Los ciberdelincuentes han identificado con éxito los datos de acceso de las víctimas utilizando técnicas mejoradas de suplantación de identidad o spoofing. Este método se ha ampliado para incluir la capacidad de capturar estas teclas mediante pulsaciones de teclas.
La suplantación de identidad (también conocida como spoofing) es un ciberataque en el que un atacante se hace pasar por un remitente de confianza y engaña a un usuario para que le proporcione información confidencial. Estas campañas se pueden ejecutar a través de sitios web, correos electrónicos que parecen ser contactos legítimos, servidores, direcciones IP, pero también las llamadas telefónicas son comunes para este tipo de casos. Estos teléfonos falsifican los números de teléfono reales de las empresas que lo contactan (bancos, empresas de energía, agencias gubernamentales, etc.), por lo que las víctimas creen que se están comunicando con empleados legítimos de esas organizaciones.Para evitar escuchas molestas, los bancos solicitan a los clientes que ingresen sus códigos bancarios a través del teclado en lugar de verbalmente cuando realizan consultas o transacciones bancarias. Si bien este método agrega seguridad al acceder a datos confidenciales, no es del todo efectivo ya que los ciberdelincuentes encuentran formas de acceder a estas pulsaciones de teclas para robar los datos y las credenciales de las víctimas. Así lo ha informado recientemente la Policía Nacional para advertir de los ciberdelincuentes que están realizando nuevos tipos de estafas que combinan el spoofing del acceso a los datos personales de los usuarios, con la explotación de estas estafas.
Estás en manos de un keylogger.
Un keylogger o registrador de pulsaciones de teclas. es un tipo de malware que monitorea todas las pulsaciones de teclas y permite a la víctima extraer información confidencial en función de lo que escribe en el teclado. Una técnica más sofisticada se llama ataque de registro de teclas de escucha de teclado acústico, que se traduce en un ataque de espionaje de teclado acústico. En este caso, los ciberdelincuentes utilizan programas que funcionan con algoritmos que reconocen el sonido que corresponde a cada pulsación de tecla. Es cierto que hay muchos tipos diferentes de teclados, cada uno con un sonido diferente, pero los atacantes aseguran que los algoritmos que utilizan pueden reconocer contraseñas de diferentes combinaciones de teclas. En este sentido, hace unos meses, la Agencia de Seguridad de los Usuarios de Internet (OSI) anunció que el Banco de Santander o Banco Santander, o BBVA. Específicamente, estos correos electrónicos contenían documentos descargables comprimidos o contenedores de “malware” troyano que, cuando se descomprimían, permitían a los delincuentes acceder a la información personal de estas personas.
Cómo evitar ser víctima de estas campañas.
La Policía Nacional ha confirmado que tanto las compañías telefónicas como las entidades bancarias (son las favoritas por los hackers para difundir este tipo de campañas) ya disponen de estos datos para que los usuarios puedan evitar este tipo de delitos online.Esto significa que en ningún caso se pondrían en contacto directamente con los clientes para conocer esta información, puesto que ya la tienen registrada en sus bases de datos.De igual forma, las empresas privadas y las instituciones públicas no utilizan este método para solicitar información personal de sus clientes, comodatos como números de tarjetas de crédito, nóminas y credenciales de acceso a perfiles de usuarios y otras cuentas, NO ES RECOMENDABLE PROPORCIONAR ESTA INFORMACION. Tampoco se recomienda aceptar los términos ofrecidos en la misma llamada telefónica o correspondencia. Sin embargo, para continuar con la divulgación, recomendamos llamar nuevamente al remitente para verificar que el número de teléfono sea legítimo. Por último, siempre debes utilizar la aplicación oficial de tu entidad bancaria y descartar sugerencias como acceder a través de mensaje de texto o SMS.
