El pretexting es uno de los ciberataques más habituales, cuyas víctimas pueden ser tanto empresas como particulares; en este artículo explicaremos qué es el pretexting, cómo funciona y cómo podemos protegernos de él.
Contenido del artículo
¿Qué es el pretexting?
El pretexting es un ciberataque basado en ingeniería social, que en muchas ocasiones es la primera fase sobre la que se basan los hackers para llevar a cabo ataques más sofisticados, como el baiting o la distribución de malware bancario con el que acceder a las cuentas de las víctimas.
El pretexting se emplea para conseguir información confidencial de las víctimas, como pueden ser datos sensibles, números de tarjetas bancarias, credenciales de usuario, etc., y emplea el engaño para lograr los objetivos deseados.
Una buena definición de pretexting nos la da el INCIBE: «El pretexting es la base de cualquier ataque de ingeniería social. Consiste en elaborar un escenario o historia ficticia, donde el atacante tratará que la víctima comparta información que, en circunstancias normales, no revelaría».
En los siguientes puntos veremos cómo consiguen sus objetivos los ciberdelincuentes que emplean esta técnica.
Objetivos del pretexting
El principal objetivo del pretexting es el robo de datos y a partir de ellos, poder usarlos para otros fines, como puede ser el robo de dinero, bien accediendo a la cuenta bancaria de la víctima, bien consiguiendo que esta realice una transferencia a su favor, o llevar a cabo otros fraudes a través de la suplantación de identidad.
Como decíamos al principio, el pretexting, además, se usa en muchas ocasiones como una primera fase de un ciberataque más sofisticado, especialmente cuando va dirigido contra empresas, donde el objetivo puede ser tanto conseguir dinero como obtener credenciales de acceso a la red interna de la compañía.
¿Cómo funciona el pretexting?
El pretexting consiste en engañar a la víctima para que esta de al ciberdelincuente la información que este quiere conseguir o lleve a cabo una acción determinada, como un cambio de cuenta para el pago de un servicio domiciliado o una transferencia bancaria para solucionar algún supuesto problema con un pago a punto de vencer.
Para llevar a cabo este engaño, el ciberdelincuente crea un pretexto, es decir, un escenario plausible que la víctima pueda llegar a creer. A diferencia del phishing, que es un ataque masivo, el pretexting es un ataque dirigido, no muy diferente al spear phishing, por lo que para que tenga más probabilidades de éxito, el ciberdelincuente habrá estudiado previamente a la víctima (a través de diferentes recursos, como sus publicaciones en redes sociales, bases de datos filtradas, incluso el robo de cartas del buzón) y en base a esa información creará ese escenario y un personaje, en muchas ocasiones un empleado de atención al cliente o del servicio técnico de una compañía con la que la víctima tiene contratado algún servicio, o se hará pasar, en el caso de un ataque contra una empresa, por un superior jerárquico, un proveedor o un socio.
Creado el escenario, el ciberdelincuente se pondrá en contacto con la víctima, bien vía email (recurriendo a cuentas parecidas a las reales) o bien a través de un mensaje de texto (de forma parecida al smishing) o una llamada telefónica (de hecho, muchos ataques de pretexting comienzan como un ataque de vishing). Lo más habitual es que recurran a la llamada telefónica, puesto que limita el tiempo de respuesta de la víctima.
Durante la llamada o intercambio de emails, el ciberdelincuente tratará de ganarse la confianza de la víctima, de manera que no le solicitará los datos o información que quiere nada más comenzar, sino que irá inquiriendo sobre ellos de manera escalonada y siempre usando una excusa plausible dentro del escenario creado. El proceso será el mismo, si lo que busca el ciberdelincuente es que la víctima lleve a cabo alguna acción, como un cambio de cuenta bancaria o una transferencia, aunque no se olvidará de darle un aire urgente, para que la víctima no se tome un tiempo para pensar o comprobar la petición.
Los ataques más sofisticados de pretexting exigen bastante dedicación a sus perpetradores, pero si el objetivo merece la pena, por ejemplo, conseguir la transferencia de una suma importante de dinero de una empresa, le dedicarán el tiempo necesario para conseguir la información previa de la víctima elegida y elaborar el pretexto adecuado para que se lo crea.
