Claves para prevenir y protegerse de un fraude digital

Aunque el concepto de seguridad informática (ciberseguridad) no es nuevo, hasta hace muy poco tiempo parecía un tema reservado para los profesionales en sistemas, informática y áreas afines. Sin embargo, (como todos sabemos) la pandemia aceleró los procesos de digitalización e impulsó exponencialmente el uso de herramientas digitales. Esto, desde luego, ha generado un mayor acceso a la información y a una cantidad de alternativas virtuales que antes no tenían la relevancia de hoy.

Y pese a todas las ventajas y beneficios que traen las aplicaciones y herramientas digitales, también hay una cantidad de riesgos informáticos, no solo para las organizaciones, sino también para las personas. Según el Informe sobre las amenazas para la seguridad en Internet 2019 de la compañía de seguridad informática NortonLifeLock Inc. (antes conocida como Symantec), “1 de cada 10 URL es maliciosa” y “anualmente las brechas de seguridad aumentan un 27,4% en promedio”.

Tal vez le puede interesar: Medidas de ciberseguridad empresarial por contingencia

Tipos de amenazas cibernéticas

El objetivo de los criminales cibernéticos es claro: robar nuestra información y dinero por medio de diferentes técnicas que son cada vez más sofisticadas. Por eso, la seguridad informática es un asunto de todos, no solo de las áreas de T.I. de las compañías, sino también de las personas que hacen parte de dichas organizaciones. Es muy importante estar atentos ante este tipo de riesgos, por lo cual, le presentamos los cuatro tipos de amenazas cibernéticas más recurrentes:

• Malware: es el envío de archivos maliciosos o "virus" por medio de adjuntos a través de correos electrónicos para infectar los equipos y capturar la información. Es una de las amenazas informáticas más frecuentes y en esta época de pandemia ha crecido significativamente por toda la demanda de información que tienen las personas y organizaciones.

• Spear Phising: es una variante de phishing, en la que, mediante correos de una fuente supuestamente confiable, recolectan la información de la víctima, y luego la redirigen a un sitio web falso con malware.

• Ransomware 2.0: es el secuestro de la información de la compañía; podría incluir posibles amenazas de publicar los datos que ha extraído ilegalmente de forma cifrada.

• Ingeniería social: conjunto de diversas técnicas usadas por los defraudadores para lograr obtener la información de sus víctimas y luego, usar esos datos para robar el dinero o cometer otro tipo de fraude.

¿Cómo protegerse desde la tecnología?

Una estrategia de protección frente a las amenazas cibernéticas debe tener el respaldo de la alta dirección de la compañía y no se resuelve solamente mejorando o implementando controles tecnológicos; aunque estos son importantes, la estrategia debe ser integral para tomar acciones no solo desde el área de tecnología, sino también desde los procesos y las personas. Aquí le contamos cómo protegerse desde cinco aristas distintas:

1. Redes

• Hace referencia a los controles de protección y respuesta transversales a la organización que buscan interceptar, examinar y bloquear de ser necesarios, accesos no permitidos por posibles intentos de ataque.

• Control de correo electrónico: dado que esta es una de las vías más usadas por los delincuentes debemos fortalecer las medidas de contención y filtrado en aspectos como correo SPAM, links y anexos maliciosos y suplantación o robo de las cuentas de correo, es decir, contar con un mecanismo de protección ante un intento de robo de una cuenta.

• Control de navegación: busca dar visibilidad y control sobre qué sitios se pueden navegar desde los equipos corporativos, implementando el concepto de listas negras para bloquear sitios ya publicados como de alto riesgo y evitar así, el ingreso a páginas redireccionadas desde correo u otros sitios web.

• Firewall: puede ser corporativo, de PC o ambos; este nos permite bloquear intentos de ingreso no permitidos a la organización o al dispositivo.

2. Dispositivos

Se refiere a los mecanismos de protección implementados en las estaciones de trabajo, dispositivos como smartphones y tablets que permitan la interacción con la organización.

Controles en el sistema operativo

• Mantener actualizado el sistema operativo de los dispositivos, no solo en versión, sino también en parches de seguridad y funcionalidad.

