Suplantación de identidad en el envío de paquetes

El Black Friday y el Cyber Monday se han convertido en citas muy esperadas por los consumidores para hacer compras con descuento. En España esta tendencia se ha hecho más fuerte en el último año, siendo el país que más ha consumido en ambas fechas (41%) y el segundo en compras navideñas (74%) del mundo¹. A pesar de que los españoles están cada vez más familiarizados con el comercio electrónico y sus ofertas, existe una parte del proceso de compra en la que podrían bajar la guardia y convertirse en víctimas de ciberdelincuentes: la entrega de envíos. Más de la mitad (54%) de las principales empresas de mensajería y paquetería que operan en España² no está tomando las medidas correctas y recomendadas para proteger a los consumidores frente a posibles estafas por suplantación de identidad, según Proofpoint.

Esta compañía líder en ciberseguridad y cumplimiento normativo ha analizado a los mayores operadores del sector postal y su adopción del protocolo DMARC (Autenticación de Mensajes Basada en Dominios, Informes y Conformidad), la tecnología que ayuda a garantizar la fiabilidad de sus comunicaciones por correo electrónico. El estudio revela asimismo que solo el 19% de estas empresas de servicios bloquea proactivamente los mensajes de los atacantes para que no los reciban los usuarios. Esto supone que en más de ocho de cada diez casos podría llegar un intento de phishing al correo como principal vector de ataque.

Las principales conclusiones de este estudio de Proofpoint son las siguientes:

• El 46% de las principales empresas de envíos en España ha publicado un registro DMARC, lo que significa que más de la mitad (54%) está dejando a los consumidores expuestos al fraude por correo electrónico.
• Sin embargo, solo el 19% tiene la política DMARC más estricta y recomendada (“rechazar”), por lo que el 81% no está bloqueando proactivamente los correos electrónicos fraudulentos para que no lleguen a los consumidores.

“El sistema DMARC permite hacer frente a ataques de suplantación de dominio a organizaciones, verificando que el remitente de un correo es quien dice ser y protegiendo así a las personas de ciberdelincuentes que quieren hacerse pasar por una empresa o marca de confianza”, explica Fernando Anaya, country manager de Proofpoint para España y Portugal. “Es importante tener cuidado con cualquier mensaje inesperado que recibimos. Los ciberdelincuentes aumentan el uso de notificaciones de envío fraudulentas en temporadas altas de compras, confiando en la ingeniería social para que sus amenazas tengan éxito”.

Los ciberdelincuentes están muy especializados en manipular las emociones humanas a través de la ingeniería social. No son nada escrupulosos a la hora de mentir, falsificar sitios y marcas, o dar instrucciones engañosas a los usuarios, con el objetivo de darles una sensación tanto de confianza como de urgencia o miedo y que finalmente acaben revelando datos valiosos. Si además aprovechan una temática de actualidad, que involucre a un mayor número de personas, como puede ser recibir a tiempo o que no se pierda un paquete de algo que han comprado en épocas concretas de mucho consumo, la estafa está servida.

Proofpoint identifica y bloquea alrededor de 80.000 correos electrónicos maliciosos al mes en los que se pide al usuario a hacer clic en un enlace, descargar un archivo adjunto, o realizar una acción concreta. El objetivo de los estafadores no es otro que engañar a las víctimas para que descarguen malware, inicien sesión en una web falsa para robar sus contraseñas, desvelen sus datos bancarios o hagan una transferencia.

La ingeniería social funciona en ciberdelincuencia, puesto que se dirige a las personas: el eslabón más débil. Desde Proofpoint insisten en la necesidad de reforzar la concienciación de los usuarios sobre seguridad para que entiendan los riesgos a los que se enfrentan y sepan el papel que tiene su propio comportamiento en el éxito o no de un ataque. Se aconseja tener cuidado con mensajes que lleguen de forma inesperada solicitando una acción, evitar sitios fraudulentos escribiendo directamente la web completa en el navegador, utilizar contraseñas sólidas y no solo una para distintas plataformas, no hacer clic en enlaces o archivos, conectarse a WiFis seguras y consultar cualquier comunicación sospechosa con el servicio de atención al cliente legítimo de la compañía en cuestión.