El fraude del CEO en Venezuela

El fraude del CEO en Venezuela

Hace apenas 2 días se conoció el caso sobre la detención de dos sujetos que habían “hackeado” la cuenta de correo electrónico de un empresario ferretero de la ciudad de Cabimas, Estado Zulia. Algunos medios de comunicación afirman que de acuerdo a declaraciones del Cuerpo de Investigaciones Científicas, Penales y Criminalísticas (@informaticoscicpc @douglasricovzla), se trata de una banda de ciberdelincuentes que tiene su centro de operaciones presuntamente en la ciudad de Bogotá, Colombia.

En esta oportunidad y como punto inicial, luego de tener el control de la cuenta de e-mail de la víctima, los ciberdelincuentes procedieron a copiar toda la lista de contacto del empresario.

Posteriormente, luego de un trabajo de ingeniería social por parte de los ciberdelincuentes, identificaron dentro de la lista de contactos, al administrador de una de las empresas de la víctima, y éstos usurpando la identidad del empresario, enviaron un e-mail al administrador, girando instrucciones para la realización de una transferencia por un monto de 5.000 dólares.

(Foto CICPC)

Cómo pudo pasar esto?

PHISHING

Uno de los principales métodos utilizado por los ciberdelincuentes es el llamado “Phishing”. Se trata de la técnica basada en comunicaciones electrónicas que simulan provenir de entidades de confianza, con el propósito de obtener datos sensibles tales como: Nombre de usuario, claves o contraseñas, números de tarjetas de crédito, entre otros. Igualmente esta técnica es utilizada para la infección con malware, a través de archivos adjuntos.

En el caso objeto de estudio, se puede presumir que el empresario fue víctima de una tipo específico de engaño, conocido como Spear-Phishing, donde los ciberdelincuentes obtuvieron sus credenciales de acceso a la cuenta correo de la empresa.

Fraude del CEO o Whaling Phishing:

Una vez que los ciberdelincuentes controlan la cuenta de correo electrónico del dueño de la empresa, proceden a enviar correos a los contactos del mismo, en este caso enviaron un mail al Jefe Administrativo de la empresa.

El término “Whaling Phishing” (caza de ballenas, en inglés) hace referencia al ataque dirigido a altos cargos ejecutivos o empleados importantes dentro de una organización.

Luego que los ciberdelincuentes obtienen las claves de acceso al correo del dueño o jefes de la empresa, les resulta mucho más fácil usurpar sus identidades digitales, para así engañar a determinados empleados, especialmente aquellos que están vinculados al área de finanzas o administrativos.

La efectividad de este fraude radica en la dificultad en su detección, ya que los ciberdelincuentes utilizan cuentas de e-mail corporativas legítimas que han sido previamente comprometidas, evitando así levantar sospechas en los empleados quienes reciben las comunicaciones.

El empleado encargado de la administración de la empresa, recibe un mail del dueño o jefe, donde se le instruye sobre transferir una cantidad de dinero importante hacia una cuenta especifica… ¿Quién no le hace caso a su jefe sin cuestionar?

Algunos consejos para evitar este ataque:

1. Concienciar al personal: Es fundamental educar a los empleados en temas de ciberseguridad y protección de datos, especialmente aquellos que ocupan cargos claves dentro de la organización, como puede ser el área de finanzas.
2. Los empleados del área de finanzas, deben siempre validar por otra vía (llamada telefónica) las órdenes de transferencias que reciban vía mensajes o mail, incluso aún cuando la orden provenga de una dirección de e-mail legítima del CEO de la empresa.
3. No responder mail con “Asuntos” sospechosos o mensajes inesperados.
4. NUNCA descargar adjuntos de remitentes desconocidos, y mucha cautela con aquellos que llegan de contactos de confianza (Piensa: ¿Es normal recibir esta comunicación del Jefe?).
5. Crear contraseñas robustas, no menor de 8 caracteres alfanuméricos, preferiblemente.
6. Activar el Doble factor de autenticación (2FA) en tus cuentas de correo.
7. Establecer Políticas de Seguridad de la Información en la empresa.

#Phishing #Ciberdelitos #Ciberdelincuente #OVDI #Fraude #CEO #CICPC