El correo electrónico en las empresas es una herramienta que hoy en día suele tener una importancia estratégica, pues ha sustituido casi por completo al correo tradicional. También es una de las puertas de entrada más utilizadas por los ciberdelincuentes con el objetivo de comprometer la infraestructura de una empresa o particular.
Más del 91% de los ciberataques que se lanzan en la actualidad son por correo electrónico. Es evidente que sigue siendo el punto más débil de la cadena de seguridad de nuestros sistemas informáticos de empresa. Esto, además de los problemas intrínsecos que genera, también puede dañar gravemente la credibilidad del cliente o de la propia empresa.
Índice
- El Correo electrónico como puerta de entrada
-
Medidas elementales de seguridad en el correo electrónico
-
- Cuidado al abrir correos electrónicos de remitentes desconocidos con documentos adjuntos
- No hacer clic en enlaces incluidos en correos electrónicos de remitentes desconocidos
- Instalar aplicaciones antimalware y activar los filtros antispam
- Usar siempre contraseñas seguras
- Evitar utilizar el correo electrónico de empresa desde conexiones públicas
- Cifrar el correo
- Establecer una red privada virtual (VPN)
- No publicar direcciones de correo electrónico en la web de la empresa ni en nuestras redes sociales particulares
- Nunca responder al correo basura
- Desactivar el HTML en las cuentas de correo críticas
- Utilizar la opción de copia oculta (BCC o CCO) cuando se envíen direcciones a múltiples destinatarios
-
- Conclusiones finales
Proteger el correo electrónico frente a los ataques informáticos es especialmente crucial para las organizaciones, porque una bandeja de entrada de trabajo contiene innumerables cantidades de información corporativa confidencial, incluida información financiera y operativa, información legal e incluso secretos comerciales. Además, los empleados tienden a ser menos cautelosos cuando manejan información corporativa en comparación con su información personal. Muchos pueden enviar contraseñas e incluso números de tarjetas de crédito por correo electrónico.
Defenderse de los ciberdelincuentes requiere un método de protección de correo electrónico de varias capas. Esto es debido a que no es un medio de comunicación seguro por defecto, ya que su funcionamiento se basa en ir moviéndo la información de un servidor a otro a través de Internet. Y a veces, esto se lleva a cabo sin muchas cautelas.
Por lo tanto, para mantener seguros los mensajes de correo electrónico, el cliente, el servidor y la infraestructura de red interna deben estar protegidos.
En este artículo, comentaremos algunas amenazas que nos llegan por el correo electrónico, el uso de distintos métodos empleados para realizar ataques, así como algunos consejos que nos permitan mitigar estas amenazas.
El Correo electrónico como puerta de entrada
Malware y Spam
La entrega de software malintencionado (malware) a través del correo no deseado (spam), es una de las prácticas habituales para iniciar ataques a través del correo electrónico.
El malware es una de las amenazas más graves que se envían comúnmente a través de correos electrónicos. Esta técnica es especialmente exitosa para dirigirse a los empleados dentro de las organizaciones.
Al enviar correo no deseado (spam) haciéndose pasar por remitentes legítimos, como clientes, socios o proveedores, las víctimas son fácilmente engañadas para que descarguen archivos fraudulentos que contienen malware. La mayoría de las veces, las víctimas no se dan cuenta de que están instalando malware en sus computadoras porque los signos de intrusión no ocurren de inmediato.
Los atacantes pueden tomar el control silenciosamente de la computadora de la víctima y para posteriormente colarse a través de la red corporativa y propagar el malware a los sistemas cercanos hasta que, finalmente, toda la infraestructura informática de la empresa se infecta, mediante un proceso oculto (del que no solemos darnos cuenta), y que puede llevar días o incluso meses.
Durante este tiempo, sería una suerte que la organización descubriera el malware en las primeras etapas. Sin embargo, a menudo, la intrusión solo se detecta después de que partes importantes de los sistemas informáticos de nuestras empresa ya se han visto comprometidos, en un escenario en el que aparecen los servidores encriptados y los datos confidenciales filtrados. Es decir, un verdadero desastre que compromete seriamente la credibilidad de la empresa.
