Avisos de seguridad

1. Campaña de phishing que intenta obtener tus credenciales de correo electrónico. ¡Mantente alerta!

   Fecha de publicación: 25/02/2021

   Importancia: Alta

   Recursos afectados:

   Cualquier empresario, empleado o autónomo que haga uso del correo electrónico y reciba una comunicación como la indicada en este aviso.

   Descripción:

   Desde INCIBE hemos detectado una campaña de correos maliciosos de tipo phishing cuyo objetivo es robar las credenciales de acceso, usuario y contraseña, del correo de la empresa. El asunto identificado es «Re: Querido usuario». En dicho correo, los ciberdelincuentes indican que están actualizando el servicio de correo web (Office 365/Outlook) para aumentar la velocidad y el espacio.

   Solución:

   En caso de recibir un mensaje con las características descritas en este aviso es recomendable eliminarlo directamente y poner en conocimiento de los compañeros el intento de fraude para evitar posibles víctimas.

   En el supuesto de haber facilitado las credenciales de acceso es recomendable modificarlas lo antes posible, y siempre que se pueda habilitar un doble factor de autenticación. También se deben modificar estas credenciales en cualquier otro servicio en el que se utilicen las mismas.

   Como pautas generales, para evitar ser víctima de fraudes de este tipo se recomienda:

   • No abrir correos de usuarios desconocidos o que no haya solicitado: hay que eliminarlos directamente.
   • En caso de que el correo proceda de una entidad bancaria legítima, nunca contendrá enlaces a su página de inicio de sesión o documentos adjuntos. 
   • No contestar en ningún caso a estos correos.
   • Tener precaución al seguir enlaces o descargar ficheros adjuntos en correos electrónicos, SMS, mensajes en WhatsApp o redes sociales, aunque sean de contactos conocidos.
   • Tener siempre actualizado el sistema operativo y el antivirus. En el caso del antivirus, comprobar que está activo.
   • Asegurarte de que las cuentas de usuario de tus empleados utilizan contraseñas robustas y sin permisos de administrador.

   Además, para prevenir y reforzar estos consejos, es importante realizar acciones de concienciación en ciberseguridad entre los empleados.

   • Ingeniería social: técnicas utilizadas por los ciberdelincuentes y cómo protegerse
   • ¿Dudas sobre la legitimidad de un correo? Aprende a identificarlos
   • Busca otro al que engañar, yo no voy a picar
   • Historias reales: el ciberdelincuente le «pescó» por su falta de formación
   • Phishing: no muerdas el anzuelo

   ¿Te gustaría estar a la última con la información de nuestros avisos? Anímate y suscríbete a nuestros boletines, al canal de Telegram @ProtegeTuEmpresa, al perfil de twitter @ProtegeEmpresa o síguenos en Facebook. Serás el primero en enterarte de los últimos avisos de seguridad para empresas. También ponemos a tu disposición la línea gratuita de ayuda en ciberseguridad de INCIBE: 017.

   Detalle:

   En la campaña identificada, los ciberdelincuentes tienen como objetivo robar las credenciales de acceso a la cuenta de correo de la empresa. Utilizando técnicas de ingeniería social, los ciberdelincuentes persuaden a la víctima para que acceda al sitio web malicioso donde se robará la información. En este caso, el gancho utilizado es la actualización de velocidad y almacenamiento. Para dar credibilidad al mensaje, este simula proceder del administrador del correo.

   

   Si se selecciona el enlace se dirigirá a la víctima a una página web externa (muy sencilla) donde se solicitan los datos de la cuenta de correo. 

   

   De introducir las credenciales y dar enviar, estas quedarán en manos de los ciberdelincuentes.

   

   Etiquetas: Correo electrónico, Fraude, Ingeniería social, Phishing

2. Nueva campaña de phishing que suplanta a Bankia, ¡no muerdas el anzuelo!

   Fecha de publicación: 24/02/2021

   Importancia: Alta

   Recursos afectados:

   Cualquier empleado, autónomo o empresa que sea cliente de Bankia y realice habitualmente operaciones de banca electrónica.

