Hoy debemos tomar muy en serio el problema del cibercrimen, ya que cada día hay una evolución en los ataques informáticos. Es lógico que a medida que avanza la tecnología y se fortalecen los sistemas de seguridad. Así, los delincuentes se aprovechan del miedo, la compasión, la felicidad, la euforia y cualquier otro sentimiento que sea capaz de generar reacciones en las personas que violan su seguridad. Y la pregunta es, ¿cómo proteger a mi organización de usuarios y clientes muy confiados? ¿La «ingenuidad» o la falta de información es definitivamente uno de los factores críticos de éxito de los ciberdelincuentes?
Hoy en día, este problema debe tomarse muy en serio, ya que, según las cifras de un estudio reciente de la Cámara de Comercio Electrónico de Colombia (CCCE, por sus siglas en inglés) celebrada en Colombia por primera vez, el país ha revelado cifras sobre prácticas de consumo al momento de adquirir bienes y servicios. Servicios en línea, así como los niveles de confianza y apropiación del comercio electrónico por los colombianos. Esta investigación reveló que del total de usuarios de Internet encuestados, el 19% compra y paga directamente en línea. Asimismo, el estudio, realizado entre personas de 18 a 75 años, mostró que las categorías de productos de mayor preferencia por parte de los consumidores en los sitios web de comercio electrónico y pagados en línea son moda (37%), turismo (37%) y tecnología (36%).
Con más usuarios en línea, también aumenta la posibilidad de fraude, donde un usuario confiado probablemente cae en la trampa de un delincuente cibernético. La entrega de información personal y / o la descarga de un archivo adjunto malicioso que compromete automáticamente su computadora o dispositivo móvil podría hacer que su información confidencial sea una presa fácil para los delincuentes cibernéticos. Sin tener que realizar un análisis técnico sólido, encontramos muchas similitudes en las estafas que existían hace muchos años y que, en general, las instituciones y los ciudadanos han sufrido.
Entonces, ¿qué cambia? Los medios de comunicación: Internet, correo electrónico y redes sociales potencian las viejas formas de estafas y entregan herramientas que multiplican el alcance y el poder de los ciberdelincuentes. ¿Y qué no cambia? la ingenuidad o falta de un sentido de protección en general de los usuarios de Internet, correo electrónico, etc.
Es por eso que cada vez es más necesario para las instituciones aumentar los niveles de visibilidad y protección de la marca en Internet, contar con métodos para responder a este tipo de incidentes para una mejor identidad, especialmente con la visita a los sitios web.
Estos tipos de ataques existen porque hoy en día todavía es bastante fácil y económico olvidar los correos electrónicos de cualquier dirección de Internet. También hay un vector alternativo para ataques con cuentas de correo electrónico corporativas (BEC), que compromete directamente la cuenta del remitente a través de malware u otro método. Sin embargo, este tipo de ataque puede ser potencialmente más difícil y costoso para el atacante. Siempre se deben tomar medidas que aumenten los costos operativos para los delincuentes y eviten que encuentren una opción fácil y barata.
¿Qué se puede hacer? : La importancia de la autenticación
La infraestructura de clave pública (PKI) presenta una solución fácil de usar para la autenticación y el cifrado de sitios web, así como para muchos otros casos de uso, como el correo web. PKI proporciona una estructura y una implementación basada en políticas para el uso de varios tipos de certificados digitales, especialmente los certificados TLS / SSL (la implementación más moderna es TLS o “Seguridad de la capa de transporte”), que son las más comunes y se implementan en casi todos los sitios web globales, como lo señalan los usuarios a través del candado o https en la URL.
Los certificados TLS vienen en tres tipos: Validación de dominio (DV), Validación organizacional (OV) y Validación extendida (EV). Las diferencias básicas se muestran en la siguiente tabla:
En todos los casos, el cifrado se proporciona entre el navegador y el servidor. Sin embargo, el cifrado no proporciona autenticación. Sabemos que el navegador está cifrando datos a algún servidor con un nombre de dominio verificado. Pero no sabemos nada acerca de ese dominio con un certificado DV. Con OV y EV, recibimos más información sobre el dominio, incluida la ubicación de la empresa (OV), e incluso más detalles con EV.