Suplantación de identidad (Phishing y Spoofing)
El phishing y el spoofing (suplantación de identidad) son otras de las tácticas de riesgo utilizadas por los ciberdelincuentes para obtener información personal, como pueden ser los datos de una cuenta bancaria o los números de la seguridad social, que se pretenden mediante el engaño a los usuarios, haciéndoles creer que quien se los solicita es alguien de confianza.
En un caso de suplantación de identidad por correo electrónico (spoofing), un ciberdelincuente envía un correo electrónico a un usuario que se hace pasar por alguien que el usuario conoce. La suplantación de correo electrónico es fácil de hacer y difícil de rastrear hasta el remitente original.
Dado que ambos son dos de los métodos más populares utilizados por los ciberdelincuentes, los usuarios debemos conocer las soluciones anti-phishing para tratar de evitarlos.
Los correos electrónicos de phishing son muy similares al spam, excepto que son más personalizados y, por lo general, se utilizan para engañar a las víctimas para que entreguen información confidencial directamente.
Los ciberdelincuentes suelen utilizar gráficos y logotipos para que parezcan más legítimos y reales. También ofrecen un enlace que parece ser genuino, para que no desconfiemos. Pero al hacer click sobre ellos, lo que hacen es redirigir a los usuarios a un sitio web malicioso.
Por ejemplo, los atacantes podrían de alguna manera adquirir una lista de datos de clientes de una institución financiera, posiblemente filtrados por un ataque de datos anterior. La lista puede contener los nombres de los clientes, direcciones de correo electrónico, números de cuentas bancarias y quizás otra información personal. Después, los atacantes pueden usar dicha lista para crear correos electrónicos de phishing altamente convincentes para atraer a las víctimas a hacer clic en un enlace falso que requiere que completen sus credenciales de inicio de sesión de banca en línea. Se pueden realizar ataques similares a los empleados de la empresa engañándolos para que proporcionen credenciales para cuentas de administración corporativas.
¿Cómo hay que protegerse del phishing?
Como medida preventiva para este tipo de ataques, una buena opción es utilizar un registro SPF para proteger nuestro correo electrónico.
Un registro SPF determina qué servidores de correo y qué dominios tienen permitido enviar correo en nombre de tu dominio. También indica a los servidores que reciben tu correo qué hacer con los mensajes una vez comprobados. Esos servidores comprueban tu registro SPF para confirmar que los mensajes que parecen proceder de tu organización se han enviado desde servidores autorizados. Los dominios solo pueden tener un registro SPF. Sin embargo, en el registro SPF de un dominio se pueden especificar varios servidores y terceros que tengan permitido enviar correo en nombre del dominio.
Los propietarios de dominios pueden publicar una lista de direcciones IP o subredes a las que se les permite enviar un correo electrónico en su nombre mediante los registros SPF. El objetivo es erradicar el spam y el fraude haciendo que sea mucho más difícil para los spammers ocultar sus identidades.
Una buena práctica para asegurarnos de que todo esté en orden, es utilizar la verificación de registros SPF.
Y como medidas generales, debemos estar atento a los correos electrónicos y mensajes instantáneos que nos resulten extraños, tales como aquellos que comienzan usando encabezados genéricos, como p.ej., «Estimado cliente» en lugar de su nombre, o pueden usar una gramática pobre o una firma genérica.
Incluso cuando parezcan legítimos, hay que tener mucho cuidado al hacer clic en enlaces o proporcionar información confidencial. Es recomendable intentar ponerse en contacto con la fuente directamente. Y necesitaremos instalar software adecuado anti-phishing en nuestros navegadores de Internet.
Un atacante a veces consigue saltarse todos los protocolos de seguridad de un sistema, explotando la falta de conocimiento del usuario final. Eso es porque la mayoría de las personas no pueden reconocer un correo electrónico de phishing sofisticado. De ahí la necesidad de concienciar a los usuarios finales de lo importante que es hacer un uso correcto de su correo electrónico.
