- Tienes un mensaje privado -

¿Para qué es necesario irte a una web y leer un mensaje privado cuando se supone que quien te lo envía tiene tu email y podría enviarte un simple mail?

Si recibes un email diciendo que tienes un mensaje privado, desconfía, se trata de un ataque de INGENIERÍA SOCIAL conocido como "phishing, "fishing", "Phishing exploits". El email que recibes es un "spam" (correo basura de un remitente anónimo), aunque en nuestro caso el remitente es un conocido, incauta victima de phishing, usuario que le han robado la contraseña de su correo y sin que el lo sepa le están espiando y usando su correo para mandar phishing a sus contactos.

Los ataques de phishing pueden tomar varias formas, aunque la mayoría comienzan con la recepción de un correo electrónico aparentemente legítimo. lo peor de todo esto es que un usuario corriente cae en la trampa fácilmente y al ceder su email y contraseña a un tercero, este email que “pesca” esta info se propaga por todos los contactos, y así sucesivamente.

Al final, el atacante, tiene un mapa completo y detallado de qué cuentas son accesibles y como estan relacionadas entre ellas. Ya solo falta cambiar contraseña y procedimientos alternativos de seguridad en la cuenta (si es posible) y hacer dinero con ellas.

Los Ataques de phishing más recientes están empleando métodos que dependen menos de las vulnerabilidades informáticas y más de comportamientos cuestionable de los usuarios.

El término phishing proviene de la palabra inglesa "fishing" (pesca), haciendo alusión al intento de hacer que los usuarios "muerdan el anzuelo". También se dice que es la contracción de password harvesting fishing, cosecha y pesca de contraseñas.

El término exploit significa "aprobechar" y este termino también se aplica a partes del código de ciertos malwares (virus, troyanos, gusanos, etc..). Si un exploit es una amenaza informática que aprovecha los agujeros de seguridad y vulnerabilidades encontradas en aplicaciones y sistemas operativos, entonces, cuando se trata de lanzar un ataque de INGENIERÍA SOCIAL, el discurso que se prepara para convencer a la víctima se considera un exploit.

Un exploit típico es un correo falso, por ejemplo, te mandan una tarjeta virtual, te dice que para verla tienes que clickear un link, le das click al link y te manda a una pantalla de volver a iniciar sesion y tu vuelves a iniciar sesión y ahí te roban tu contraseña. Al hacer clic en los enlaces aunque no facilites ningún dato también informará al remitente de que su cuenta de correo electrónico está activa, lo que lo convierten en un destino para spam y ataques de phishing.

Este articulo lo he escrito tras recibir un ataque de phishing, que en mi caso no me redirigieron a una pagina web simulada, sino a una dirección web que aparentemente no carga nada, sin contenido. Que es lo que ha ocurrido?, que el atacante ya sabe que mi cuenta de correo esta activada, que le doy uso y que he picado, por lo tanto soy una victima potencial para cualquier tipo de ataques. También te puede redirigir a una pagina simulada imitando a la de tu correo, donde te vuelve a pedir tu contraseña para acceder de nuevo.

Si consiguen hacerse con tu contraseña de usuario pueden obtener información delicada, por ejemplo, con que banco trabajas y mandarte de nuevo un ataque phishing, un correo como que son tu banco pidiéndote que por cualquier motivo rellenes algún cuestionario.

Os dejo unas imagenes del ataque y de lo que he podido averiguar del atacante.