Hace unos días, recibí la llamada de un amigo: Un cliente suyo había sufrido un robo. ¿Y cómo había sido? ¿Entraron en la nave industrial? ¿Saquearon sus oficinas? ¿A punta de pistola? – ¡NO!
Sencillamente, gente sentada en otro punto del globo muy diferente y que ni si quiera hablaban ni leían español, habían sido capaces de espiar su correo electrónico durante el suficiente tiempo como para entender la operativa de su negocio y controlar los correos en los que se indicaban las transacciones financieras (transferencias) entre esta compañía y sus clientes, para interceptar estos mensajes, y cambiarlos a su conveniencia, haciendo que el dinero llegase hasta sus cuentas bancarias, y no a las legítimas.
¿Para qué arriesgarse a salir de casa o que te cacen reventando una puerta, o peor aún: que te capture la policía si puede hacerse a distancia y con un riesgo mucho menor? – Los delincuentes del siglo XXI ya han hecho su tan cacareada “Transformación Digital” y están robando, extorsionando, y en definitiva, “ganándose el pan” desde su despacho en Kazajstan, en Brasil o en Vietnam.
No necesitan unos conocimientos técnicos extremadamente avanzados de alto nivel. Tan sólo necesitan saber cómo averiguar todo lo posible sobre nosotros, un poco de idiomas (o quizás saber usar el Google Translator) e inteligencia para engañarnos. Esto es lo que se ha dado en llamar Ingeniería Social. ¿Y en qué consiste?: En el engaño, el timo, el engañabobos de toda la vida, más o menos sofisticado y actualizado hasta nuestros días.
Volviendo al caso concreto de nuestro amigo, los delincuentes habían logrado acceder a su correo electrónico y se habían tomado la molestia de leer lo suficiente como para comprender la mecánica de su negocio. ¿Cómo habían logrado entrar a sus buzones?
Hay múltiples opciones y algunas de ellas poco sofisticadas, como por ejemplo, que algún empleado instalara en algún momento en su equipo algún programa de intercambio de archivos P2P tipo BitTorrent o similar, y que compartiera -sin darse cuenta- toda la carpeta de “Mis Documentos” – Probad a buscar una vez conectados a cualquier red P2P, por ejemplo “DNI” o “Claves” y veréis que se encuentran archivos que puedes descargar, algunos con documentos tan sensibles como estos. Por supuesto, archivos sin cifrar, sin contraseña y que pueden ser usados para pedir créditos o hacer compras en nuestro nombre (que luego no pagan) haciéndose pasar por nosotros gracias a tener una copia de nuestra documentación, o bien sencillamente, acceden a un archivo en el que inocentemente guardamos usuarios, contraseñas, y claves, que son realmente complicadas de recordar e imposibles de manejar en el día a día de una persona normal.
Por supuesto caben muchas otras opciones para explicar cómo lograron hacerse con el control del correo electrónico, como ataques al propio proveedor del alojamiento, que hubieran puesto al descubierto credenciales de sus clientes (de aquí la importancia de cambiar las contraseñas con cierta regularidad), o el simple uso de una red WiFi no segura en algún sitio público. La cuestión es que estos delincuentes conocían mucho: demasiado sobre nuestros amigos, y este conocimiento les hizo posible asaltarles, y desviar fondos por valor de más de 50,000 euros en apenas 1 semana.
Esto, pensaréis muchos, son cosas que le suceden al vecino, pero “a mí no me va a pasar”. Nada más lejos de la realidad. De hecho, cuanto más pienses así, te conviertes en una víctima potencial más apetecible: tomas pocas medidas, no vigilas, y no inviertes en sistemas de seguridad informática que te puedan ayudar a minimizar el riesgo de que algo así ocurra.
No existe el riesgo cero: es imposible, pero está claro, que al igual que en nuestros hogares instalamos puertas blindadas, con cerraduras de seguridad, o podemos poner barrotes en las ventanas para que no resulte demasiado sencillo (aunque no imposible) entrar a robarnos, en nuestra vida digital pasa exactamente lo mismo: Cuantos más impedimentos pongamos a los delincuentes, menos posibilidades de ser sus víctimas tendremos.
Como en todo, hay que valorar si la inversión en ciber seguridad va a valer la pena en nuestro caso, pero os diré, que hoy día, no es ninguna tontería pensar en tener tus equipos protegidos ya no con software antivirus (que también), sino que necesitamos una capa más: una protección de nueva generación que nos proteja de los ataques más usuales en los últimos tiempos: El ransomware, la explotación de sistemas y las intrusiones en las redes; contar con un firewall que nueva generación que además complemente a los agentes de protección del puesto, y con adecuadas copias de seguridad de la información es un “MUST”; Estas tres patas son para mí, lo que todo negocio, por pequeño que sea debe tener si quiere sobrevivir a la transformación digital.