   Descripción:

   Desde INCIBE se ha detectado en las últimas horas una campaña de envío de correos electrónicos fraudulentos de tipo phishing que tratan de suplantar a la entidad financiera Bankia.

   En la campaña identificada, el correo tiene como asunto: «nuevo documento en su cuenta N° 533456-847». En el cuerpo del mensaje se indica al usuario que se va a lanzar un nuevo sistema de seguridad, y debe activarlo para utilizar su cuenta de forma más segura.

   Recuerda que si recibes un correo de una entidad bancaria u otra compañía, nunca debes acceder desde el enlace que figura en el correo. Para ello, hazlo directamente a través del área de clientes.

   Solución:

   Si tú o cualquier empleado de tu empresa habéis recibido un correo con estas características, ignoradlo. Se trata de un intento de fraude.

   Si habéis accedido al enlace e introducido las credenciales de acceso a la cuenta bancaria, deberéis modificar lo antes posible la contraseña de acceso a la banca online, así como contactar con la entidad bancaria para informarles de la situación. Además, se recomienda modificar la contraseña de todos aquellos servicios en los que se utilice la misma.

   Si has facilitado las credenciales de tu cuenta financiera, recopila todas las pruebas de las que dispongas (capturas de pantalla, e-mail, mensajes, etc.) y contacta con las Fuerzas y Cuerpos de Seguridad del Estado (FCSE) para presentar una denuncia.

   Como pautas generales, para evitar ser víctima de fraudes de este tipo, se recomienda:

   • No abrir correos de usuarios desconocidos o que no haya solicitado: hay que eliminarlos directamente.
   • En caso de que el correo proceda de una entidad bancaria legítima, nunca contendrá enlaces a su página de inicio de sesión o documentos adjuntos.
   • No contestar en ningún caso a estos correos.
   • Tener precaución al seguir enlaces o descargar ficheros adjuntos en correos electrónicos, SMS, mensajes en WhatsApp o redes sociales, aunque sean de contactos conocidos.
   • Tener siempre actualizado el sistema operativo y el antivirus. En el caso del antivirus, comprobar que está activo.
   • Asegúrate de que las cuentas de usuario de tus empleados utilizan contraseñas robustas y sin permisos de administrador.

   Además, para prevenir y reforzar estos consejos, es importante realizar acciones de concienciación en ciberseguridad entre los empleados.

   • Ingeniería social: técnicas utilizadas por los ciberdelincuentes y cómo protegerse
   • ¿Dudas sobre la legitimidad de un correo? Aprende a identificarlos
   • Busca otro al que engañar, yo no voy a picar
   • Historias reales: el ciberdelincuente le «pescó» por su falta de formación
   • Phishing: no muerdas el anzuelo

   ¿Te gustaría estar a la última con la información de nuestros avisos? Anímate y suscríbete a nuestros boletines, al canal de Telegram @ProtegeTuEmpresa, al perfil de twitter @ProtegeEmpresa o síguenos en Facebook. Serás el primero en enterarte de los últimos avisos de seguridad para empresas. También ponemos a tu disposición una línea gratuita de ayuda en ciberseguridad de INCIBE: 017.

   Detalle:

   La campaña maliciosa detectada que suplanta a Bankia tiene como asunto «nuevo documento en su cuenta N° 533456-847», aunque este podría variar. En el cuerpo del mensaje se indica al usuario que se va a lanzar un nuevo sistema de seguridad, y debe activarlo para utilizar su cuenta de forma más segura.

   El cuerpo del mensaje del correo electrónico es el siguiente:

   

   Haciendo clic en el enlace del correo, el usuario accederá a la página web fraudulenta que suplanta a la de Bankia.

   

   Una vez ha introducido las credenciales de acceso (NIF y PIN), se le pedirá, al usuario todos los datos de la tarjeta.

   

   Si se han introducido todos los datos de la tarjeta y se ha picado en continuar, se pasará a una ventana con un proceso de carga.

   

   En la siguiente pantalla se solicitará la supuesta clave recibida por SMS, aunque en ningún momento se haya pedido información del teléfono.

   

   Una vez metida la supuesta clave recibida, al hacer clic en validar clave, se solicitará nuestra firma digital.

