Phishing: una amenaza para un mundo globalizado. Por: Luis Miguel Ballestas y Ana Lucía Morales anamorales@inpsicon.

Transcripción

1 Phishing: una amenaza para un mundo globalizado Por: Luis Miguel Ballestas y Ana Lucía Morales Resumen: En los últimos años, se ha incrementado el número de casos de delincuencia a través de Internet, generando grandes pérdidas económicas tanto para los usuarios como para las empresas que prestan servicios online. La última técnica utilizada es el phishing, o la suplantación de identidad de empresas reconocidas, que van desde portales de ventas, hasta su banco de confianza. Las cifras registradas de fraude son alarmantes, sin embargo existe una gran desinformación acerca del tema. En este artículo se explican las modalidades más populares de está técnica y su impacto en a nivel mundial. Palabras clave: Phishing, fraude electrónico, , suplantación de identidad, transacciones on-line. Phishing es la técnica que consiste en solicitar información sensible de un usuario, es decir, información que vulnere su privacidad, haciéndose pasar por un agente confiable. Cada vez es más reconocido en Internet el peligro que representa que el usuario entregue su información de números de tarjetas de crédito, contraseñas, direcciones e información de uso personal e intransferible a un sitio que aparenta ser una entidad confiable y reconocida por el usuario. Usualmente luego de ingresar las claves de acceso aparece una pantalla informando que lamentablemente por el momento no hay servicio. (Lanzagorta, J., 2007). El medio más utilizado para aplicar esta técnica, es mediante un mensaje de correo electrónico en asociación con un sitio Web falso que le pide al usuario revelar información financiera personal, con objetivos que parecen razonables, como actualización de datos o comprobación de identidad. (Rudd, B., 2004). Es también muy común que el mensaje le advierta al usuario que de no realizar las acciones que se solicitan, la entidad a la que suplanta podría sancionarlo o bloquear futuros accesos.

2 La palabra phishing viene de la palabra inglesa fish (pescar), analogía usada por delincuentes virtuales, de pescar contraseñas e información financiera de un mar de usuarios de Internet. Este término fue acuñado en 1996 por hackers que robaban contraseñas de cuentas de usuarios AOL (American Online). Esta técnica no es nueva ni revolucionaria, sino que es una combinación de dos formas de delincuencia virtual que han existido desde siempre: la ingeniería social y la suplantación de identidad. Según la definición de webopedia, (2008) la ingeniería social es el acto de obtener o intentar obtener información, convenciendo a un individuo de revelarla. La ingeniería social es efectiva porque sus víctimas tienen una tendencia a confiar en otras personas y son naturalmente serviciales. El phishing en sus inicios sólo pretendía obtener contraseñas de usuarios de servicios de Internet, pero con el tiempo se ha convertido en una técnica para obtener información financiera de los usuarios. En sus inicios, esta técnica consistía simplemente en el envío de un mensaje de correo a la víctima, en el que se solicitaba que respondiera al mensaje con sus datos. En la actualidad existen sitios completos destinados únicamente a estafar a usuarios con poca información al respecto, tales sitios incluyen bolsas de empleo, y droguerías online, entre muchos otros. Hasta hace unos años, la mayoría de los creadores de virus actuaban buscando bancos de datos para venderlos a empresas encargadas de enviar publicidad vía electrónica, sin embargo ahora persiguen fines económicos. Es por esto que actualmente los fraudes por Internet no se envían de forma masiva, sino que el proceso es más lento, delicado y personalizado. Barracuda Networks Inc., proveedor de aplicaciones de seguridad electrónica, reportó que el 22 de Noviembre de 2007, día de Acción de Gracias en Estados Unidos, los sitios de phishing creados, incrementaron diez veces los correos electrónicos que utilizan esta técnica. La compañía explica que al estar los funcionarios de las empresas americanas de descanso durante los días festivos, los delincuentes virtuales confunden a los clientes haciéndoles creer

3 que los servicios están disponibles ese día. ( 54&RQT=309&VName=PQD) Lo más preocupante de esta problemática es que los fraudes se presentan en sitios de comercio electrónico reconocidos como ebay, Amazon y PayPal. Esto dificulta la diferenciación de los sitios reales y los fraudulentos, por lo que es importante dar a conocer las formas de prevenir a los usuarios para no caer en este tipo de trampas. El afectado en estos casos no es solamente el cliente, sino también las empresas, pues pierden credibilidad, se desvaloriza su marca y su flujo de ventas baja, además de que los correos electrónicos de phishing pueden vulnerar su información confidencial y utilizarla como objeto de chantaje. A pesar de que cientos de equipos de trabajo de seguridad electrónica trabajan para localizar a los delincuentes, tan sólo en España el phishing creció en un 290% en el 2006 y entre enero y febrero de 2007 un 400%, explicó la Asociación de Internautas ( Esta Institución adelanta investigaciones y campañas sobre el fraude en Internet, con el fin de educar a los usuarios para que conozcan los riesgos e implicaciones de comprar vía electrónica. En el último informe, mencionan haber recibido más de denuncias; otra de las instituciones que vela por los intereses de los clientes del comercio por Internet, es Brigada de Investigación Tecnológica (BIT) del Cuerpo Nacional de Policía de España. El Anti-Phishing Working Group (APWG), revela información preocupante relacionada con el phishing en el mundo. La siguiente tabla, muestra el número de sitios reportados como phishing de noviembre de 2006 a noviembre de 2007 por su grupo de trabajo.

