Píldoras de Tecnología:

Tipos de ciberataques: Phishing

¿Sabías que los ciberataques suponen un riesgo para la seguridad del paciente (sus datos... o hasta su salud), la seguridad de los profesionales (robo de información personal sensible) y para el normal funcionamiento de nuestra organización (equipos apagados, imposibilidad de acceder a historiales clínicos, alteración en el sistema de citas de un hospital, etc.).

Phising, el ataque más frecuente.

El ataque de Phishing es una de las principales causas de los incidentes de seguridad en nuestra organización.

La palabra proviene del inglés, y significa "pescar". Pero en este caso no son peces, sino información sensible (de los pacientes, de los profesionales o de la organización) mediante un cebo en forma de mensaje engañoso y un anzuelo dañino para nuestros intereses.

El Phishing es una técnica de ciberdelincuencia que usa el fraude, el engaño y el timo para manipularnos con el objetivo de:

Obtener datos sensibles (nuestras contraseñas y credenciales, etc.)
Robar información de nuestros pacientes (historiales clínicos, datos personales, etc.)
Instalar programas maliciosos para tomar el control de nuestros equipos informáticos y propagar el ataque por toda la organización (secuestrarla)
En un ataque de phishing, los ciberdelincuentes se pueden dirigir a cualquier persona de nuestra organización.

El "cebo" que utilizan los atacantes en sus comunicaciones suele ser:

Su remitente: haciéndose pasar por alguien de confianza.
Su aspecto: suplantando un mensaje legítimo.
Su tono: de urgencia, adulador o amenazante.
Todos los ingredientes necesarios para tratar de engañarnos, captar nuestra atención y que "mordamos el anzuelo" para que abramos un correo electrónico, SMS o mensaje de una aplicación de mensajería instantánea o atendamos una llamada telefónica sospechosa.

Con el fin de lograr que descarguemos un archivo adjunto, pulsemos en un enlace o proporcionemos información sensible, como nuestras credenciales de acceso.

Veamos cómo reconocer los ataque más comunes de Phishing a través de correo electrónico, SMS o mensajería instantánea y llamadas telefónicas.

A) A través de correo electrónico:

Analicemos este email recibido:

El correo electrónico del remitente resulta sospechoso.
El asunto del mensaje es una táctica psicológica para crear ansiedad que puede desencadenar una respuesta inmediata.
El logotipo se inserta para crear una sensación de confianza.
Hay una llamada a la acción seguida de un enlace.
B) A través de SMS o mensajería instantánea:

Al igual que con el phishing basado en el correo electrónico, tanto el smishing (por SMS) o por mensajería instantánea, usa técnicas de ingeniería social (engaño y manipulación) para provocar una reacción, en este caso, para que pulsemos el enlace.

C) A través de llamadas telefónicas:

Conocido como vhising, aquí también se utilizan tácticas psicológicas o de ingeniería social.

El atacante intentará convencernos por teléfono para que revelemos información personal que pueda utilizarse más adelante para el robo de identidad.

La fórmula es sencilla: ESTAR ALERTA + SENTIDO COMÚN

Sigue estos consejos para que no te engañen:

¡NO BAJES LA GUARDIA!
Espera encontrar intentos de fraude en cualquier comunicación sospechosa que recibas.
Solo estando alerta podrás reducir considerablemente la probabilidad de caer en una trampa de phishing.
Recuerda que un mensaje de un remitente "conocido" también puede tratarse de un intento de phishing.
¡ACTÚA CON PRUDENCIA! Si tienes la sensación de que algo no encaja en un mensaje, no hagas nada:
No pulses sobre enlaces.
No abras o descargues archivos adjuntos.
No compartas información sensible.
¡MUCHA PRECAUCIÓN Y DESCONFÍA!
Lee el mensaje detenidamente, especialmente si se trata de peticiones urgentes de información, promociones o chollos demasiado atractivos.
Cuestiona lo que recibes, utiliza tu sentido común y más de una fuente de información para comprobar que no es una estafa.
Y para acabar, recuerda:

Mantén actualizado tu equipo, aplicaciones y antivirus.
Reporta siempre los intentos de phishing a la dirección de correo abuse@juntadeandalucia.es
La Seguridad de la Información es una responsabilidad conjunta.