   

   Si introducimos la firma digital y pulsamos en continuar, nos redirigirá a la página legítima de Bankia, y los ciberdelincuentes ya tendrán en su poder todos nuestros datos.

   

   Etiquetas: Correo electrónico, Fraude, Phishing

3. Campaña de phishing suplantando a ING ¡No les des ni un dato!

   Fecha de publicación: 23/02/2021

   Importancia: Alta

   Recursos afectados:

   Cualquier autónomo cliente de ING.

   Descripción:

   Se ha detectado una campaña de envío de correos electrónicos fraudulentos que suplantan a la entidad bancaria ING. Su objetivo es dirigir a la víctima a una página web falsa (phishing) para robar sus credenciales de acceso al banco e información personal.

   Solución:

   Como en cualquier otro caso de phishing, se recomienda estar alerta de correos que soliciten datos para entidades bancarias, empresas de paquetería y entidades públicas, en particular si contienen archivos adjuntos o como en este caso, enlaces externos a páginas de inicio de sesión.

   Se recomienda verificar que el remitente del correo coincide con la entidad que supuestamente lo envía. En este caso, el ciberdelincuente utiliza cybersquattinghomográfico en el texto ING del asunto y del remitente.

   Se ha de verificar también los enlaces observando si al situar el puntero del ratón sobre el enlace a seguir, la dirección que aparece en la parte inferior izquierda del navegador, o en la barra de navegación tras hacer clic en los mismos, se corresponde con la dirección real de la entidad. Ante cualquier sospecha llama a la entidad.

   Además, antes de facilitar algún dato personal o bancario a través de un enlace, es preferible recurrir directamente a la página web legítima de la entidad, verificando que utilice canales de comunicación seguros (https) y que su certificado sea correcto, para posteriormente confirmar posibles notificaciones o, en caso de duda, contactar telefónicamente con ellos.

   En cualquier caso, nunca se deben facilitar las credenciales de acceso y datos personales si no se ha verificado previamente la autenticidad del remitente y si surgen dudas acerca del correo recibido.

   Si has recibido un correo de estas características, has accedido al enlace e introducido los datos de acceso a la cuenta bancaria, deberás modificar lo antes posible la contraseña de acceso a la banca online, así como contactar con la entidad para informarles de la situación. Además, se recomienda modificar la contraseña de todos aquellos servicios en los que se utilice esta cuenta de correo y esta contraseña.
   Como pautas generales, para evitar ser víctima de fraudes de este tipo, se recomienda:

   • No abrir enlaces de usuarios desconocidos o que no haya solicitado: hay que eliminarlos directamente.
   • No contestar en ningún caso a estos mensajes.
   • No seguir, sin verificarlos previamente, enlaces ni descargar ficheros adjuntos en correos electrónicos, SMS, mensajes en WhatsApp o redes sociales, aunque sean de contactos conocidos.
   • Tener siempre actualizado el sistema operativo y el antivirus. En el caso del antivirus, comprobar que está activo.
   • Asegúrate de que las cuentas de usuario de tus empleados utilizan contraseñas robustas y sin permisos de administrador.

   Además, para prevenir y reforzar estos consejos, es importante realizar acciones de concienciación en ciberseguridad entre los empleados.

   • Decálogo antiphishing
   • TemáTICas Phishing
   • Ingeniería social: técnicas utilizadas por los ciberdelincuentes y cómo protegerse;
   • ¿Dudas sobre la legitimidad de un correo? Aprende a identificarlos;
   • Busca otro al que engañar, yo no voy a picar; Historias reales: el ciberdelincuente le «pescó» por su falta de formación;
   • Phishing: no muerdas el anzuelo.

   Si tienes dudas, contacta con el organismo oficial a través de su página web legítima (HTTPS) y ellos te aclararán cualquier cuestión.

   ¿Te gustaría estar a la última con la información de nuestros avisos? Anímate y suscríbete a nuestros boletines, al canal de Telegram @ProtegeTuEmpresa, al perfil de twitter @ProtegeEmpresa o síguenos en Facebook. Serás el primero en enterarte de los últimos avisos de seguridad para empresas. También ponemos a tu disposición la línea gratuita de ayuda en ciberseguridad de INCIBE: 017.

