Ciberdelincuente

La nueva técnica que utilizan los ciberdelincuentes para estafar a empresas

Este método está enfocado específicamente en los responsables de Recursos Humanos de las empresas

Este pasado jueves, el famoso portal de venta de entradas Ticketmaster sufrió un ciberataque en el que un grupo criminal aseguraba haber robado millones de datos de los usuarios. Esta es quizá la última noticia en la que un "grande" se veía perjudicado por temas de ciberdelincuencia, algo que está sumamente a la orden del día porque cada vez aumentan más los delitos a través de internet. 

Una de las últimas alertas que ha trascendido en los medios es la que apunta a una posible suplantación de la identidad de trabajadores para robarles la nómina del trabajo. 

Esta estafa arranca con una suplantación de identidad del trabajador. Seguidamente, se remite un correo a la persona encargada de administración o recursos humanos indicando un cambio en el número de cuenta para que el dinero de la nómina deje de ingresarse en la cuenta habitual.

De esta forma, la domiciliación de los pagos se cambia a la cuenta indicada en el mensaje, sin que haya nada que haga sospechar de que se trata de un correo falso.

Este método, ejecutado digitalmente mediante correos electrónicos fraudulentos, está enfocado específicamente en los responsables de Recursos Humanos (RRHH) de las empresas.

Este tipo de fraude, conocido como "phishing" o "suplantación de correo electrónico", es especialmente peligroso porque apunta a un área crucial de la empresa y utiliza información aparentemente legítima para manipular a los empleados. Las consecuencias pueden ser devastadoras, tanto para el empleado afectado como para la empresa.

El problema de esta estafa es que recuperar el dinero es algo muy complicado, por lo que deja a la empresa en una situación muy delicada. 

Trucos para que las empresas mejores su ciberseguridad

Para mejorar la ciberseguridad, las empresas pueden implementar una serie de estrategias y prácticas que ayudan a proteger sus datos y sistemas. 

1. Capacitación y Concienciación del Personal

  • Programas de formación continua: Realizar sesiones periódicas de capacitación en ciberseguridad para todos los empleados.
  • Simulaciones de phishing: Organizar simulaciones para que los empleados practiquen la identificación de correos electrónicos fraudulentos.
  • Políticas claras: Establecer y comunicar políticas de seguridad claras y comprensibles.

2. Implementar la Autenticación Multifactor (MFA)

  • Capas adicionales de seguridad: Utilizar MFA para asegurar el acceso a sistemas críticos, añadiendo una capa adicional de protección más allá de las contraseñas.

3. Actualizar y parchear sistemas regularmente

  • Actualizaciones automáticas: Configurar actualizaciones automáticas para todos los sistemas operativos y software.
  • Gestión de parches: Implementar una política de gestión de parches para asegurar que todas las aplicaciones estén al día.

4. Seguridad en el correo electrónico

  • Filtros de spam y phishing: Utilizar filtros avanzados para detectar y bloquear correos electrónicos sospechosos.
  • Validación de remitentes: Implementar sistemas de autenticación de correo como DMARC, SPF y DKIM.

5. Monitoreo y respuesta a incidentes

  • Sistemas de detección de intrusiones (IDS): Implementar IDS para monitorear actividades sospechosas en la red.
  • Plan de respuesta a incidentes: Desarrollar y practicar un plan de respuesta a incidentes para manejar rápidamente cualquier brecha de seguridad.

6. Control de acceso rigoroso

  • Principio de mínimo privilegio: Asegurarse de que los empleados solo tengan acceso a la información y sistemas necesarios para su trabajo.
  • Revisión periódica de permisos: Realizar auditorías regulares de los permisos de acceso y ajustar según sea necesario.

7. Seguridad de la red

  • Segmentación de la red: Dividir la red en segmentos separados para limitar la propagación de ataques.
  • Firewall y VPN: Utilizar firewalls y redes privadas virtuales (VPN) para proteger las conexiones a la red de la empresa.

8. Cifrado de Datos

  • Cifrado de datos en tránsito y en reposo: Asegurarse de que todos los datos importantes estén cifrados tanto cuando se almacenan como cuando se transmiten.

9. Copia de Seguridad Regular

  • Backups automatizados: Implementar soluciones de respaldo automatizado para garantizar que los datos críticos puedan ser recuperados en caso de un incidente.
  • Pruebas de restauración: Realizar pruebas periódicas de restauración de datos para asegurar la efectividad de los backups.

10. Contraseñas Seguras

  • Políticas de contraseñas fuertes: Exigir el uso de contraseñas complejas y cambiar las contraseñas regularmente.
  • Gestores de contraseñas: Fomentar el uso de gestores de contraseñas para almacenar y generar contraseñas seguras.

11. Auditorías y evaluaciones de seguridad

  • Evaluaciones regulares: Realizar auditorías de seguridad y evaluaciones de vulnerabilidad periódicamente.
  • Penetration testing: Contratar servicios de pruebas de penetración para identificar y corregir posibles fallos de seguridad.

12. Concienciación sobre Dispositivos Móviles

  • Políticas de BYOD: Implementar políticas claras para el uso de dispositivos personales (BYOD) y asegurar que estos dispositivos cumplan con las normas de seguridad de la empresa.
  • Seguridad en dispositivos móviles: Utilizar software de gestión de dispositivos móviles (MDM) para proteger los dispositivos móviles que acceden a los datos corporativos.