El correo electrónico sigue siendo una fuente inagotable de oportunidades para la ciberdelincuencia. Resulta muy eficaz para la práctica del phishing y para hacer envíos masivos de malware y spam.
Tan solo en 2015 se enviaron unos 190 mil millones de mensajes de correo electrónico al día. En promedio, cada usuario empresarial envío y recibió 42 mensajes de correo electrónico diariamente, según cálculos de Symantec.
Para los ciberdelincuentes que quieran contactar electrónicamente al mayor número posible de personas, éste sigue siendo el mejor medio.
Muchos de los mensajes de correo electrónico empresariales nunca salen de la organización, mientras que un 75% del tráfico de correo electrónico exterior son mensajes entrantes, de los cuales más del 50% son no deseados.
Principales amenazas en el correo electrónico
Spam. Se refiere a un mensaje de correo electrónico no deseado, no solicitado y con remitente desconocido, enviado a una gran cantidad de usuarios. El contenido de un spam es normalmente publicitario, no obstante, hay otros tipos de spam, como los virus y las páginas filtradas que se activan al ingresar en ellas. Symantec ha encontrado que durante los últimos años la cantidad de spam ha ido disminuyendo paulatinamente y, de hecho, en 2015 llegó al nivel más bajo registrado desde el año 2003.
Scam. Es el término que se emplea familiarmente para referirse a una red de corrupción. Hoy se usa para definir los intentos de estafa a través de un correo electrónico fraudulento (o páginas web fraudulentas). Generalmente, se pretende estafar económicamente por medio del engaño, a través de una supuesta donación a recibir o un premio de lotería al que se accede previo envío de dinero. Scam no solo se refiere a estafas por correo electrónico, también se le llama scam a sitios web que tienen como intención ofrecer un producto o servicio que en realidad es falso, por tanto, una estafa.
Phishing. Esta es una modalidad de scam, es decir, una estafa con robo de datos personales (principalmente bancarios o robo de identidad), a través de correo electrónico engañoso que parece auténtico (logotipos y direcciones web) y otras técnicas para acceder principalmente a cuentas bancarias, aunque existen variantes. Con el tiempo, debido a la evolución del mercado de la ciberdelincuencia, las campañas de phishing se han simplificado mucho para los atacantes. Ahora estos colaboran entre sí: algunos se especializan en comercializar kits de phishing.
Malware. Es un término general que se le da a todo aquel software que perjudica a la computadora. La palabra malware es la simplificación de la expresión del inglés: malicious software, y en español es conocido con el nombre de código malicioso. Como ocurre con el phishing, cuando se distribuye malware por correo electrónico, se necesitan ciertos conocimientos de ingeniería social para lograr que el destinatario abra un archivo adjunto o haga clic en un enlace.
Los adjuntos pueden ser facturas falsas, documentos de trabajo u otro tipo de archivos y, por lo general, es necesario que el software utilizado para abrirlos presente alguna vulnerabilidad sin resolver. La propagación de malware por correo electrónico no se ha reducido como el spam general y, dado su volumen relativamente bajo, es más proclive a las fluctuaciones. Se producen picos cuando se llevan a cabo campañas de gran envergadura.
El cifrado del correo electrónico como medida preventiva
Resulta muy útil y recomendable cifrar el correo electrónico, pues de este modo se protege la confidencialidad de los mensajes y se facilita la autenticación de los emisores.
Aunque los sistemas de correo electrónico en línea (como Outlook.com, de Microsoft, y Google Mail) cifran los datos en los clientes y casi todos los sistemas de correo electrónico dan prioridad a la transmisión cifrada, todavía queda una sorprendente cantidad de correo electrónico que se envía mediante transferencias SMTP sin cifrar.
Por ejemplo, según datos de Google, alrededor del 40% de los mensajes entrantes del 2015 no estaban cifrados.
Existen herramientas eficaces para cifrar el correo electrónico, pero las empresas tienen que aprender a utilizar mejor la tecnología disponible para proteger el correo electrónico, tanto durante el envío como una vez recibido.
Recomendaciones
Aunque muchos particulares y empresas consideran que no son un objetivo especialmente interesante para los ciberdelincuentes, tal vez se equivoquen. La clave está en no bajar nunca la guardia.
En el ámbito personal, esto significa:
- No abrir mensajes de correo electrónico procedentes de emisores desconocidos
- Buscar siempre el símbolo del candado y comprobar el certificado SSL/TLS antes de escribir información confidencial en un sitio web
- No utilizar redes desprotegidas para acceder a datos confidenciales
En el ámbito empresarial, hay que hacer lo siguiente:
- Implantar software de detección y prevención de las intrusiones
- Saber qué información valiosa posee la empresa y utilizar tecnología de prevención de pérdidas de datos
- Controlar dónde están los datos y quién tiene acceso a ellos
- Contar con un plan de respuesta a las incidencias para cuando se detecte un ataque
