Con el teletrabajo y la comunicación online de millones de personas durante la crisis del coronavirus, el correo electrónico se ha convertido en una de las principales herramientas tanto para fines profesionales como personales. Ahora más que nunca, es importante aprender a detectar los ciberataques que llegan en forma de correos electrónicos, y seguir las recomendaciones para protegernos de ellos.

El correo electrónico ha sustituido en gran medida al correo postal a la hora de enviar cartas, notificaciones y publicidad. Se ha convertido en una forma más barata y muy común de ponerse en contacto con los usuarios, tanto para fines legítimos como ilegítimos. Los que se dedican a esto último han incrementado su actividad durante las semanas de bloqueo, y están aprovechando la «hiperconectividad» de los usuarios para lanzar sus ataques, también a través del correo electrónico.

¿Qué es el spam?

El spam es un mensaje de correo electrónico que se envía a un número masivo de destinatarios con fines publicitarios. Se conoce comúnmente como «correo basura», ya que tiene poco interés y no es solicitado por el usuario. Por ello, los servicios de correo electrónico suelen filtrar automáticamente estos mensajes y colocarlos en una carpeta especial, similar a los buzones para la publicidad.

Estos mensajes podrían llegar a los usuarios a través del ‘email marketing’ (campañas de captación de nuevos clientes por correo electrónico) en las que se compra legalmente su información de contacto a empresas especializadas, también conocidas como ‘data brokers’.

Gran parte de los correos spam provienen de empresas con las que hemos estado en contacto o hemos tenido una relación comercial, por lo que les hemos facilitado la información directamente.

¿En qué se diferencia del phishing?

Es habitual encontrar phishing masivo en la carpeta de spam – últimamente están relacionados principalmente con la pandemia o la declaración de la renta en España. Estos correos se diferencian del spam en que ni el remitente ni sus intenciones son legítimos. Suelen incluir ofertas comerciales falsas y noticias falsas que incluyen datos de contacto y enlaces fraudulentos.

Obtienen las direcciones de correo electrónico y otra información en un mercado no regulado e ilegal en la «web oscura». La información disponible procede de filtraciones de datos y de ofertas y encuestas fraudulentas en redes sociales o de mensajes virales en apps de mensajería instantánea en las que los usuarios facilitan su información de forma voluntaria.

¿El spam y el phishing sólo se producen por correo electrónico?

No. Aunque son los más conocidos, y también se utilizan como términos genéricos para otras plataformas electrónicas, existen términos específicos según el canal. En los SMS o aplicaciones de mensajería instantánea se llama spim en lugar de spam, y smishing en lugar de phishing. Por último, vishing es el nombre que recibe el phishing en una llamada telefónica.

¿Por qué no hay que abrir o responder a estos mensajes?

Tanto los correos electrónicos ‘spam’ como los ‘phishing’ están diseñados para captar la atención de los usuarios y conseguir que los abran. Aunque los principales servicios de correo electrónico suelen impedir la ejecución de ‘malware’ al abrir un mensaje, es importante siempre:

• Verificar el remitente antes de abrir cualquier mensaje.
• No responder nunca a estos mensajes. Si el correo es ‘spam’, suele provenir de cuentas ‘sin respuesta’ (que no pueden recibir mensajes), y si es ‘phishing’ estarías confirmando que la información que obtuvieron ilegalmente es correcta y pueden seguir utilizándola.
• No hagas clic en los enlaces, no descargues ni abras los documentos adjuntos ni confíes en la información de contacto del cuerpo de los mensajes. Si le interesa la oferta o quiere contactar con el remitente, verifique la información en las páginas oficiales.
• En el ‘phishing’ con extorsión, mantenga la calma y no ceda a las exigencias de los delincuentes, ya que suelen ser genéricas con información inventada. Hay que ponerse en contacto con el organismo público que gestiona la delincuencia online en el país.

¿La extorsión basada en información inventada?

Sí, es más común de lo que parece. Los ciberdelincuentes obtienen un lote de correos electrónicos y envían un mensaje en el que se dice a los usuarios que los delincuentes tienen información muy sensible que podría afectar a su reputación y que los delincuentes la harán pública si no realizan un pago urgente.

Este es el caso de la ‘sextorsión’, en la que el ciberdelincuente amenaza con hacer público teórico material gráfico e historial de navegación de carácter sexual. El siguiente ejemplo muestra cómo los delincuentes explican cómo han obtenido la información, qué material harán público si no se les paga inmediatamente en bitcoins y las instrucciones concretas de cómo hacerlo. Es importante destacar que, salvo la dirección de correo electrónico del destinatario, no hay nada real en estos mensajes.

Ejemplo de ‘sextorsión’