Para conseguir el email o el número de teléfono de las víctimas de pretexting, los ciberdelincuentes pueden recurrir a bases de datos filtradas o vendidas en la dark web o conseguirlos de los perfiles sociales en redes sociales que las víctimas puedan tener públicos (por ejemplo, en LinkedIn solemos dejar pública nuestra información de contacto para que las empresas que buscan nuevos empleados, contacten con nosotros).
Pretexting y phishing ¿en qué se diferencian?
Lo adelantamos más arriba, mientras que el phishing es un ciberataque masivo, a través de correos falsos o fraudulentos a miles de usuarios, el pretexting es un ataque dirigido a una víctima en concreto, sobre la que el ciberdelincuente ha reunido información suficiente para hacer plausible y creíble su pretexto o escenario.
Además, mientras que en el phishing se nos pide introducir información de manera inmediata a través de un enlace, en el pretexting, como hemos visto, es un proceso más escalonado, que, normalmente, se lleva a cabo a través de una llamada telefónica o una serie de emails.
Otra de las diferencias está en que el phishing también se emplea para que descarguemos un archivo adjunto que contendrá algún tipo de malware, mientras que en el pretexting no suele ser habitual, salvo que se emplee como primera fase para hacernos instalar algún programa o aplicación en el ordenador, con la que el ciberdelincuente pueda tener acceso remoto al mismo (como ocurre en la estafa del falso servicio técnico).
Finalmente, un ataque de phishing siempre va a tener como objetivo conseguir nuestros datos de usuario, para poder acceder a nuestras cuentas y tomar el control de ellas. Mientras que el pretexting no solo se emplea para lograr este objetivo, también se usa para conseguir que las víctimas lleven a cabo alguna acción a favor del cibercriminal, como es realizar una transferencia de dinero a una de sus cuentas.
¿Cómo evitar ser víctimas del pretexting?
La mejor forma de evitar ser víctimas del pretexting es usar el sentido común y pararnos siempre a pensar y comprobar qué nos están pidiendo, por qué y en nombre de quién, para así poder asegurarnos de que la persona al otro lado del teléfono o la pantalla es realmente quién dice ser.
Las herramientas de seguridad de la información que usamos para proteger nuestros equipos y la confidencialidad de datos e información personal o de la empresa, no siempre son funcionales contra el pretexting, especialmente si este se produce vía telefónica, y empleando técnicas de ingeniería social, ya que no habrá cortafuegos, antivirus o herramienta antispam que lo paren, aunque sí podrán ser una solución más eficiente contra el pretexting vía email y, sobre todo, para minimizar las posibilidades de introducir un malware en el sistema.
Por ese motivo, protegerse del pretexting pasa por que la víctima sea siempre precavida frente a llamadas o emails que acaben solicitando datos o información confidencial o demandando llevar a cabo alguna acción que implique dinero, especialmente si el interlocutor insiste en la urgencia de solucionar el supuesto problema.
Debemos recordar que cualquier servicio que tengamos contratado, así como nuestro banco ya tienen nuestros datos y que no necesitan pedírnoslos (quizás nos reciten el DNI y nuestro nombre y apellidos a modo de confirmación, pero raramente nos pedirán otro tipo de información), de la misma forma que no nos van a pedir que les demos el código de verificación en dos pasos que nos haya llegado al móvil (podría pasar si el ciberdelincuente en cuestión está tratando de acceder a nuestra cuenta restableciendo la contraseña).
En el caso de los empleados de una empresa, formarles sobre ciberseguridad y enseñarles sobre cada tipo de ciberataque y modus operandi, para que estén pendientes de las señales que los pueden delatar, es fundamental, igual que lo es advertirles de que siempre confirmen la autenticidad de un email o la identidad de quien les llama, haciendo la correspondiente comprobación, especialmente si se está pidiendo mover dinero (tener un protocolo de medidas de ciberseguridad que incluyan la comprobación y confirmación de ese tipo de órdenes sería buena idea). Así como que nunca compartan sus credenciales de usuario o compartan, si los usan, sus códigos de verificación en dos pasos, puesto que, aunque la verificación de doble factor es muy útil para evitar que alguien se haga con nuestras cuentas, a veces también presentan vulnerabilidades.