Secuestro de datos (Ransomware)
Es una de las amenazas mas frecuentes hoy en día. Al infectarnos, los datos y archivos que tengamos en nuestro ordenador quedan cifrados, se cambian las extensiones de los ficheros, y el ciberdelincuente nos solicita pagar un rescate para poder recuperarlos. En este sentido, es importante reforzar el servicio de correo electrónico y esperar a que los servicios de análisis detecten y prevengan comportamientos específicos de ransomware.
Debemos asegurarnos de que todo el software y hardware de nuestros sistemas informáticos estén actualizados. Las fallos de seguridad más populares consisten en que las aplicaciones, los controladores y otros complementos que tenemos en nuestro sistema están obsoletos.
Por ejemplo, nos ayudaría a evitar ataques si tenemos habilitados los plugins que obligan a que las reproducciones de ficheros que a veces nos llegan por el correo, se realicen sólo si se ha hecho clic sobre ellos. Así evitamos que Flash o Java, se inicien a no ser que hagamos clic en un enlaces. Finalmente, también debemos eliminar de nuestros equipos aplicaciones antiguas, también conocidas como aplicaciones heredadas, lo cual reduce el riesgo.
Hay que tener en cuenta que si trabajamos con Windows 10, muchas de las aplicaciones que se utilizan corresponden a sistemas operativos anteriores, concretamente, muchas de ellas a Windows 7. Y, efectivamente éstas son aplicaciones heredadas y pueden representar un riesgo para la seguridad.
Fraude del CEO (BEC)
El fraude del CEO o email corporativo comprometido (BEC) es una forma de ciberdelincuencia que también utiliza el fraude por correo electrónico como arma para engañar a las organizaciones.
El BEC es un tipo de ataque de suplantación de identidad altamente sofisticado que tiene como objetivo a empleados de alto rango (CEO) en la organización a la que se ataca. Por eso a veces se conoce también como fraude de CEO.
Aunque el nombre indica que va dirigido a empresas, cualquier propietario de un dominio puede verse afectado.
A diferencia de otros ataques de phishing, en un ataque BEC, los atacantes invierten mucho tiempo en estudiar los hábitos y comportamientos de la víctima y obtener información sobre los eventos recientes en los que están involucrados a partir de sus actividades en las redes sociales. Después de obtener toda la información, se enviaría a la víctima un correo electrónico muy realista, lleno de datos que en teoría solo sabe el atacado, para que no levante sospechas
Por ejemplo, después de saber que la víctima estuvo involucrada recientemente en la negociación de una oportunidad de asociación con una persona en particular en una empresa en particular. El correo electrónico se haría pasar por esa persona con los detalles de la negociación mientras copiaba a un gerente del departamento de finanzas para transferir fondos a su cuenta como un depósito por adelantado. Con detalles tan específicos y direcciones de correo electrónico precisas, es casi imposible que la víctima note algún defecto.
Por lo tanto, BEC se usa comúnmente para robar dinero y secretos comerciales.
Bot maliciosos y ataques de Denegación de Servicios (DDoS)
A veces, los ciberdelincuentes son capaces de hacerse con el control de una web cualquiera. Esto se llama secuestro de web. Luego pueden colocar en dichas web a robots informáticos (Bots), trasnformándolas en botnets secuestradas, que las utilizan para enviar una gran cantidad de correos electrónicos a una organización objetivo. Este aluvión de correo de entrada hace que el servidor de correo electrónico de dicha organización se bloquee, debido a una sobrecarga del sistema.
Un ataque de denegación de servicios (DDoS) tradicional también bloquea el servidor web de la víctima, provocando que un servicio o un recurso sea inaccesible a los usuarios legítimos. Estos ataques en servidores web son más comunes en empresas B2C (es decir, empresas cuyos negocios van dirigidos a las personas o business to consumer) ya que dependen de sus sitios web para ofrecer sus servicios y para generar ventas.
