Al igual que con las llamadas telefónicas no deseadas, si
bien los proveedores de correo electrónico
modernos son bastante buenos filtrando mensajes no
solicitados, conocidos como spam, sus controles
no siempre funcionan. El spam por correo electrónico puede
variar desde molestas misivas no
solicitadas enviadas en masa hasta mensajes peligrosos y
maliciosos (mensajes de phishing y malware
enviados a través de spam, también conocidos como
«malspam»). ESET, compañía líder en detección
proactiva de amenazas, comparte 10 razones por las que una
bandeja de entrada puede estar llena de
spam y/o estafas.
A continuación el equipo de investigación de ESET explica
los motivos por las cuales se puede acabar
recibiendo una avalancha repentina de este tipo de mensajes:
1. Filtraciones y fuga de datos: La economía del cibercrimen
participantes individuales suelen
desempeñar un papel especializado. Algunos pueden centrarse
en vulnerar organizaciones para
robar grandes volúmenes de datos, como direcciones de correo
electrónico e información de
identificación personal (PII). Luego, publican o venden esos
datos en foros/mercados de
cibercrimen, donde otros los compran para utilizarlos como
phishing. Pueden suplantar la identidad
de una empresa que acaba de sufrir la violación, citando su
PII y la información de su cuenta para
dar mayor credibilidad a su engaño. El objetivo final suele
ser robar datos de inicio de sesión o
información financiera, o la instalación malware.
“Un aumento repentino del spam probablemente significa que
se acaba de publicar un lote de
direcciones de correo electrónico en el mercado clandestino
de la ciberdelincuencia. También es posible
que una empresa haya filtrado accidentalmente la información
al dominio público, lo que permite a los
delincuentes sacar provecho de ella.”, comenta Mario
Micucci, Investigadora de Seguridad informática
de ESET Latinoamérica.
ESET -Nota de Prensa
Pie de imagen: Ejemplo de una campaña de estafa de
sextorsión que hace referencia a contraseñas
filtradas en antiguos incidentes de seguridad
2. Actualizaciones de kits de estafa: Debido a los kits de
estafa/phishing preconfigurados, los
estafadores tienen gran parte del trabajo hecho, desde la
suplantación de marcas hasta la
ofuscación, los señuelos de phishing e incluso la omisión de
la autenticación multifactorial. Quienes
desarrollan estos kits buscan añadir nuevas funciones para
burlar a los proveedores de seguridad y
de correo electrónico. Si logran dar con una solución que
eluda los filtros de spam, es de esperar
que los mensajes no deseados comiencen a invadir los
buzones.
3. Spam selectivo: Los estafadores centran sus esfuerzos en
grupos concretos, como los empleados de
una empresa específica o los usuarios de un servicio
concreto (por ejemplo, Netflix). Esto puede
deberse a que obtuvieron los datos de una filtración en una
de estas empresas o a que han
recopilado datos de sitios web específicos.
4. Eventos estacionales: Las campañas de phishing suelen
aprovechar los acontecimientos de
actualidad para mejorar sus tasas de éxito. Son habituales
casos como la muerte de famosos y
emergencias graves y crisis sanitarias, como fue el
COVID-19. Pero también se pueden producir
picos estacionales de spam justo antes de Navidad, por
ejemplo.
5. La ayuda de la IA: Las herramientas de IA permiten a los
estafadores ampliar sus campañas de
phishing con mensajes muy convincentes diseñados para eludir
los filtros de spam. La IA también
puede ayudar en el reconocimiento, para encontrar una
dirección de correo electrónico en fuentes
de acceso público que, de otro modo, podrían ser difíciles
de descubrir.
ESET -Nota de Prensa
6. Rastreo de sitios web públicos: Los spammers no solo
obtienen sus listas de correo electrónico de
vulneraciones de datos a gran escala. Algunos consiguen
estos datos utilizando bots para rastrear
sitios web públicos, como las plataformas de redes sociales.
El tráfico de bots maliciosos representa
el 37 % de todo el
tráfico de Internet. Si algún dato es de dominio público, es posible que hayan
sido
capturados en una campaña de este tipo.