Con la llegada de una web que está más del 90% encriptada y con los navegadores que muestran un candado verde para todos los sitios https, independientemente del tipo de certificado, es una falacia simplemente «buscar el bloqueo», ya que esto no es suficiente para proteger a los usuarios de Sitios fraudulentos. Los usuarios deben ser diligentes en la búsqueda de pistas sobre la identidad del sitio. Con los certificados EV, la mayoría de los navegadores mostrarán el nombre legal de la empresa junto a la URL en la barra de direcciones. Esto proporciona una excelente visibilidad de que el sitio ha sido autenticado.
Otra pista que debe buscar es el nombre de la Autoridad de Certificación (CA) que emitió el certificado del sitio web. Con algunos navegadores, los usuarios pueden desplazarse sobre el bloqueo para ver el nombre de la CA. Si el indicador dice «Verificado por DigiCert», puede estar seguro de que la identificación del sitio se ha verificado de acuerdo con los requisitos de la industria. Las principales CA, como DigiCert, están actualizando constantemente los estándares globales mediante los cuales las CA validan las identidades y siguen procesos rigurosos. Busque un nombre de confianza como el emisor del certificado, como en la siguiente figura:
Los certificados OV y EV requieren algún esfuerzo para obtenerlos. Primero, la entidad solicitante debe ser una organización válida y la CA debe mirar los registros públicos para autenticarla. Debido a que esto implica trabajo manual, existe un costo asociado con la obtención del certificado. Estos normalmente no son obstáculos para las organizaciones legítimas. Pero para los ciberdelincuentes, proporcionan una fricción significativa, que puede evitarse mediante la obtención de un certificado DV. Por lo tanto, DV se ha convertido en el certificado de elección para hackers y delincuentes.
Investigaciones recientes demostraron que casi la mitad de los sitios de phishing ahora tienen el candado. La mayoría de las veces, los certificados DV se obtienen con éxito para esos sitios web. Los piratas informáticos saben que pueden solicitar DV de forma automática sin proporcionar ninguna información personal y se ofrecen de forma gratuita por algunas CA. Por lo tanto, ni siquiera una tarjeta de crédito es necesaria. Un informe reciente sobre un compromiso de DNS por parte de un supuesto país-nación afirmó que los piratas informáticos han ocultado su operación mediante el uso de la «suplantación de certificado», obteniendo certificados a través de Let’s Encrypt y Comodo (ahora conocido como Sectigo). Dada la fácil disponibilidad de estos certificados, no es de extrañar que los ciberdelincuentes estén en forma predeterminada a DV para legitimar sus sitios web.
Recomendaciones finales simples para el usuario.
- Si bien en el pasado estaba bien solo buscar el candado, ahora se debe examinar el candado. Pase el cursor sobre el bloqueo para ver qué CA emitió el certificado. Si se trata de DigiCert, puede estar seguro de que el sitio web ha sido verificado de acuerdo con los estándares de la industria y que, en el caso de un certificado OV o EV, la identidad del propietario del sitio web ha sido revisada para una mayor protección.
- Mire detenidamente la barra de direcciones y lea la dirección cuidadosamente.
- ¿El nombre de la empresa se muestra al lado del candado o hay una barra verde? Si es así, y dependiendo de la pantalla del navegador, es un certificado EV y puede tener la plena confianza de que el sitio web es auténtico.
Todos los certificados, independientemente de la empresa que los reciba, deben cumplir los mismos criterios. Los certificados de DigiCert cuestan menos que los de otros proveedores, ya que la compañía ha perfeccionado el proceso de validación para que sea lo más eficiente posible, lo que nos permite ofrecer un mejor precio en el mercado.