Ataques de autenticación en servidores de correo electrónico
A veces, la propia bandeja de entrada del correo electrónico puede convertirse en el objetivo de los atacantes. En este caso, los atacantes intentarían lanzar ataques de autenticación en los servidores de correo electrónico mediante el uso de ataque de fuerza bruta, o mediante relleno de credenciales y otros métodos para romper la autenticación y obtener acceso al servidor de correo electrónico.
Esto otorgaría a los atacantes acceso a todos los mensajes de correo electrónico y archivos adjuntos almacenados en el servidor. Lo cual no es poco.
Vulnerabilidades de día cero
Los ataques de día cero se aprovechan de fallos de software desconocidos para los desarrolladores de software para atacar a las víctimas sin advertencia previa. Estos ataques son cada vez más habituales, llegando a afectar a los servidores de correo electrónico o incluso a sistemas operativos.
Recientemente, cuatro vulnerabilidades de día cero encontradas en Microsoft Exchange Server fueron explotadas por supuestos piratas informáticos patrocinados por el estado chino. Más tarde se descubrió que esto había comprometido más de 30,000 servidores que afectaban a más de 100,000 organizaciones en todo el mundo, filtrando millones de correos electrónicos.
El hecho de que tu servidor de correo se vea afectado por un ataque de este tipo provoca un estado catastrófico, no solo debido a la exposición de los mensajes de correo electrónico, sino también porque los piratas informáticos pueden infectar fácilmente los sistemas empresariales conectados, viajando a través de la propia red interna.
En este sentido, conviene mencionar también los problemas de seguridad derivados de errores de configuración de los servidores de correos electrónicos.
Un servicio de correo electrónico mal configurado generará problemas de seguridad, como no tener configurados los registros DKIM, SPF o DARMC, la ausencia de un gateway anti-spam, antivirus, etc.
Medidas elementales de seguridad en el correo electrónico
Para mantener seguro un sistema de correo electrónico, es necesario proteger tanto al cliente como al servidor. La seguridad del lado del cliente depende más de la conciencia de los usuarios, que de las amenazas potenciales. Por lo tanto, junto con las medidas de carácter técnico, es importante que cada empresa establezca un protocolo para el uso seguro, por parte de sus empleados, del correo electrónico.
Por eso, muchas de las recomendaciones que nos sugieren los expertos tienen que ver con el comportamiento humano.
Algunas pautas son:
Cuidado al abrir correos electrónicos de remitentes desconocidos con documentos adjuntos
Hay que desconfiar de quien contacta por primera con nosotros y nos envía un documento adjunto para nuestra consulta. Podría ocurrir que ese documento adjunto escondiera algún tipo de malware, un virus o un troyano e infectara nuestro ordenador. Por eso, el adjunto no debe descargarse al ordenador ni abrirse, y así hay que comunicarlo a los empleados.
No hacer clic en enlaces incluidos en correos electrónicos de remitentes desconocidos
Es frecuente que recibamos correo basura (spam), con enlaces en el cuerpo del mismo (no en el adjunto). La tendencia natural es hacer clic sobre ellos, lo que nos llevaría al malware. Esto hay que evitarlo para no poner en compromiso la seguridad de nuestra empresa.
Instalar aplicaciones antimalware y activar los filtros antispam
Es necesario que la empresa tenga establecido un plan de seguridad, que además de normas protocolarias, incluya software de defensa contra el malware, para que se escaneen los correos electrónicos que reciban los empleados.
También se necesitará un gateway que nos provea de un filtro antispam para impedir que los correos sospechosos de ser basura lleguen nuestro correo de entrada.
El software destinado a protegernos deberá estar siempre actualizado y configurado correctamente.
Usar siempre contraseñas seguras
La política de seguridad de la empresa debe exigir que el empleado utilice siempre contraseñas robustas y que las cambie periódicamente.
