Historias reales: el fraude del CEO tiene un arma nueva, Google Drive

Silvia trabaja en el Departamento de Administración de una empresa nacional como encargada de las relaciones logísticas.

A diario, en su empresa, trabajan con multitud de documentos que necesitan ser editados por varias personas, incluso desde diferentes sedes repartidas por el territorio nacional, por lo que han implantado el sistema de edición compartida Google Drive, ya que, además de rápido, es fiable y seguro, pues requiere identificación y utiliza la autenticación de doble factor.

Un día Silvia recibe un correo de uno de sus jefes requiriéndole una transferencia a un proveedor, sigue los pasos indicados pero antes de finalizar nota que el procedimiento no es el habitual y le resulta extraño.

Ante esta situación, decide llamar al remitente del correo para preguntarle exactamente cómo desea que se realice la transferencia, pues algunos puntos le resultan extraños. Su superior le indica que él no ha enviado ningún mensaje con dichas instrucciones y que, por tanto, no debe realizar ninguna transferencia.

¿Qué estaba ocurriendo? Silvia estaba siendo víctima de un intento de fraude a través de Google Drive.

En qué consiste este fraude?

El éxito de las contramedidas desarrolladas por fabricantes de software y hardware en materia de ciberseguridad, hace que los ciberdelincuentes estén continuamente desarrollando nuevas técnicas de intrusión que les permitan burlar las barreras defensivas.

La última novedad consiste en saltarse los filtros de spam de las bandejas de entrada de correo electrónico, haciéndose pasar por un correo legítimo que consiga ganarse fácilmente la confianza del usuario. Una vez en su bandeja de entrada, el camino ya está medio recorrido.

Silvia había recibido un correo electrónico suplantando la identidad de su jefe (fraude del CEO), por lo que accedió sin dudarlo a la notificación de Google Drive.

De esta forma, los ciberdelincuentes consiguen ocultar enlaces maliciosos mediante canales de entrega considerados seguros. En esta ocasión el canal elegido no es otro que Google Drive, que goza de sobrada confianza entre sus usuarios y consigue saltarse los filtro antispam de los correos electrónicos.

La víctima recibe una notificación enviada desde Google Drive en la que figura un enlace acerca de un documento compartido. Hasta aquí todo es legítimo, y el ciberatacante ya ha logrado superar la barrera del spam; ahora solo queda el último escollo: superar la barrera humana.

Para ello, los ciberdelincuentes redactan un breve mensaje, haciendo uso una vez más de la ingeniería social, en el que explican las razones por las que deberíamos hacer clic en dicho enlace, el cual es deliberadamente lo suficientemente largo como para despistar acerca de su contenido. Los mensajes redactados a menudo suelen contener errores gramaticales o de ortografía, por lo que conviene prestar atención a todos los detalles.

Ejemplo de la notificación recibida en el correo de la víctima. Como se puede apreciar, no se ve la dirección de correo del remitente, solo su supuesto nombre. Además, el mensaje contiene faltas.

Si finalmente la víctima cae en la trampa, descargará un archivo que contiene malware o será dirigida a una página maliciosa con el objetivo de robar sus credenciales bancarias.

Nuestra protagonista seguía a menudo el blog de Protege tu empresa de INCIBE, y tenía un cierto grado de concienciación y conocimientos acerca de los tipos de engaños más comunes, por lo que en esta ocasión no cayó en la trampa.

Por el momento, este tipo de phishing solo está desarrollado en inglés y ruso, pero es cuestión de tiempo que se encuentre disponible también en español, por lo que no debemos bajar la guardia ante este tipo de correos.

Consejos para evitar este tipo de fraudes

Para las empresas y fabricantes de software supone un verdadero reto filtrar esta clase de amenazas, ya que el origen, como en el caso de nuestra historia, es una fuente fiable como Gmail.

Debemos tener en cuenta que la mejor protección es permanecer atento a este tipo de notificaciones que contienen enlaces con campañas o premios o solicitan información personal.

Algunas de las recomendaciones más habituales para evitar el phishing son: no abrir enlaces de desconocidos y desconfiar de campañas comerciales llamativas o de mensajes que solicitan datos personales con la promesa de una encuesta o premio. También podemos añadir la necesidad de verificar que el remitente es conocido y su dirección de correo concuerda con el dominio de su compañía. Un directivo nunca debería emplear una dirección de correo de terceros ajena a la empresa para dar instrucciones o comunicar información a sus empleados.

Asimismo, se debe prestar atención a la ortografía del mensaje, pues la mayor parte de las veces contiene errores gramaticales y ortográficos o se puede apreciar que se trata de traducciones literales.

Por último, cabe señalar que no se debe descargar archivos adjuntos de fuentes desconocidas por canales no verificados o autorizados por la empresa.

Google ya se encuentra trabajando en una solución de filtrado de spam en su nube. Sin embargo, ninguna solución antispam debe ser considerada 100% eficaz.

Desde Google invitan a reportar los casos sospechosos en sus servicios a la siguiente dirección:

https://support.google.com/docs/answer/2463296

Ante este panorama, la concienciación en materia de ciberseguridad de cada usuario es esencial para lograr un entorno de trabajo seguro que no dependa solo de las medidas de seguridad adoptadas en el entorno empresarial.

Desde INCIBE ponemos a disposición de las empresas nuestro kit de concienciación, con el que se puede entrenar al personal de cualquier empresa para actuar frente a situaciones de ciberseguridad comunes.

Una red segura es una red construida entre todos; por tanto, debemos ser colaborativos en la denuncia de este tipo de situaciones, lo cual redundará sin duda en el beneficio de todos los usuarios.

Si tienes dudas, llama al 017, la Línea de Ayuda en Ciberseguridad de INCIBE. Expertos en la materia resolverán cualquier conflicto online relacionado con el uso de la tecnología y los dispositivos conectados.