En pleno auge de la pandemia del coronavirus fue noticia el envío de e-mails pidiendo dinero para unos supuestos fondos solidarios de la Organización Mundial de la Salud (OMS). Las solicitudes venían del nombre de dominio web oficial de la OMS. Pero era una estafa, realizada a través del denominado spoofing.

Como spoofing se conoce a un método de suplantación de identidad, que puede 'ser de la dirección IP, nombre de dominio o de e-mail, por nombrar algunos, siendo este último el más asociado a los ataques de ingeniería social tipo phishing', explica Luis Lubeck, especialista de seguridad del Laboratorio de Investigación de Eset Latinoamérica. Así, 'a través de la creación de correos electrónicos que muestran direcciones de remitentes que no son las reales, engañan al destinatario para que proporcione dinero o información confidencial', complementa José Luis Gutiérrez, arquitecto de soluciones de ciberseguridad en Coasin Logicalis

Es importante recordar que phishing es como se llama a los ataques digitales con los que, a través del engaño, malhechores logran acceso no autorizado a los sistemas o dispositivos de la víctima.

Ignacio Conti, especialista en Ciberseguridad de Microsoft para Chile y Argentina, indica que con el spoofing de correos los ciberdelincuentes logran que sus mensajes 'parezcan provenir de colegas o empresas conocidas', usando sus nombres de dominio —lo que va después de la @ en la dirección de un e-mail—, lo que combinan con mensajes llamativos o atractivos, aumentando las probabilidades de que los usuarios hagan clic.

Es de esta manera como el spoofing es particularmente peligroso, porque vuelve aun más dirigido y creíble un ataque de phishing, y 'el phishing personalizado ha demostrado ser un enfoque exitoso, especialmente en estafas de compromiso de correo electrónico de negocios', advierte Conti. Es importante recordar que Chile es el sexto país que recibe más ataques de phishing en América Latina y el octavo en el mundo, asegura David López, VP para Latinoamérica de Appgate.

Walter Montenegro, gerente de Ciberseguridad de Cisco Chile, señala que el spoofing se puede usar, en conjunto con una investigación profunda de la víctima, para hacer parecer que un e-mail malicioso fue enviado desde su propia empresa, por ejemplo, desde el gerente de Finanzas, exigiendo realizar una transacción que en realidad es una estafa.

Los protocolos anti-spoofing son poco usados

Existen mecanismos que reducen drásticamente la efectividad del spoofing en los correos electrónicos, siendo el más conocido el denominado DMARC (por Autentificación, Informes y Conformidad basada en Dominios), menciona López. Este es un protocolo de autentificación de e-mails que, agrega el ejecutivo, permite a los servidores de correo electrónico, como Gmail o Hotmail, determinar cuándo un mensaje proviene efectivamente del dominio web que aparece descrito en el campo de remitente del mismo.

¿Por qué entonces sigue existiendo el spoofing de correos electrónicos? Montenegro explica que el protocolo de los correos electrónicos es muy antiguo, y que simplemente pregunta al propio mensaje quién lo envía, pudiendo así el remitente poner el sitio que quiera. Y que incluso hay sitios web que permiten fácilmente enviar e-mails de forma que muestren un remitente distinto al real.

Los proveedores de correo electrónico que utilizan un protocolo como DMARC —entre los que se encuentran Gmail de Google, Yahoo y Hotmail y Outlook de Microsft— contrastan las direcciones IP de origen de los mensajes entrantes con una lista de direcciones IP previamente registrada por los dueños de los dominios web anotados en el protocolo.

A su vez, los dueños de los dominios deben especificar qué deben hacer los proveedores de e-mail cuando reciban un mensaje que no proviene de sus direcciones IP, como enviarlos a la carpeta de correo no deseado —más conocida como spam—, relata López.

Es decir, solo se validarían, por ejemplo, como legítimamente proviniendo de la OMS aquellos e-mails originados en direcciones IP que la OMS inscribió en el sistema DMARC como las únicas que pueden mandar correos en su nombre —luego de la campaña de spoofing suplantándola, la OMS comenzó a usar el protocolo DMARC, reporta Vox.

La principal dificultad de una mayor difusión de sistemas como DMARC es que las empresas deben inscribirse previamente, y de acuerdo con Montenegro, solo del orden del 3% de las compañías del mundo lo han hecho. Además, comenta, han existido dudas respecto a la privacidad de los datos al usar DMARC y definir una lista de direcciones IP es complejo para las empresas que envían e-mails a través de numerosas otras compañías, por ejemplo.

En definitiva, según el dato más reciente, en Chile hay actualmente solo 3.201 organizaciones que usan este protocolo, explica el analista de Eset.

Desconfiar siempre

Lubeck advierte que como no se puede evitar que ciberdelincuentes intenten atacar las empresas a través del spoofing, estas pueden defenderse a través de la implementación de campañas de información entre su personal. Además, señala, existen servicios tercerizados de lo que denominan threat intelligence —inteligencia de amenazas— que 'buscan certificados SSL emitidos a nombre de dominios similares al de la empresa, que puedan buscar suplantar su identidad'.

Montenegro indica que entre los mecanismos disponibles para las empresas que limitan la efectividad del spoofing hay cada vez más que usan el denominado machine learning para entender el tipo de mensajes que es potencialmente peligroso sobre la base de una serie de parámetros, como la dirección IP de la cual proviene, o hace cuánto tiempo fue creado el nombre de dominio de origen —haber sido generado recientemente lo hace más sospechoso.

El especialista de Eset recomienda, de cara al usuario final, los consejos usuales para enfrentar el phishing: 'Desconfiar de cualquier mensaje que llega sin ser esperado y evitar hacer clic en los enlaces que esos correos contengan', e incluso si el correo parece confiable, en lugar de hacer clic en él, 'abrir el navegador y escribir manualmente la dirección del sitio', y desde ahí buscar y confirmar la información señalada por el mensaje electrónico. Hay que ser particularmente reticente, señala Gutiérrez, ante mensajes que 'buscan generar temor a consecuencias —como amenazas o extorsión—, o un sentido de urgencia —con instrucciones para el envío de información o de acceso a un link de forma inmediata'.