7. Hacer clic en un mensaje de spam: Los estafadores a
menudo pueden acabar con grandes listas de
correo electrónico que luego tienen que reducir para mejorar
el retorno de la inversión de las
campañas. Por lo tanto, si se hace clic en un mensaje de
spam o, lo que es peor, se responde, el
remitente sabrá que está «activo», lo que podría dar lugar a
una nueva avalancha de mensajes.
8. Bombardeo de correos electrónicos: Si una bandeja de
entrada se llena de mensajes no deseados,
puede tratarse de una táctica de distracción diseñada para
ocultar un mensaje importante, como
una alerta de seguridad del banco o una notificación de una
compra que no se ha realizado. El
estafador inscribirá la dirección en cientos de boletines
informativos o sitios web para inundar la
bandeja de entrada y ocultar ese mensaje crucial.
9. Compras en línea: Durante los cumpleaños o antes de las
fiestas, es posible que realice un mayor
número de compras online. Algunos comerciantes pueden
intentar sacar provecho de este periodo
ocultando las suscripciones a las listas de marketing. Si se
olvida de desmarcarlas, es posible que se
reciban una avalancha de spam molesto de las marcas en las
que se ha comprado.
10. Restablece la configuración: Si se cuenta con una
herramienta de seguridad de correo electrónico
que funciona utilizando inteligencia artificial para
aprender cómo es la actividad sospechosa. Esta
puede empezar a jugar con la configuración y restablecerla,
lo que puede llegar a borrar todo ese
comportamiento aprendido.
ESET comparte algunos consejos para mantener las estafas
potencialmente peligrosas fuera de la
bandeja de entrada:
Mantener las cuentas de las redes sociales en privado para
evitar que los robots de rastreo web
recopilen la dirección de correo electrónico.
Tomar conciencia del phishing: no hacer clic ni responder
a correos electrónicos no solicitados.
Verificar con el supuesto remitente buscando sus datos de
contacto por separado (es decir, no
utilizar los que aparecen en el correo electrónico).
Utilizar "ocultar mi correo electrónico"
o servicios de enmascaramiento similares cuando se registre
en nuevos servicios, para reducir el riesgo asociado a las
filtraciones de datos.
Algunos productos y servicios de protección de la
identidad, como HaveIBeenPwned , pueden
rastrear la web oscura en busca de datos para ver si ya han
sido vulnerados y/o alertar cuando
aparezca alguna información personal en la web oscura. Esto
avisará con antelación de posibles
oleadas de spam.
El software de seguridad de un proveedor de confianza
incluye funciones antiphishing
y antispam que pueden minimizar el volumen de comunicaciones
no deseadas en la bandeja de
ESET -Nota de Prensa
entrada. Los mejores proveedores ofrecen protección
multicapa contra las técnicas de phishing más
sofisticadas, herramientas de inteligencia artificial y kits
de estafa.
Considerar la posibilidad de desmarcar las opciones de
marketing al comprar para minimizar el
volumen de spam "amistoso" en la bandeja
de entrada.
Por otro lado, además de las buenas prácticas es importante
destacar qué no se debe hacer. ESET
recomienda lo siguiente:
Evitar hacer clic en "darse de baja" o
responder a un correo electrónico de spam, ya que esto
verificará la dirección al remitente.
No abrir archivos adjuntos a los correos electrónicos de
phishing, ya que pueden contener
programas maliciosos.
Nunca entregar información personal o financiera y los
datos de acceso en respuesta a un correo
electrónico no solicitado, aunque parezca auténtico.
No utilizar la dirección de correo electrónico principal
para registrarte y conseguir regalos o
conexión Wi-Fi pública.
Deshabilitar el guardado de datos en sitios de compra
online (incluidos el correo electrónico, la
dirección postal y las tarjetas de pago) ya que podrían
convertirse en un arma si la empresa sufre un
ataque.
“Como ocurre con la mayor parte de la ciberseguridad, el
panorama de las amenazas al correo
electrónico es una carrera armamentística sin fin entre
atacantes y defensores. Al equiparse con estas
buenas prácticas y con herramientas de seguridad eficaces de
terceros, se tendrá la mejor oportunidad
de mantener una bandeja de entrada libre de repentinas
oleadas de spam.”, concluye Micucci de ESET.