Felicitamos al Centro Nacional de Ciberseguridad del Reino Unido, o NCSC para abreviar.
Acaban de anunciar un conjunto de medidas sencillas sobre lo que se puede hacer con el aparentemente creciente número de correos electrónicos fraudulentos, spam y de phishing que el coronavirus parece haber desatado.
Con una visión admirablemente amplia, el NCSC está lanzando su nueva campaña en dos formas complementarias:
- Se insta a la población a que informe de las estafas por correo electrónico relacionadas con el coronavirus.
- Phishing: cómo informar al NCSC.
Nos parece una gran idea.
Porque lo último que queremos ver es que todos terminemos tan centrados en las estafas relacionadas con el coronavirus, que sin querer se cree una laguna jurídica para aquellos ciberdelincuentes que envían estafas no relacionadas con el coronavirus, con la esperanza de atraer menos la atención, escondiéndose a plena vista, por así decirlo.
Ya hemos visto antes este problema en la historia de la ciberseguridad.
Un ejemplo cercano es lo que mucha gente solía llamar “estafas nigerianas”, que siempre fue un término confuso y peligroso de usar.
En primer lugar, conocemos a muchos nigerianos que no son estafadores y al menos a algunos no nigerianos que sí lo son, por lo que es engañoso y xenófobo aplicar un epíteto criminal a todo un país. (Especialmente un país tan poblado como Nigeria y con una diáspora tan grande).
En segundo lugar, e irónicamente, la frase “estafadores nigerianos” acabó haciendo el juego a los ciberdelincuentes nigerianos reales, que descubrieron que al afirmar abiertamente que procedían de uno algún país del África occidental, se volvían automáticamente más creíbles, sin necesidad de cambiar sus estafas de manera significativa.
En otras palabras, el adjetivo “nigeriano”, al asociarse con el remitente o el contenido de un correo electrónico, se convirtió en un apoderado de “estafa”, y por lo tanto, mediante un engañoso e inválido salto de lógica, “no nigeriano” pasó a ser un apoderado de “no estafa”.
Un ejemplo más reciente es la cuestión del ransomware, que tiende a dominar cualquier debate moderno sobre el malware, hasta el punto de que algunas personas piensan que basta con protegerse específicamente contra el ransomware prácticamente olvidando el resto de amenazas de malware que existen.
El problema de este enfoque es que muchos, quizás incluso la mayoría, de los ataques de ransomware comienzan con una infección por algún otro tipo de malware como un keylogger o un troyano y en muchos de esos casos, ese primer virus originalmente se montó tras una infección de malware que llegó antes, por ejemplo, el bot de control remoto conocido como Emotet.
En otras palabras, si se centra demasiado en el ransomware, entonces, incluso si se bloquean todos los ataques ransomware que se presenten, se puede terminar con problemas muy serios a causa de las múltiples infecciones de malware que los precedieron.
¡Piensa a lo grande!
La ciberseguridad no tiene por qué ser tan específica, ya que el coste adicional de la protección contra el malware, en general, es insignificante en comparación con el coste de la protección eficaz contra el ransomware en particular.
Del mismo modo, si simplemente se redefine “estafas nigerianas” como “estafas de pago anticipado” -centrándose en cómo funcionan en lugar de quién puede o no puede perpetrarlas – se aprende a reconocer los esquemas fraudulentos de dinero por adelantado en general y a protegerse mucho mejor.
Por eso nos alegra que el NCSC haya identificado que su nuevo Servicio de notificación de mensajes de correo electrónico sospechosos (SERS) ayuda a tratar específicamente las estafas relacionadas con los coronavirus.
Es correcto reconocer que las estafas de coronavirus tienen una importancia propia, y reconocer el comprensiblemente enorme malestar que lleva a la comunidad.
Parafraseando a George Orwell, todas las estafas son iguales, pero algunas son más iguales que otras.
Pero también es vital recordar que el phishing de todo tipo sigue siendo un peligro claro y presente con un alcance muy amplio, y el NCSC también ha hecho eso. Como dice el NCSC:
A los cibercriminales les encanta el phishing. Desafortunadamente, esta no es una persecución inofensiva a la orilla del río. Cuando los criminales hacen phishing, tú eres el pez y el cebo suele estar contenido en un correo electrónico o un mensaje de texto fraudulento.
El objetivo del criminal es convencerte de que hagas clic en los enlaces de su correo electrónico o mensaje de texto de estafa, o que des información sensible (como los datos bancarios).
Así que si ves algo falso y quieres reportarlo a alguien, ya sea la última estafa de sextorsión pornográfica, una entrega a domicilio falsa o máscaras faciales falsas a la venta puedes enviarlo a la dirección de correo electrónico fácil de recordar: report@phishing.gov.uk.
Como el NCSC señala, no responderá a los correos que lleguen, pero cada muestra ayuda, porque el largo brazo de la ley dice que está listo para actuar en nuestro nombre:
Si descubrimos una actividad que creemos que es maliciosa, podemos:
-
- intentar bloquear la dirección de la que vino el correo electrónico, para que ya no pueda enviar correos electrónicos
- trabajar con las empresas de hospedaje web para eliminar los enlaces a sitios web maliciosos
- sensibilizar sobre los correos electrónicos sospechosos comúnmente denunciados y los métodos utilizados (a través de partners)
Aunque el NCSC no puede informarle del resultado de su envío, podemos confirmar que actuamos sobre cada mensaje recibido.
Recuerda que si alguna vez un grupo de estafadores de phishing llega a los tribunales, la presentación de correos electrónicos de estafa reales de destinatarios reales de todo el mundo es una poderosa prueba del impacto global de sus crímenes.
