Ha hecho clic: ¿y ahora qué?

Módulo 3: Reconocer el phishing · Tiempo de lectura: 12 minutos

Objetivo de la lección: Después de esta lección sabrá qué hacer en las primeras horas tras hacer clic, introducir una contraseña, introducir datos bancarios o abrir un archivo adjunto, en el orden correcto, y cómo notificar y reenviar un phishing.
Conceptos clave: contener, cambiar la contraseña desde un dispositivo limpio, revocar sesiones, llamar al banco, notificar, reenviar el phishing (por ejemplo, a la Línea de Ayuda en Ciberseguridad de INCIBE y a la marca suplantada)

Le puede pasar a cualquiera

Todo el mundo hace clic alguna vez en el enlace equivocado. También las personas que han seguido este curso, también el personal de informática. Un buen correo de phishing llega en el momento equivocado, con la historia adecuada. Avergonzarse no sirve de nada, actuar rápido sí. Cuanto antes intervenga, menos podrá hacer el atacante con lo que haya obtenido.

Por eso el primer paso en cualquier empresa es: notifíquelo de inmediato, al compañero que se encarga de la informática o a su empresa de informática. Acuerden que quien notifique un clic reciba un agradecimiento y no una reprimenda (más sobre esto en la lección 9.2). Quien tiene miedo al castigo no dice nada, y entonces el atacante dispone de días de margen.

Primero determine: ¿qué ha ocurrido exactamente?

Lo que debe hacer depende de hasta dónde haya llegado. Determínelo primero, de forma breve y sincera.

Solo hacer clic normalmente no es grave: los navegadores modernos están bien protegidos. Pero un clic también puede iniciar una descarga. Si tiene dudas, trátelo como la situación más grave.

Paso a paso en las primeras horas

1. Notificar dentro de su empresa. De inmediato, también en caso de duda. Cuente qué vio, cuándo, y qué introdujo o abrió. Conserve el mensaje: no lo elimine, lo necesitará para notificarlo.

2. Contener. ¿Ha abierto un archivo adjunto o ha dado acceso a alguien? Desconecte el dispositivo de la red: apague el wifi, desconecte el cable de red. No lo apague de inmediato, porque lo que hay en la memoria puede ayudar en la investigación (lección 8.3). No siga trabajando en ese dispositivo.

3. Llamar al banco si hay dinero de por medio. Si ha introducido datos bancarios o ha aprobado un pago, llame de inmediato a su banco, al número que figura en su tarjeta o en el sitio oficial. Cuanto antes lo haga, mayor será la probabilidad de que un pago se pueda bloquear o recuperar. Un pago a un IBAN falso tras un fraude de facturas también debe notificarse de inmediato a su banco.

4. Cambiar la contraseña desde un dispositivo limpio. Cambie la contraseña de la cuenta que introdujo. Hágalo en un dispositivo distinto al que usó para abrir el archivo adjunto, porque en ese puede haber un programa vigilando. Escriba usted mismo la dirección o use su marcador, no el enlace del mensaje. Si usó la misma contraseña en otro sitio, cámbiela también allí (lección 2.1).

5. Revocar sesiones y revisar la cuenta. Una nueva contraseña no siempre expulsa automáticamente a un atacante que ya esté dentro. Por eso, cierre todas las demás sesiones (lección 2.5) y compruebe qué puede haber cambiado:

• verificación en dos pasos: ¿aparece una aplicación o un número de teléfono desconocidos?
• datos de recuperación: ¿ha cambiado la dirección de correo o el número de teléfono de recuperación?
• reglas de reenvío y filtros en su buzón: a un atacante le gusta crear una regla que reenvíe todo el correo, o solo el correo que contenga la palabra "factura", a su propia dirección, o que lo elimine directamente. Así sigue leyendo sus correos, incluso después de que usted haya cambiado su contraseña;
• elementos enviados: ¿hay correos enviados que usted no escribió? Entonces debe avisar a sus contactos.

6. Notificar y reenviar. Vea más abajo.

7. Comprobar si se trata de una filtración de datos. ¿Pudo el atacante acceder a un buzón, una base de datos de clientes u otro entorno con datos personales? Entonces es posible que haya una filtración de datos. Según el RGPD, debe notificar una filtración de datos sin dilación indebida y, de ser posible, dentro de las 72 horas siguientes a su descubrimiento, a la autoridad de control (en España, la Agencia Española de Protección de Datos, AEPD), salvo que sea improbable que suponga un riesgo para las personas afectadas. En cualquier caso, regístrelo en su registro de filtraciones de datos. Cómo evaluarlo lo aprenderá en la lección 8.2.

Notificar y reenviar el phishing

Notificarlo tiene sentido, incluso si no ha pasado nada. Así un sitio falso puede desconectarse antes, y se avisa a otras personas.

A la Línea de Ayuda en Ciberseguridad de INCIBE. Puede consultar o notificar el fraude a INCIBE llamando al teléfono 017, o a través de su sitio web, https://www.incibe.es/linea-de-ayuda-en-ciberseguridad. Recomendaciones generales:

• reenvíe el correo preferiblemente como archivo adjunto. Con un reenvío normal se pierden los datos técnicos (las cabeceras de la lección 3.3). Si no es posible, por ejemplo desde un teléfono, reenvíelo de forma normal;
• si el correo parece proceder de un banco u otra empresa conocida, ponga la dirección de esa empresa en copia (cc). Muchas organizaciones publican en su sitio web una dirección de contacto para este tipo de avisos;
• los sms, WhatsApp y otros mensajes no se envían a ese canal de correo, sino que se notifican a través de los canales habilitados por INCIBE. Esos mismos canales se usan también para un correo sospechoso sin enlaces ni archivos adjuntos, y para el fraude telefónico de falso soporte técnico.

