Campañas de phishing sobre el COVID-19
La situación de alerta generada por el COVID-19 a nivel mundial es un caldo de cultivo peligroso para ataques de phishing a través de servicios de mensajería instantánea, email y otros medios. Los ciberdelincuentes siempre tratan de explotar situaciones de miedo, y la situación que se está viviendo en la actualidad no es una excepción.
Mientras dure la situación de alerta los ciberdelincuentes aprovecharán para lanzar ataques de phishing y de todo tipo para sacar provecho.
El modus operandi será siempre muy similar: los ciberdelincuentes tratarán de suplantar organizaciones legítimas con información relevante sobre el COVID-19 como el Ministerio de Sanidad, una Consejería de Sanidad de una Comunidad Autónoma, Fuerzas del Orden, Organizaciones Internacionales, simulando prestar ayuda y consejo, o incluso fingiendo ser la empresa en la que trabajas. Lo harán a través de mensajería instantánea como WhatsApp o Telegram y también a través de emails. En la mayoría de los casos te pedirán que abras un archivo con urgencia o sigas un enlace de internet para obtener la información.
Si se sigue el enlace y se descarga y ejecuta un archivo adjunto, se tratará de algún tipo de malware que permita a los ciberdelincuentes tomar el control de tu dispositivo, acceder a tu información y datos personales e incluso cifrar esos datos.
Los enlaces de internet incluidos en estos mensajes o correos electrónicos también te pueden llevar a páginas web que suplantan la identidad de otras organizaciones para robar tus credenciales de acceso a un servicio u otra información personal, por ejemplo, tu número de la seguridad social, los datos bancarios para el pago de un test de coronavirus, etc. Ver ejemplos en las figuras 1, 2 y 3.
Puedes ampliar información sobre estas y otras amenazas en la Guía de Privacidad y Seguridad en Internet de la AEPD.
Sigue las siguientes recomendaciones:
- Mantente informado mediante fuentes oficiales y confiables, acudiendo directamente a las webs de las instituciones o medios de comunicación, nunca a través de un enlace proporcionado en un mensaje o en un email.
- Verifica la dirección de correo electrónico remitente del mensaje y también el enlace web al que te remite el mensaje. A veces, resulta obvio que la dirección web no es legítima, pero otras veces los ciberdelincuentes son capaces de crear enlaces que se parecen mucho a las direcciones legítimas.
- Ten cuidado con las solicitudes de datos personales a través de webs a las que has llegado siguiendo un enlace contenido en un mensaje o correo electrónico. Mejor accede directamente a la web de esa organización.
- Fíjate bien en el contenido del mensaje, sospecha de mensajes con faltas de ortografía, errores gramaticales y saludos genéricos sin aportar ningún dato tuyo como “Estimado ciudadano” o “Estimado paciente”.
- Sospecha mucho más si además el contenido del mensaje te urge a realizar cualquier tipo de acción cuanto antes, con una urgencia injustificada.
- Ante una situación de riesgo es más importante que nunca guardar la tranquilidad y reflexionar antes de actuar o tomar decisiones precipitadas.
Si, aun siguiendo estas recomendaciones no has podido evitar caer en el engaño, contacta con la Oficina de Seguridad de Internauta dependiente del INCIBE para obtener asesoramiento sobre cómo actuar para minimizar los posibles daños.
Figura 1. Email suplantando a la OMS con un enlace malicioso a medidas de protección.
Figure 2. Following the link of the example in figure 1, you are asked to verify your e-mail for information, and they seize the opportunity to steal your credentials
Figure 3. Examples of phishing attempts in Spain.