    

   Detalle:

   La campaña de correos electrónicos fraudulentos que suplanta a ING tiene como asunto «Actualización de datos personales» aunque no se descarta que puedan utilizar otro tipo de asuntos. En la comunicación se informa al usuario que debe actualizar los datos personales asociados a su cuenta, para ello debe acceder al «Área de clientes» facilitando un enlace en el correo.

   

   Si se hace clic en el enlace incluido en el correo, el usuario será redirigido a una página web que suplanta ser la legítima. En ella se solicita que el usuario introduzca su documento de identificación y fecha de nacimiento, como lo hace la web de ING. Sin embargo, si nos fijamos, el navegador marca el candado tachado indicando que no es un sitio que use un protocolo seguro, lo que ya debería hacernos desconfiar.

   

   Si pulsa ENTRAR redirige a otra página donde solicita que complete las posiciones que faltan de su clave de seguridad, aunque no hay ninguna marcada con asteriscos o rellena.

   

   Después pide introducir el número de teléfono móvil.

   

   A continuación, envía a una página con apariencia de Orange que el navegador también detecta como no segura.

   

   A continuación, será redirigido a la página web legítima de ING, pero si ha introducido sus datos personales y bancarios, estarán en manos de los ciberdelincuentes. Con estos datos podrían entrar en su cuenta de ING.

   

   Etiquetas: Correo electrónico, Fraude, Phishing

4. Fallo crítico en NAS de videovigilancia Surveillance Station de QNAP ¡Actualiza!

   Fecha de publicación: 17/02/2021

   Importancia: Crítica

   Recursos afectados:

   Dispositivos NAS QNAP con el software de vigilancia Surveillace Station anteriores a las versiones:

   • Surveillance Station 5.1.5.4.3 para NAS con CPU (64 bits)  ARM o x86 
   • Surveillance Station 5.1.5.3.3 para NAS con CPU (32 bits)  ARM o x86 

   Descripción:

   QNAP ha corregido una vulnerabilidad que afecta a sus NAS destinados a video vigilancia y que podría ser explotada por los ciberdelincuentes. El fabricante recomienda aplicar el parche de seguridad que la corrige tan pronto como sea posible.

   Solución:

   Actualiza los dispositivos NAS para que ejecuten Surveillance Station a la última versión de software disponible. Para ello, debes seguir estos pasos:

   • Accede al panel de control de QTS como administrador.
   • Abre el «AppCenter» y pulsa en el icono de la lupa de búsqueda. 
   • Escribe «Surveillance Station» y pulsa ENTER. «Surveillance Station» aparecerá entre los resultados.
   • Pulsa el botón «Update». Si el botón no está disponible es debido a que ya se encuentra actualizado a la última versión.

   Instalar la actualización que corrige la vulnerabilidad detectada en los productos afectados a la mayor brevedad posible.

   Recuerda la importancia de mantener tus sistemas y aplicaciones siempre actualizados:

   • Política de actualizaciones de software
   • Minimiza los riesgos de un ataque: ¡actualiza el software!
   • Buenas prácticas en el área de informática
   • Evalúa los riesgos de tu empresa en tan solo 5 minutos
   • Cómo prevenir incidentes en los que intervienen dispositivos móviles

   ¿Te gustaría estar a la última con la información de nuestros avisos? Anímate y suscríbete a nuestros boletines, al canal de Telegram @ProtegeTuEmpresa, al perfil de twitter @ProtegeEmpresa o síguenos en Facebook. Serás el primero en enterarte de los últimos avisos de seguridad para empresas. También ponemos a tu disposición una línea gratuita de ayuda en ciberseguridad de INCIBE: 017.

   Detalle:

   

   QNAP ha publicado un boletín de seguridad donde corrige una vulnerabilidad que afecta a aquellos sistemas NAS que utilicen el software de video vigilancia Surveillance Station.
   La vulnerabilidad solucionada podría permitir a un ciberdelincuente ejecutar código arbitrario en los dispositivos afectados.

