El cebo, o ataque por cebo, es un método de ingeniería social que puede parecerse a un troyano moderno. ¿Por qué? Porque bajo el aspecto de una buena oferta se esconde en realidad un ciberataque. Los ciberdelincuentes explotan tu curiosidad, tus deseos, e incluso tu altruismo para incitarte a caer en la trampa y usar un dispositivo USB comprometido o hacer clic en un enlace malicioso. ¿Su objetivo? Robar tus datos, comprometer tus sistemas o incluso extorsionarte.
¡Pero no te preocupes! En este artículo, aprenderás a detectar los ataques por cebo y descubrirás las buenas prácticas que te ayudarán a protegerte. ¡Buena lectura!
¿Qué es el cebo o baiting?
El cebo es una técnica de ingeniería social que explota tu curiosidad o te atrae con un regalo con fines maliciosos. El cebo, a menudo emocionalmente atractivo, está diseñado para hacerte actuar sin pensar, y es precisamente esto lo que hace que este tipo de ciberataque sea tan peligroso.
Tomemos un caso concreto: imagina que acabas de encontrar una memoria USB. Quieres verificar su contenido para intentar encontrar a su propietario, o simplemente para satisfacer tu curiosidad. Lo que no sabes es que, en cuanto la conectes a tu ordenador, éste quedará comprometido, generalmente por un malware o un troyano. ¡Felicidades! Acabas de morder el anzuelo y te has ofrecido a los cebadores.
¿Quiénes son las víctimas del cebo?
El cebo es una amenaza universal, de la que nadie está realmente a salvo:
- Los particulares pueden ser engañados por ofertas demasiado atractivas en Internet (película o software para descargar gratis), o utilizando un dispositivo USB regalado o encontrado.
- Las empresas y las instituciones públicas, tomadas como objetivo a través de sus empleados, a quienes se les ofrece un cebo con dispositivos USB, o dispositivos marcados como “confidenciales” para despertar su curiosidad.
¿Cuáles son las consecuencias de un ataque por cebo?
Los ataques por cebo pueden tener repercusiones importantes para sus víctimas:
- Robo de datos personales, como datos bancarios, credenciales de inicio de sesión o información confidencial que puede ser utilizada en un fraude posterior o revendida en la dark web.
- Contaminación por malware, como ransomware o troyanos.
- Pérdidas financieras relacionadas con la restauración de los sistemas afectados, la extorsión o los fraudes.
- Daño a la reputación, especialmente si el ciberataque se divulga o si afecta el funcionamiento de la organización víctima.
¿Cómo funciona el cebo?
El cebo sigue un esquema simple pero terriblemente eficaz:
- Creación del cebo: los piratas informáticos diseñan su señuelo, ya sea físico (memoria USB, CD, disco duro externo…) o digital (oferta atractiva, descarga gratuita de películas…).
- Colocación estratégica del cebo: el cebo se destaca si es físico, o se difunde en línea, por ejemplo, en un sitio web a través de anuncios maliciosos o mediante un correo electrónico de phishing.
- Acción de la víctima: la colocación estratégica del cebo incita a sus objetivos a interactuar con él, lo que provoca el inicio del ataque.
- Compromiso: se desencadena la acción para la que se creó el cebo: robo de datos, instalación de malware, instalación de un troyano…
¿Qué técnicas permiten desplegar un ataque de cebo?
Para desplegar un ataque de cebo, los ciberdelincuentes adaptan sus estrategias al cebo que utilizan:
- Los cebos físicos, que a menudo se ofrecen o se colocan estratégicamente para estimular la curiosidad y animar a su uso. Por ejemplo, un pirata informático podría haber puesto una etiqueta “sueldos” en una memoria USB comprometida dejada a la vista en las instalaciones de una empresa, incitando a los empleados a consultarla para informarse sobre el salario de sus colegas y posiblemente pedir un aumento.
- Los enlaces digitales disponibles en algunos sitios o compartidos a través de un correo electrónico de phishing. Para animarte a hacer clic, se te promete una recompensa atractiva, como la descarga gratuita de una película o una serie.
- Las ofertas atractivas, difundidas en las redes, mediante campañas de correo electrónico o en algunos sitios web a través del malvertising. Ves una promoción excepcional o crees que has ganado un premio en un concurso; entonces facilitas parte de tus datos para reclamar tu premio o beneficiarte de la oferta. Lo que no sabes es que tus datos personales, que has proporcionado conscientemente, serán luego revendidos o utilizados con fines maliciosos.
Si bien estas técnicas se basan en cebos variados, comparten el mismo objetivo: explotar nuestras debilidades humanas en su beneficio.
¿Es peligroso el cebo?
Sí, el cebo puede ser muy peligroso porque explota nuestras emociones más instintivas: la curiosidad, el deseo de aprovechar una oportunidad o incluso, a veces, el altruismo. Estas emociones tienden a reducir nuestra vigilancia y, por lo tanto, nos incitan a adoptar comportamientos que pueden resultar peligrosos, haciéndonos caer en la trampa del cebo.
Un ejemplo vale más que mil palabras, en 2016, la Universidad de Illinois realizó un estudio sobre este tema. Se esparcieron 297 memorias USB en el campus de Urbana-Champaign, y casi el 98% de ellas fueron encontradas. ¿Cuántas de estas memorias fueron consultadas posteriormente? El 50%, y la mayoría en los seis minutos siguientes al descubrimiento. Los perfiles de las víctimas eran variados, y algunas de ellas incluso conocían los riesgos que corrían. Simplemente quisieron hacer el bien y encontrar al propietario de la memoria para devolverle sus pertenencias, y así cayeron en la trampa.
¿Cómo protegerse del cebo?
Para protegerte del cebo, no necesitas ser un experto en ciberseguridad, conocer las buenas prácticas será suficiente. Adoptar estos reflejos te permitirá evitar caer en muchas trampas:
- Nunca uses dispositivos desconocidos.
- Descarga solo desde fuentes fiables y desconfía de los sitios que te prometen gratuidad para productos normalmente de pago.
- Analiza los enlaces antes de hacer clic.
- Instala un antivirus y mantenlo actualizado.
- Ten sentido común y ten en cuenta que los ciberdelincuentes juegan con tu curiosidad y tus emociones.
- Sensibiliza a tus compañeros y empleados sobre los riesgos de la ingeniería social para que estén más atentos.
Preguntas frecuentes sobre el cebo
¿Cómo evoluciona el ataque por cebo?
Con los avances de la IA y las técnicas de ingeniería social inversa, los ataques por cebo se vuelven aún más peligrosos. Los atacantes crean señuelos cada vez más creíbles y manipulan a sus víctimas para invitarlas a iniciar ellas mismas una acción comprometedora y morder el anzuelo.
¿Cuáles son los ataques de ingeniería social más conocidos?
La ingeniería social es uno de los vectores de propagación clave de los ciberataques. Entre los ataques de ingeniería social más conocidos, se encuentran:
El phishing (o suplantación de identidad)
El fraude al presidente
El cebo (o señuelo)
El pretexting (o pretexto fraudulento)
El smishing (el envío de SMS fraudulentos)
El spear phishing (o phishing dirigido)
El scareware (o software alarmante)
Juice Jacking
Cada uno de estos métodos explota mecanismos psicológicos propios, y por lo tanto, todos presentan sus propias características y peligros.
