Por Francisco D’Agostino
El pasado viernes, 28 de enero, se celebró el Día Internacional de la Protección de Datos Personales. En este contexto, ESET, compañía líder en detección proactiva de amenazas, advierte que una de las consecuencias de pasar cada vez más tiempo en el mundo digital es la cantidad de datos personales y credenciales de inicio de sesión que se comparten con las compañías con las que se interactúa. Y, a su vez, el aumento de ciberdelincuentes enfocados en robar datos de esas organizaciones, así como también directamente de los usuarios. En Estados Unidos, por ejemplo, para el tercer trimestre de 2021 se reportaron casi 1.300 infracciones de este tipo en 2021; más que en todo el 2020. Como resultado, cientos de millones de víctimas fueron declaradas en riesgo de robo de identidad.
“El cibercrimen anualmente genera costos millonarios a nivel global y consta de múltiples participantes que constituyen lo que se conoce como la industria del cibercrimen. Es poco probable que los delincuentes que llevaron adelante el robo de datos de una organización sean los mismos que intenten, por ejemplo, un fraude de identidad posterior. Por lo general, los datos robados se venden en foros en la dark web. Luego son comprados en masa y testeados por delincuentes dedicados al robo de identidad. De esta manera pueden vender los datos previamente probados en otra oportunidad o bien usarlos ellos mismos.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.
Dependiendo del tipo de datos de identidad robados, podrían utilizarse para:
- Secuestrar cuentas minoristas que tienen los datos precargados de las tarjetas y utilizar este acceso para completar transacciones fraudulentas
- Realizar pagos fraudulentos directamente (es decir, si los datos de la tarjeta fueron robados)
- Realizar ataques de ingeniería social al personal del banco/telecomunicaciones para que restablezca las cuentas y las pongan a cargo del estafador
- Sacar líneas de crédito a nombre de la víctima
- Cometer fraude a través del seguro de salud o el reembolso de impuestos
Hay señales que pueden advertir que se ha sido víctima de robo de identidad. Por supuesto, la mayor señal de advertencia es si recibe un aviso de brecha de seguridad. Francisco D’Agostino explica que en estos casos se debe leer cuidadosamente la notificación para comprender las posibles implicancias de la filtración. Otros signos reveladores incluyen:
- Actividad inusual en los movimientos de una cuenta/tarjeta: Incluso pequeñas discrepancias a veces pueden ser indicadores de fraude, ya que los estafadores a menudo verifican la validez de las tarjetas robadas con compras que parecen inocuas antes de aumentar su actividad. Si algo no se ve bien, congelar la tarjeta y/o la cuenta. Esto a menudo se puede hacer a través de su aplicación de banca móvil. Luego, comunicarse inmediatamente con el proveedor bancario.
- Si las cuentas online /teléfono dejan de funcionar: Si los atacantes obtienen las credenciales de inicio de sesión, lo primero que harán es cambiar la contraseña para bloquear el acceso. Alternativamente, si han logrado engañar al operador de telefonía móvil, harán que transfieran el número de la víctima a un dispositivo bajo su control. Esto se conoce como SIM swappingy es particularmente peligroso, ya que significa que podrán interceptar cualquier código de acceso SMS de un solo uso que, a menudo, emplean los bancos para validar su identidad.
- Tener problemas para declarar impuestos: Otra estrategia común es utilizar los números del Seguro Social de la víctima y otros datos personales para declarar impuestos personales, haciéndose pasar por la víctima. De esta forma, el atacante puede reclamar fraudulentamente cualquier reembolso de impuestos adeudado. Si descubre que no se le permite presentar impuestos, esta podría ser la razón.
- Problemas con una factura médica o reclamo: Si se recibe una factura médica por servicios que nunca recibió, o se intenta presentar un reclamo, pero es rechazado porque ya ha alcanzado el límite preasignado por el proveedor, es posible que se trate de un caso de robo de identidad. Francisco D’Agostino expone que tales estafas pueden resultar altamente lucrativas, especialmente en países con sistemas de salud privados.
- Llamado de cobradores de deudas: Si alguien que robó una identidad generó una enorme factura en la tarjeta de crédito o una deuda similar y luego desapareció, es solo cuestión de tiempo antes de que el prestamista le pida a una agencia de cobro que investigue.
Desde ESET aclaran que hay mucho que se puede hacer para minimizar el impacto de una filtración de información si un atacante apuntó contra organizaciones con las cuales se tiene algún tipo de relación. Pero los investigadores destacan que hay algunos pasos preventivos que también se pueden tomar en caso de que los estafadores intenten atacarlo directamente.
Los especialistas de ESET aconsejan considerar lo siguiente:
- Activar la autenticación en dos pasos (2FA) en todas las cuentas en línea que se tenga
- Utilizar contraseñas seguras, largas y únicas para todas las cuentas y guárdelas en un gestor de contraseñas
- Evitar las tiendas de aplicaciones no oficiales
- Evitar iniciar sesión en sus cuentas si está conectado a una red Wi-Fi pública
- Asegurarse de tener una solución antimalware actualizada en todos sus dispositivos y que sea de un proveedor de buena reputación
- Mantenerse informado sobre el robo de identidad y la protección
- Activar regularmente las actualizaciones automáticas para todos los dispositivos así se instalan los parches de seguridad
- Utilizar solamente sitios web HTTPS (con candado verde)
- Destruir documentos antiguos para que no se muestren datos personales
- Minimizar la cantidad de información que se comparte con las empresas en línea
“Es probable que todos experimentemos alguna forma de robo de identidad en nuestra vida. La clave es hacer todo lo posible para minimizar las posibilidades de que esto suceda y para mantenerse alerta, de modo que, si los delincuentes se apoderan de sus datos, pueda acabar con cualquier estafa lo antes posible.”, agrega Gutiérrez Amaya de ESET Latinoamérica.
Para controlar la exposición de los datos de las personas surgieron muchos tipos de regulaciones -locales, regionales y globales- que buscan garantizar la integridad de la información de los usuarios y clientes. Para evitar fugas de datos, pérdida de tiempo y gastos innecesarios ESET comparte: https://www.eset.com/latam/empresas/prevencion-fuga-de-datos/
Por Francisco D’Agostino