• Definir una base de configuración del sistema operativo que permita reforzarlo para evitar ataques (ejemplo: deshabilitar protocolos o funciones de riesgo que no sean necesarias).

• Limitar el uso de usuarios administradores en equipos y el de puertos USB, pues estos pueden ser la puerta para el ingreso de un malware a la organización o fuga de información confidencial.

Antivirus

• Tener un antivirus no necesariamente evita un ataque y no tenerlo deja muy vulnerable los dispositivos.

• Se debe contar con un antivirus licenciado.

• Mantener rutinas de actualización de firmas y versiones de éste.

• Contar con complementos que ya ofrecen los nuevos antivirus como detección y bloqueo por comportamiento, protección para navegación y uso de correo entre otros.

3. Identidad

• La identidad es la llave de acceso a las aplicaciones e información de la organización, por eso el robo de datos es una motivación constante para los delincuentes. Tenga en cuenta:

• Contraseñas fuertes: definir lineamientos que guíen y exijan a los usuarios que sus contraseñas sean creadas con niveles de complejidad media o alta con aspectos como longitud, caracteres especiales, mayúsculas y números. Se deben evitar palabras comunes como meses del año, nombres de personas, nombres de la compañía o áreas. Además, no se recomienda usar la misma contraseña personal para los accesos corporativos y en caso de manejar diferentes accesos, no debe repetir la misma contraseña en todos.

• Mínimos privilegios: definir claramente qué accesos se deben dar en aplicaciones e información a cada persona de la organización según su rol y responsabilidad, ni más ni menos; evitar así dar accesos innecesarios que pongan en riesgo la organización.

• Doble factor de autenticación: con el fin de robustecer el proceso de autenticación se han implementado diferentes métodos de validación adicionales al usuario y contraseña. Este segundo factor se puede implementar de diversas formas, como un mensaje de correo que debe ser aprobado, una app del celular que debe aprobar ciertas condiciones y el método más antiguo, un token que cambia una clave cada cierto tiempo.

4. Personas

• En términos de ciberseguridad el eslabón más débil es el ser humano, es decir, no hay elementos que garanticen seguridad al 100% para nuestras organizaciones y llegará algún momento de verdad donde los colaboradores se enfrentarán a una decisión frente a un correo, una página web, un mensaje o pantalla de navegación e incluso una llamada, por esta razón se deben dar herramientas y definir modelos de actuación que faciliten tomar la mejor decisión minimizando el riesgo, al que pueden estar expuestos. Este riesgo puede mitigarlo de la siguiente manera:

• Formación para los empleados sobre seguridad.

• Acciones de sensibilización y concientización en seguridad.

• Medición constante del cumplimiento de las buenas prácticas en seguridad.

• Definición y divulgación de políticas, comportamientos y procedimientos de seguridad.

5. Procesos

• Para garantizar la seguridad desde sus procesos, tenga en cuenta tres aspectos:

Conocimiento y autenticación del proveedor o intermediario

• ¿Es el proveedor una entidad establecida con un historial comercial verificable?

• ¿El proveedor “genuino” no está siendo suplantado?

• El proveedor me direcciona a un intermediario?

Negociación y compra

• ¿El precio/cantidad ofrecidos son razonables y están en línea con la circunstancia actual de mercado?

• ¿El proveedor ha proporcionado detalles sobre los productos, su origen, cómo se envían y la ruta?

• ¿El contrato incluye terminología inusual?

• ¿El proveedor me impone urgencia o exige un pago anticipado sustancial?

Al momento del pago

• Establezca protocolos de pago con límites y niveles de aprobación.

• Siempre confirme verbalmente instrucciones de pago a nuevos beneficiarios o cuando un proveedor establecido “cambie” la cuenta.

• Examine cuidadosamente el remitente cuando la instrucción de pago sea vía e-mail.

• Mantenerse alerta cuando el correo mencione: Urgente – Confidencial – Secreto.

• Establezca procedimientos o controles para pagos a “Nuevos beneficiarios” o pagos fuera del estándar.

• No ceda ante la presión y cuestione/sospeche en cualquier solicitud fuera de lo habitual.

¿Cómo prevenir un fraude digital en transacciones internacionales? Descargue aquí las memorias del evento en ciberseguridad