4 Reportes de phishing recibidos de noviembre de 2006 a noviembre de 2007 en el sitio Web del Antiphishing working group (APWG). En este mismo reporte, se muestra cuáles son los países en los que se crearon estos sitios Web. China encabeza la lista con un 24.21%, seguido por Estados Unidos, con un 23.85%, India 9.39%, Rusia 8.06%, Tailandia 4.64%, Romania 3.53%, Alemania 3.41%, República de Korea 2.42%, Reino Unido 1,47%, y Francia con un 1,47%. Lista de los 10 países donde más residen sitios phishing.

5 El phishing llegó a América Latina de una manera más discreta, primero como simples traducciones del inglés de los mensajes de correo phishing con evidentes fallas ortográficas y gramaticales-, hasta convertirse en la amenaza que representa hoy en la región. En Chile, se reportó un caso de phishing que tenía asociado un sitio Web muy similar al Banco de Chile. Muchos usuarios reportaron en foros la circulación de un mensaje de correo con el asunto Durante nuestra verificación regular no pudimos registrar sus datos. En la siguiente imagen se muestra que el sitio tiene una dirección Web, que puede engañar a usuarios distraídos y una presentación muy parecida a la del sitio oficial. Sitio phishing que se hacía pasar por el banco de chile. NOTA: El sitio es falso porque los bancos utilizan en la barra de dirección el protocolo https, en este se omite la s. La dirección del banco está escrita de manera incorrecta: la correcta es El domingo 8 y lunes 9 de octubre (2006), fue reportado en el sitio Web el envío masivo de correos electrónicos que avisaban al usuario acerca de un error en la información de sus cuentas. El banco que intentaban suplantar era el home banking, una reconocida entidad financiera argentina. El mensaje era el siguiente: --- Comienzo del falso mensaje ---

6 Estimado cliente de Home Banking, Durante nuestro mantenimiento regular y procesos de verificación, hemos detectado un error en la información que tenemos registrada de su cuenta. Esto se debe a algunos de estos factores: 1. Un cambio reciente en su información personal (cambio de dirección, etc.) 2. Que usted haya proveído información invalida durante su proceso inicial de registro para Home Banking o que usted aun no haya realizado dicho registro. 3. La inhabilidad de verificar con exactitud la opción de su elección concerniente a su forma preferente de pago y manejo de cuenta debido a un error técnico interno dentro de nuestros servidores. Por favor verifique su información dentro de las siguientes 48 horas, ya que de lo contrario algunos servicios del uso y acceso de su cuenta serán restringidos hasta que esta información sea actualizada.! A pesar de ello, se le recomienda no realizar ningún cambio en su nombre de usuario y/o clave. Esto podría ocasionar problemas en la verificación de su cuenta. Por favor verifique su información haciendo click sobre el siguiente enlace: https: // homebanking.redlink.com.ar/inicial.asp?comprobar=1&sh=841 Desde ya, muchas gracias, Servicio Técnico HB Banco Nación --- Final del falso mensaje Extraído Febrero 20, Reporte de mensaje Phishing. En Colombia también se han reportado casos de phishing, tales como el ocurrido en octubre de 2006, cuando se realizó la fusión entre Bancolombia y Conavi. Aprovechando la confusión generada en el público por la decisión de las dos entidades bancarias, empezó a circular un mensaje de correo que le pedía al usuario su colaboración para una rápida restauración de los datos en el sistema. El mensaje era el siguiente:

7 Extraído Febrero 20, Reporte de un usuario que recibió mensaje phishing. En Colombia, la situación va mucho más allá de casos aislados. De hecho, la RSA, división de seguridad de EMC - proveedor de soluciones de seguridad para aceleración del negocio presentó en su informe mensual de fraude electrónico de diciembre de 2007, la lista de los países cuyas entidades bancarias han sido más atacadas por los sitios phishing, en la cual Colombia ocupa el noveno lugar.

8 En este mismo informe, se explica que Colombia se ha mantenido en esta posición durante seis meses consecutivos, convirtiéndose en el único país latinoamericano en la lista. A pesar de que muchos sitios Web cuentan con información sobre los fraudes electrónicos y su expansión es cada vez mayor hacia más países, es poco el conocimiento práctico con que cuentan los usuarios para prevenirlos. Bibliografía José María Luque Guerrero, (2007). El Phishing en España se incrementa un 290% en Asociación de internautas. Extraído el Noviembre 26, 2007, de Barracuda Networks Inc. (2007, Noviembre 26). Telecomworldwide. Extraído el Diciembre 5, 2007, desde =309&VName=PQD Feinstein, Ken. (2004). How to Do Everything to Fight Spam, Viruses, Pop-Ups, and Spyware. Pag. 19. Extraído diciembre 4, 2007, desde Lanzagorta, J. (2007, Diciembre 4). Cómo prevenir fraudes por Internet. Noticias Financieras. Extraído el 5 de Diciembre de 2007 desde =309&VName=PQD

9 Rudd, B. (2004) An analysis of Phishing and possible mitigation strategies. SANS Institute. RSA (Diciembre de 2007) Reporte mensual de fraude en línea. Extraído Febrero 20, 2008, desde df What is social engineering? - A Word Definition From the Webopedia Computer Dictionary. Extraído Febrero 20, 2008, desde APWK. Extraído Febrero 20 de 2008, desde Phishing: Estimado cliente de Banamex (Mayo 28, 2006). VSantivirus No Año 10. Extraído Febrero 20, 2008, desde htm