Desde C3ntro Telecom te dan las medidas para no caer en el phishing. Que se ha acelerado gracias al uso de las inteligencias artificiales en manos de ciberdelincuentes.
Fabián Vega
Imagina que un día estás en tu trabajo y mientras revisas tu correo recibes una notificación:
Tienes un e-mail.
Sí, tal y como en la película protagonizada por Meg Ryan y Tom Hanks. Pero, espera, este no es un coqueteo que reconozcas.
Ese remitente, y ese formato, ¿son un poco extraños no lo crees? Parece real, pero ¿por qué te piden actualizar algunos datos, o descargar un documento?
¡Cuidado! Podrías estar ante una práctica cada vez más común de engaño a través de internet: phishing con inteligencia artificial (IA).
Ya sea que tengas una cuenta de Google, Apple, Microsoft u otro, esto no es algo nuevo. Ya desde mediados de la década de los 90 se advertía del riesgo del robo de datos tan personales como los números de las tarjetas de crédito, o las huellas digitales, a través de películas como La Red (1995).
Lo que sí es reciente, es el uso malicioso que los ciberdelincuentes le están dando a IA como ChatGPT para el perfeccionamiento de las tácticas de engaño.
Con las IA circulando en internet desde hace unos meses, tareas como redactar un texto breve, crear una imagen a partir de texto, o inclusive a una persona ya son una posibilidad.
Y la delincuencia en internet ha encontrado un nuevo caldo de cultivo donde sembrar la duda y el temor.
Al respecto Ricardo Darling, de C3ntro Telecom no explicó cómo se involucra a ChatGPT en esta nueva red de engaños:
Cada vez ChatGPT a través de los algoritmos que tiene, te va construyendo correos maliciosos mucho más difíciles de identificar. Mucho más congruentes con el lenguaje normal que utilizarían las personas para comunicarse.
¿Qué puedes hacer para evitar caer en el engaño?
Aunque se trata de una técnica que avanza a pasos agigantados de mano de las inteligencias artificiales y su aprendizaje de la red, el vicepresidente de ciberseguridad de C3ntro Telecom, nos brinda alternativas en medio del caos y miedo generado entre las personas que día a día usan su correo para trabajar.
Antes de descargar cualquier archivo o abrir un enlace no olvides:
- Concientización del usuario: se necesita generar una conciencia que ayude a las personas a mantenerse alerta y atentas de este tipo de fraudes a través de la red.
- Filtrado: ChatGPT aún no es capaz de hacer procesos 100 por ciento por su cuenta. Sino que requiere de la previa instrucción de su operador para ejecutar alguna acción.
En este caso hablamos tanto del envío, como la inserción de ligas dentro del correo malicioso.
El hecho de mandarlo desde una plataforma. El ponerle ciertos links a donde tú puedas descargar el malware. Esa parte aún no está bien desarrollada por ChatGPT.
Para Darling ya quedará en las compañías implementar un sistema de filtrado que ayude a evitar que los correos pasen a la siguiente y última barrera.
El usuario como barrera final: los respaldos de información son la clave
Si alguna de las anteriores llegara a fallar y la amenaza logra ponerse frente a frente con el usuario, aún hay posibilidad de evitar que el ciberdelincuente logre robar información, pedir un rescate por ella o suplantar alguna identidad.
Para ello el vicepresidente de Telecom dio tres recomendaciones esenciales para cualquier usuario:
1. No contactar con el ciberdelincuente. Hay un alto porcentaje de veces en donde aun pagando no te devuelven la información. No paguen.
2. La segunda recomendación, que es la más importante es la prevención. En tu computadora primeramente tendrías que tener ciertos elementos de seguridad que pueden ser antivirus, antivirus avanzados que pueden hacer un filtrado avanzado del contenido que te llega e identificar si el archivo tiene algún malware embebido en él.
3. Y la parte de resiliencia, que siempre hay un riesgo latente ante un evento de seguridad. Cuando ya te sucede, ¿qué puedes hacer? Evidentemente tener respaldos. Es la mejor forma de responder ante un ataque.
De igual forma recomendó generar respaldos de nuestra información de manera constante (o diaria). Ya sea en la nube, fuera y verificar cuentas bancarias.
