Aprenda a detectar los principales ciberataques en Costa Rica

El auge de la digitalización de procesos, transacciones online, el aumento en el uso de computadoras y dispositivos móviles en el ámbito laboral como educativo, han multiplicado la exposición de los usuarios y las empresas a los ciberataques.

En Costa Rica, se registraron más de 201 millones de intentos de ciberataques durante 2020, según cifras de Fortinet. 

Principales ciberataques en Costa Rica

El Phishing y sus ramificaciones por medio de la Ingeniería Social, así como el Ransomware (software malicioso) se han catalogado como los tipos de ataques más nocivos para las organizaciones y personas individuales. 

Los intentos de phishing se dispararon en un 67% en marzo del 2020, y fueron aumentando durante todo el año según datos de Cisco. 

Los criminales recurren a la ingeniería social por vía telefónica, mensajes de texto o correo electrónico para engañar a la persona, utilizando una identidad falsa, con el objetivo de que proporcione información confidencial, descargue un malware o visite un sitio fraudulento.

“Uno de los ataques más comunes e innovadores en nuestro país es la utilización de la ingeniería social en combinación con correos o sitios web falsos para manipular y engañar a las víctimas. El Vishing fue una técnica muy utilizada durante la pandemia en la que los criminales se valieron del apoyo brindado por el sistema bancario, la situación del sistema de salud por COVID-19 y páginas falsas en donde se solicitaba ingresar la firma digital”, afirmó Mauricio Rojas, director de ventas Knogin LATAM.

El año pasado, se registraron 300 sitios web fraudulentos, 247 tenían relación con la firma digital certificada; 45 con entidades financieras y otros con el Ministerio de Hacienda, así como entidades de salud, según un informe de la Dirección de Gobernanza Digital del Ministerio de Ciencia, Tecnología y Telecomunicaciones (Micitt) y del Centro de Respuesta de Incidentes de Seguridad Informática (Csirt).

El vishing es una práctica criminal fraudulenta realizada por teléfono, donde se tima a la víctima y la dirigen a realizar acciones o bien divulgar información sensible. El término vishing es una combinación de las palabras voice (voz) y phishing (método de suplantación de identidad).

Además, el SMiShing es otra una variante del phishing, usando técnicas de engaño, donde se realizan envíos selectivos de mensajes SMS dirigidos a usuarios de telefonía móvil normalmente con un enlace a una página web con el fin de que visiten este sitio fraudulento para robarles datos sensibles.

Otro ataque que se ha identificado es el Whaling, que está dirigido a altos ejecutivos, enfocándose en datos más sensibles de las organizaciones por medio de correos maliciosos que utilizan temas críticos para las compañías, inestabilidad política u otros asuntos dirigidos a engañar y robar información.

Finalmente, el ransomware es uno de los ataques más frecuentes, el año pasado la suma total de las demandas de rescate por secuestro de información alcanzaron un aproximado de $1.400 millones alrededor del mundo, con una suma promedio para rectificar el daño de hasta $1.45 millones, según datos de Cisco. 

El ransomware es el tercer tipo de malware más popular utilizado en violaciones de datos y se emplea en el 22% de los casos.

¿Cómo evitar caer en estas estafas? 

“La mejor práctica es tener sesiones de capacitación periódicas para los colaboradores y que esto sea parte del proceso de incorporación para cada nueva contratación. De igual manera, las personas deben mantenerse atentas y actualizadas sobre los riesgos que conlleva usar herramientas digitales. Lo recomendable es que los usuarios puedan identificar intentos de ingeniería social, correos electrónicos de phishing y otras formas de extracción de datos”, comentó Rojas.

Dentro de las organizaciones, se recomienda crear políticas corporativas que los colaboradores puedan comprender en las que, por medio de ejemplos y referencias de la vida real, los usuarios finales puedan aplicar herramientas o recomendaciones en la práctica.

“El cambio de cultura organizacional puede tener un efecto dramático. Se ha demostrado que dejar de avergonzar a las personas que cayeron ante un phishing y adoptar un modelo que fomenta la divulgación fortalece a todo el equipo y la organización. Para las personas, la principal recomendación es ser siempre escéptico, ninguna organización le solicitará ingresar a un sitio web o que comparta su información confidencial. Incluso si el número de teléfono corresponde a esa entidad no confíe, existen técnicas que permiten enmascarar números telefónicos”, concluyó Rojas.

Finalmente, es importante que todos los dispositivos cuenten con herramientas EDR (EndPoint, Detección & Response) que sirven para el monitoreo, control y defensa en los casos de intentos de intrusión y ataques en los equipos de los usuarios finales. El uso de estas herramientas y de equipos de respuesta a incidentes en seguridad como antivirus y firewalls, les permiten a las empresas detectar y lidiar con sitios inseguros, malwares o intrusos.

En caso de tener dudas respecto a un sitio web, puede verificar la dirección en la página que el MICITT creo para este fin https://sitiosoficiales.gob.go.cr/ 

​