En muchos programas de correo, la opción de reenviar como adjunto se llama "Reenviar como adjunto" o algo similar.

A la marca suplantada. Si se suplanta el nombre de un banco, transportista o proveedor, infórmelo a esa organización a través de un canal que usted mismo busque en su sitio web auténtico, no a través del mensaje recibido. Muchas organizaciones tienen una dirección propia para notificar phishing. Si se trata de su propia empresa de alojamiento o proveedor de correo, envíelo también allí; en WebOké puede hacerlo mediante un ticket, con el correo como archivo adjunto (Base de conocimientos 581).

Denuncia ante la policía. Si ha perdido dinero, o hay un uso indebido o un intento de ello, presente denuncia ante la Policía Nacional o la Guardia Civil. La Línea de Ayuda de INCIBE asesora y recopila notificaciones, pero no puede investigar por sí misma. Eso solo puede hacerlo la policía.

Después puede eliminar el mensaje y bloquear al remitente.

Revisión al cabo de una semana

Un ataque no siempre termina en un día. Ponga un recordatorio para una semana después:

• ¿Hay avisos de inicio de sesión nuevos o sesiones desconocidas?
• ¿Aparecen pagos desconocidos en los extractos bancarios?
• ¿Hay reglas de reenvío o filtros nuevos en el buzón?
• ¿Se quejan clientes o proveedores de correos extraños enviados en su nombre? Entonces su buzón puede estar siendo utilizado para enviar spam (Base de conocimientos 25).
• ¿Qué podemos aprender? ¿Era fácil reconocer el mensaje, y qué lo habría hecho destacar antes la próxima vez?

En la práctica: así se ve

Lunes 9:12. Fátima, de la Panadería Example, introduce su contraseña de correo en una página de inicio de sesión falsificada del "programa de contabilidad". A las 9:15 se da cuenta de que la dirección era boekhoudpakket.inlog-check.example. Lo notifica a Carlos, que se encarga de la informática. A las 9:20, Carlos cambia desde su propio portátil la contraseña del buzón de Fátima y cierra todas las sesiones. En el correo web encuentra una regla nueva: todo el correo con la palabra "factura" se envía a una dirección desconocida y luego se elimina. Elimina la regla, activa la verificación en dos pasos y revisa los elementos enviados: no se ha enviado nada. Fátima reenvía el correo de phishing como archivo adjunto a la Línea de Ayuda en Ciberseguridad de INCIBE. Carlos lo anota en el registro de incidentes y comprueba si el atacante pudo haber visto datos personales. Al cabo de una semana, vuelve a revisar las reglas y las sesiones.

Dónde se encuentran esas reglas y sesiones varía según el entorno. En WebOké, los reenvíos de una dirección se gestionan en Mi WebOké y en DirectAdmin (Forwarders), y también puede haber una regla en el correo web o en el propio programa de correo. En otros proveedores funciona de forma parecida: busque opciones de reenvío, forwarders, reglas o filtros.

Resumen

• Todo el mundo hace clic alguna vez. Notifíquelo de inmediato, sin vergüenza, y acuerden que notificarlo se recompensa.
• Determine primero qué ha ocurrido: solo un clic, contraseña, código, datos bancarios, archivo adjunto o acceso remoto.
• Orden: notificar, contener (desconectar de la red), llamar al banco si hay dinero de por medio, cambiar la contraseña desde un dispositivo limpio, revocar sesiones y revisar la cuenta (sobre todo las reglas de reenvío), notificar y reenviar, evaluar si hay filtración de datos.
• Reenvíe el correo falso como archivo adjunto a través de los canales de la Línea de Ayuda en Ciberseguridad de INCIBE (017), con la marca suplantada en copia; los sms y mensajes de chat, a través de los canales de notificación correspondientes. Si hay daños: presente denuncia.
• Vuelva a revisarlo al cabo de una semana.

Cuestionario

Ejercicio

Ejercicio A3.5: La tarjeta de pasos tras un clic. Se le presenta una situación y un conjunto de tarjetas con pasos. Elija qué pasos son necesarios y colóquelos en el orden correcto. El programa lo corrige y explica por qué un paso debe ir antes o después.

Para saber más

Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores funciona de forma similar.

• ¿Es realmente este correo de WebOké? Cómo reconocer el phishing y utilizar el código de promoción
• Buzón comprometido o spam enviado desde su dirección: así lo soluciona
• Manual de WebOké 3.6: Ver y cerrar sesiones activas
• Manual de DirectAdmin 3.7: Contraseñas seguras y qué hacer en caso de filtración de una contraseña
• Línea de Ayuda en Ciberseguridad de INCIBE: https://www.incibe.es/linea-de-ayuda-en-ciberseguridad
• INCIBE, recursos de ciberseguridad para empresas: https://www.incibe.es/empresas
• Agencia Española de Protección de Datos (AEPD): https://www.aepd.es/