Si identificas situaciones sospechosas que parecen muy urgentes o en las que alguien solicita información que no necesita o que ya debería conocer o algo parece demasiado bueno para ser cierto, notifica la incidencia lo antes posible a través de la Intranet. Recuerda… ¡tú eres el objetivo, pero también eres la primera línea defensiva frente a los ataques!