Evitar utilizar el correo electrónico de empresa desde conexiones públicas
Por ejemplo, evitaremos conectarnos desde la red wifi de una cafetería, o desde la de un hotel, etc. ya que el tráfico de red que envía o recibe nuestro ordenador puede ser interceptado por cualquiera de los usuarios conectados a esa red.
Hay que recordar que si los correos electrónicos de nuestra empresa no van cifrados, viajan en abierto y cualquier los puede leer de forma sencilla.
Siempre que nos desplacemos de la sede de la empresa y tengamos que conectarnos a internet, para, p.ej., consultar el correo electrónico, deberíamos utilizar conexiones a través redes de telefonía móvil o bien conectarnos mediante una VPN robusta, que sería, sin duda alguna, la opción más apropiada.
Cifrar el correo
El cifrado del correo electrónico es uno de los medios más eficientes para evitar vulnerabilidades en nuestras redes. Se realizará mediante estándares como PGP o S/Mime, que también permiten firmar digitalmente los correos electrónicos. Existen múltiples aplicaciones que permiten el envío de correos cifrados mediante PGP, o extensiones para los navegadores estándares.
Establecer una red privada virtual (VPN)
Si establecemos una VPN en nuestra empresa, tendremos todo nuestro tráfico de entrada y salida cifrado.
No publicar direcciones de correo electrónico en la web de la empresa ni en nuestras redes sociales particulares
Los ciberdelincuentes rastrean páginas web para copiar las direcciones de correo electrónico dentro de la misma, y así usarlas para ataques, envíos de correo basura, etc. Y no solo rastrean las páginas web, sino también las redes sociales asociadas a esas direcciones.
Para las empresas que desean disponer de una cuenta de correo de contacto o para la resolución de incidencias, a veces se opta por el uso de un formulario publicado en la web, y que el sistema reenvíe el texto introducido en él a una cuenta de correo electrónico.
Nunca responder al correo basura
Parece de perogrullo, pero las estadísticas indican que se sigue dando acceso a los atacantes a través de este método. De modo que no hay que responder a lo que dice el contenido del mensaje, ni si nos piden el envío de un correo electrónico para evitar recibir más spam, o cualquier otro tipo de excusa. Nunca se debe caer en estas trampas, porque con ellas estamos confirmando al spammer que la cuenta de correo está activa y que hay alguien leyendo el correo.
Desactivar el HTML en las cuentas de correo críticas
Muchos de los correos electrónicos se envían en formato HTML, que permite utilizar colores, negritas, enlaces, etc. y también puede incluir instrucciones en JavaScript, cuyas funcionalidades pueden usar los spammers para verificar nuestra dirección o redirigir nuestro navegador web a una página web maliciosa que acabe infectando nuestro ordenador.
Los administradores de sistemas informáticos saben que con JavaScript hay que tener siempre cuidado, porque puede camuflar códigos atacantes.
Utilizar la opción de copia oculta (BCC o CCO) cuando se envíen direcciones a múltiples destinatarios
De esta forma, evitamos hacer públicas sus direcciones de correo electrónico.
Conclusiones finales
Como hemos visto, la solución a muchos de los problemas del correo electrónico en la empresa se basan en la formación y concienciación de los empleados. Así conseguiremos evitar ataques, fraudes, sustos y mejorar la imagen de la compañía.
Por lo tanto, es importante mantener a los empleados educados e informados sobre el spam y los ataques de phishing. Sin embargo, existen limitaciones en cuanto a la capacidad de una persona para identificar los correos electrónicos no deseados y de suplantación de identidad, especialmente a medida que se vuelven cada vez más sofisticados.
Por eso es igualmente importante proteger el lado del servidor para que el spam se filtre y los ataques DDoS no pasen. Las herramientas de seguridad del correo electrónico también ayudan a buscar archivos adjuntos infectados con malware. También es útil tener un equilibrador de carga para mantener estables los servidores de correo electrónico, evitando que la sobrecarga del sistema afecte el rendimiento. Por último, es fundamental mantener los servidores de correo electrónico actualizados con los últimos parches para evitar cualquier ataque que aproveche las vulnerabilidades del software.
