Llega el "networking criminal"

egún los análisis efectuados por los laboratorios de seguridad de G DATA, los criminales llevan mucho tiempo aprovechándose de estas redes participativas para sus propios propósitos. La infiltración en comunidades online y la difusión de spam o malware se han ido convirtiendo, paulatinamente, en algo cotidiano en las redes sociales, y dicha tendencia continuará al alza.

Los abusos potenciales que han ideado los criminales varían enormemente, y van desde el espionaje de datos personales y la distribución de spam o phising hasta el aprovechamiento de los agujeros de seguridad descubiertos en la plataforma social en cuestión.

Ralf Benzmüller, director de los laboratorios de seguridad de G DATA, alerta al respecto sin ocultar su preocupación: "Los criminales online llevan mucho tiempo pensando en desembarcar en estas comunidades de usuarios. Durante los dos últimos meses, hemos detectado un inquietante incremento en la actividad criminal en las redes sociales, y apenas existe comunidad alguna que no se haya visto afectada. Las tácticas empleadas son ingeniosas y recurren a todo el repertorio del eCrimen. Junto a la inserción directa de malware o la distribución en masa de correos, los atacantes utilizan las redes sociales para redirigir a los usuarios a ciertos sitios web, con el objetivo de infectar sus ordenadores mediante descargas dirigdas o descargas de archivos, o incluso tentando a compradores potenciales a hacer compras en sitios con ofertas dudosas".

La alta popularidad y aceptación de las redes sociales y su especialización en temas específicos proporcionan a los criminales un potente caldo de cultivo. "En comparación con el mundo real, los costes y el esfuerzo requerido, junto los posibles beneficios que se pueden logra,r ofrecen a los criminales una relación coste/beneficio particularmente favorable. Sólo en Facebook existen más de 130 millones usuarios en todo el mundo", continúa Benzmüller. "La segmentación en sub-comunidades permite a los spammers crear correos fraudulentos dirigidos con mayor precisión a un grupo específico de usuarios".

Ataques dirigidos específicamente a una empresa concreta

La información que los propios miembros de las redes sociales divulgan sobre sí mismos y todo lo que les rodea también permite que los cibercriminales dirijan de forma específica sus ataques a ciertas empresas. "Con la información que se puede recopilar en Xing sobre una compañía en concreto, se puede enviar phising específico al equipo directivo de la compañía, al departamento de ventas o a los responsables de cuentas, por ejemplo, todo ello gracias a la información facilitada en los perfiles sobre la compañía en la que trabaja el usuario, así como sobre sus compañeros de trabajo o sus aficiones. Estos troyanos hechos a medida, una vez logran infiltrarse en la compañía, puede acabar provocando cuantiosas pérdidas hasta incluso llegar a provocar su quiebra", advierte Benzmüller.

Datos personales

Además de la inserción directa de malware o la distribución masiva de correos no deseados, los atacantes utilizan las redes sociales para dirigir a los usuarios a sitios web infectados en los que puedan robar sus datos personales, para proceder a su posterior venta en el mercado negro. Especialmente atractivos resultan los datos de acceso y el resto de información habitual del perfil, los números de teléfono, las direcciones de correo electrónico y las fechas de nacimiento.

Los laboratorios de seguridad de G DATA han estimado que el precio actual en el mercado negro de 500 MB de datos no filtrados ronda los 40 euros. Los receptores de estos datos robados los venden y revenden a call centers extranjeros, proporcionándoles un acceso más sencillo a los clientes.

El perfil transparente

Los usuarios de estas plataformas a menudo exponen de forma insensata sus datos personales o de su empresa a un amplio espectro de personas. Esta información, por ejemplo, se publica sin protección y queda a disposición de cualquiera -y no sólo de amigos aceptados- en Xing o Linkedin. Utilizando servicios como 123people o Yasni, resulta fácil recopilar perfiles de usuario, lugares de residencia o aficiones y utilizar tales datos posteriormente para lanzar ataques dirigidos. "A grandes rasgos, uno sólo debería publicar en las redes sociales aquello que se atrevería a escribir en una valla en una estación central de tren. Las empresas deben establecer guías maestras para frenar estos posibles abusos", concluye Benzmüller.

Medidas básicas de seguridad

Aquellos que utilicen alguna red social y quieran minimizar el riesgo existente, deben seguir los siguientes consejos básicos de seguridad:

· Un ordenador se puede ver infectado con malware con tan sólo visitar un sitio web (descarga dirigida, o drive-by-download), sin tan siquiera acceder al disco duro. Los antivirus tradicionales, que solo monitorizan los archivos del sistema, resultan por tanto ineficaces. La protección adicional necesaria se ofrece mediante un escaneo http, que comprueba el contenido de la web antes de que llegue al navegador web y cause daño alguno.

· Los usuarios de Xing, Lonkedin y similares deben configurar sus perfiles de forma que sus datos personales sólo estén a disposición de las personas que ellos decidan directamente. De otra forma, los motores de búsqueda de personas como 123people o Yasni indexarían, almacenarían y pondrían a disposición de cualquiera tales datos personales.

· La protección antivirus, el sistema operativo y el navegador deben estar siempre actualizados a la última versión disponible. Esto elimina los agujeros de seguridad conocidos y asegura que las defensas antivirus estén siempre en vigor.

· Mantenga cierto escepticismo sobre las peticiones de amistad de personas desconocidas, ya que podrían ser traficantes de datos en búsqueda de información personal que recopilar para su posterior venta.

· No responda a aquellas notificaciones en las que se le pida que desvele contraseñas, números de cuenta, códigos PIN o cualquier otro dato personal, especialmente si se le amenaza con cerrarle su cuenta o perfil en caso contrario.

· Utilice contraseñas complejas. Evite términos de fácil lectura, como nombres o fechas. De otra forma, corre el riesgo de que le roben su contraseña. Por ello, conviene escoger una contraseña que combine letras, números y caracteres especiales, algo que en definitiva no se encuentre habitualmente en un diccionario o calendario.

· ¡Utilice una contraseña distinta para cada comunidad en la que participe!