Que no estén teniendo movimientos extraños. En el buró de crédito que puedas habilitar notificaciones. Por si alguien ha suplantado tu identidad y estén pidiendo a alguna entidad a nombre tuyo un crédito que puedas estar notificado previo al crédito.
¿Desde dónde te pueden atacar los ciberdelincuentes?
Y es que los criminales de la red tienen bien identificadas a las posibles víctimas para decidir cuál será el ataque que usarán. Dependiendo de su comportamiento en internet, las páginas que visita, sus horarios y las herramientas que más suele utilizar.
Por lo que, de acuerdo con el experto, recurren a dos vectores de ataque distintos:
Un vector de ataque significa una forma de atacar a una posible víctima a través de diferentes técnicas. El vector de ataque de los correos electrónicos. Ya sea que te hagan un phishing para capturar información tuya y esa información posteriormente utilizada para una suplantación de identidad.
Otro tipo de vector de ataque es utilizar el mismo correo electrónico para hacer un ransomware, es decir, una captura de tus datos y posteriormente pedir un rescate por ellos.
La barrera del lenguaje y las faltas de ortografía ya no es un problema para los ciberdelincuentes
En el pasado, la ortografía y la gramática eran fuertes aliados y parte de las recomendaciones que se tomaban en cuentan al momento de identificar un engaño a través del correo. Sin embargo, las IA han limitado aún más el espectro de posibilidades para identificar a un ciberdelincuente, al perfeccionar y corregir sus textos mal redactados.
Los ciberdelincuentes, por ejemplo, si estaban en alguna otra parte del mundo en donde escribirían algún correo malicioso, tal vez les costará mucho trabajo escribirlo en el lenguaje similar al tuyo. Porque, a lo mejor, estamos hablando de un ciberdelincuente que no habla tu idioma. Habría muchos correos electrónicos con faltas de ortografía, con faltas gramaticales que a partir de ahí se puede identificar.
Pero con las IA esto es problema del pasado, toda vez que el Chat tiene la capacidad de autocorregir y generar una conversación que en realidad parezca más amena y cercana contigo.
Hoy a través de ChatGPT el escrito que te hace el ciberdelincuente a través de la inteligencia artificial es muy cercano a una conversación que por tu idioma puedes sentir cercana.
Con más de 4 mil millones de cuentas activas en el mundo, de acuerdo con Statista, el correo electrónico es uno de los sitios web más visitados en la red, por lo que las posibilidades de un ataque se multiplican cada vez más.
Sin embargo, existen otros elementos que puedes identificar dentro de un correo para verificar su autenticidad:
- Dirección de correo sospechosa.
- Logotipo en baja resolución, cortado o pixelado.
- Verifica la URL del hipervínculo inserta en el correo.
¿Qué hago si soy víctima de phishing?
- Reporta tu caso a la Condusef. O llama al 088 y levanta tu reporte ciudadano del delito.
- Si sospechas que accedieron a tu información financiera contacta de inmediato a tu banco para bloquear cuentas y tarjetas, así como realizar los cambios correspondientes.
- Si obtuvieron información de tu trabajo repórtalo a tu jefe y al administrador de la red.
- Denuncia la página en el sitio Safe Browsing de Google.
IA aún sin un marco regulatorio
En internet aún no existe una regulación que impida a los ciberdelincuentes aprovecharse de los avances de empresas como Open IA, Microsoft y Google, quienes de forma reciente han lanzado mejoras en sus chats, implementado su IA en Microsoft Edge, o directamente lanzando alguna nueva herramienta de chat, o creación digital (Bard y Microsoft Designer).
La inteligencia artificial ayudará no solo a los ciberdelincuentes sino a nosotros como empresas a entender patrones de comportamiento de los usuarios. Nos ayuda a identificar posibles patrones de riesgo dentro de una red de una empresa.
Por lo que queda en las personas hacer un uso consciente de internet, tener antivirus, antispam, activar la configuración en dos pasos para todas las aplicaciones móviles y asegurarse de siempre verificar que los enlaces y la conexión a internet sea segura.
Te recomendamos:
Cómo prevenir delitos cibernéticos mientras trabajamos a distancia