   

   Etiquetas: Actualización, Vulnerabilidad

5. Campaña de smishing suplantando a FedEx para descargar malware

   Fecha de publicación: 16/02/2021

   Importancia: Alta

   Recursos afectados:

   Cualquier empresario, empleado o autónomo que haya recibido un mensaje SMS con las características descritas en este aviso.

   Descripción:

   Se ha detectado una campaña por medio de mensajes SMS (smishing) cuyo objetivo es que el usuario instale una aplicación maliciosa. La campaña identificada tiene como pretexto conocer el estado de un envío por parte de la compañía FedEx.

   Solución:

   Si recibes un SMS o cualquier notificación con estas características, omítelo o elimínalo, nunca sigas el enlace, ni descargues ninguna aplicación.

   Recuerda no descargar aplicaciones a través de enlaces recibidos a través de cualquier tipo de mensaje (SMS, correo electrónico, redes sociales, etc.). Como alternativa accede al repositorio oficial desde tu dispositivo y descarga la aplicación en cuestión.

   Como pautas generales para evitar ser víctima de fraudes de este tipo, se recomienda:

   • No abrir enlaces de usuarios desconocidos o que no haya solicitado: hay que eliminarlos directamente.
   • En caso de que el mensaje proceda de una entidad legítima, nunca contendrá enlaces a su página de inicio de sesión o documentos adjuntos.
   • No contestar en ningún caso a estos mensajes.
   • Tener precaución al seguir enlaces o descargar ficheros adjuntos en correos electrónicos, SMS, mensajes en WhatsApp o redes sociales, aunque sean de contactos conocidos.
   • Tener siempre actualizado el sistema operativo y el antivirus. En el caso del antivirus, comprobar que está activo.
   • Asegúrate de que las cuentas de usuario de tus empleados utilizan contraseñas robustas y sin permisos de administrador.

   Además, para prevenir y reforzar estos consejos, es importante realizar acciones de concienciación en ciberseguridad entre los empleados.

   • Ingeniería social: técnicas utilizadas por los ciberdelincuentes y cómo protegerse;
   • ¿Dudas sobre la legitimidad de un correo? Aprende a identificarlos;
   • Busca otro al que engañar, yo no voy a picar; Historias reales: el ciberdelincuente le «pescó» por su falta de formación;
   • Phishing: no muerdas el anzuelo.

   Además, si tienes dudas, contacta con el organismo oficial a través de su página web legítima (HTTPS) y ellos te aclararán cualquier cuestión.

   ¿Te gustaría estar a la última con la información de nuestros avisos? Anímate y suscríbete a nuestros boletines, al canal de Telegram @ProtegeTuEmpresa, al perfil de twitter @ProtegeEmpresa o síguenos en Facebook. Serás el primero en enterarte de los últimos avisos de seguridad para empresas. También ponemos a tu disposición la línea gratuita de ayuda en ciberseguridad de INCIBE: 017.

   Detalle:

   La campaña detectada tiene como finalidad la instalación de una aplicación maliciosa a través de una suplantación de identidad a la compañía FedEx. Una vez instalada, esta aplicación podría obtener credenciales bancarias, interceptar SMS y acceder al historial de llamadas del terminal de la víctima, entre otras acciones.

   En dicha suplantación, los ciberdelincuentes tratan de engañar a sus víctimas con el envío de un SMS del tipo al que se muestra en la imagen, para que consulten el estado de un supuesto envío en curso.

   

   El enlace facilitado conduce a un sitio web fraudulento donde se insta a la víctima a descargar la aplicación maliciosa que posteriormente infectará el dispositivo con malware.

   

   Una vez descargada e instalada la aplicación, ésta solicitará al usuario permisos especiales, los cuales tendrán que ser habilitados en el dispositivo Android objetivo.

   Una vez realizada esta acción, los permisos otorgados permitirían realizar varias acciones maliciosas, como el robo de credenciales de aplicaciones bancarias y acceder a mensajes SMS para interceptar los códigos usados, como doble factor de autenticación.

   

   Etiquetas: Fraude, Ingeniería social, Malware, SMS