La primera entrada para un ciberdelincuente es a través de un correo incitando a la víctima para que descargue algún tipo de documento, o mediante alguna oferta llamativa proporcionando un enlace, siendo este la manera en el que el atacante consigue acceso a la computadora o red. Este tipo de ataque puede llegar a ser silencioso si no se cuenta con una configuración de seguridad correcta.
Sensibilizar a las personas de una institución es unas de las primeras soluciones para contrarrestar estos ataques de correo fraudulentos. Identificar correos fraudulentos es un trabajo sencillo; y a la vez tedioso ya que puede llegar un correo al momento que una persona está muy cargada de trabajo, y sin prestar mucha atención accede al plan del atacante. Este ejercicio de identificar correos no deseados, es un trabajo continuo que se debe realizar de manera semestral, con la finalidad de reducir el riesgo que puedan comprometer la infraestructura tecnológica de una determinada institución.
Para identificar correos maliciosos se tiene que analizar el correo desde arriba hacia abajo. Es importante conocer el remitente del correo para identificar si el correo es de un compañero de trabajo. Hoy en día, los correos masivos son enviado con formato HTML; Si el correo contiene un enlace es de buena práctica realizar un clic derecho y seleccionar copiar enlace. Así luego pegarlo en un bloc de notas para analizar el enlace; también, analizar si coinciden ambos vínculos. Verificar que los archivos adjuntos siempre sean con el remitente que envió el correo; de esta manera se valida que el documento anexado haya sido enviado por el remitente. Se debe tomar en cuenta si el correo que recibió lo esperaba; si no lo esperaba, entonces el correo puede que no sea para usted. Los correos que tienen como asunto “informes de recursos humanos” son de los más utilizados para atacar, ya que es un departamento que requiere interacción con las personas de la institución. Usualmente requieren que el usuario complete un formulario o descargue un documento anexado; por ende, siempre es bueno confirmar estos archivos con una llamada a recursos humanos.
Reportar un correo malicioso que usted haya identificado es muy importante y de gran ayuda, ya que puede advertir a otro compañero para que así él pueda identificarlo. En toda institución y/o empresa, se deben hacer ciertas salvedades a los trabajadores, a través de comunicados, o reglas, donde los anime a reportar si ven algo extraño en sus correos.
La ingeniería social es uno de los ataques más exitosos, ya que en su mayoría las empresas no tienen un entorno de cultura de seguridad de la información. Esto es un trabajo de todos y no solo del departamento de seguridad.