¿Qué puede hacer un ciberdelincuente con mi e-mail?

No es difícil imaginar por qué un ciberdelincuente se interesaría por contraseñas bancarias o datos de tarjetas de crédito. Sin embargo, los estafadores también saben sacar provecho de otro tipo de información, incluso de información que se puede considerar pública. La dirección de e-mail es un buen ejemplo de eso.

De acuerdo con el informe de Cloudflare “Phishing Threats Report”, el 90% de los ataques cibernéticos exitosos empiezan con el envío de un simple mensaje de e-mail.

Cualquier mensaje malicioso es más efectivo cuando el delincuente agrega información personal, como el nombre de la víctima, o menciona la empresa en la que trabaja. Desgraciadamente, muchas veces, el e-mail ya contiene pistas que ayudan al delincuente a obtener otros datos.

En e-mails empresariales, el nombre de la empresa suele formar parte de la dirección y eso ayuda a los delincuentes a encontrar perfiles en redes sociales profesionales. Con el nombre completo y el historial profesional y académico de la víctima, el delincuente tendrá lo que necesita para confeccionar un phishing personalizado.

Existen también servicios y aplicaciones que terminan filtrando información de sus usuarios. Los datos de esas fugas se pueden consultar a partir de la dirección de e-mail y pueden incluir detalles personales y contraseñas expuestas. Como mínimo, el delincuente puede descubrir en cuáles sitios se usó el e-mail y usar uno de esos sitios como pretexto para abordar al dueño de la cuenta en cuestión.

Estafas que no requieren nada más que el e-mail

Phishing: el phishing es el envío de un mensaje mediante el cual se intenta convencer a la víctima a hacer algo que sea del interés del delincuente. El phishing tradicional es el que trae un enlace que conduce a la víctima a una página clonada con el propósito de robar credenciales, o enlaces y adjuntos para contaminar el dispositivo de la víctima con malware. 

Estafa del depósito anticipado: Es una estafa mediante la cual se exige un pago a cambio de un beneficio futuro, como hacer efectivo el envío de una encomienda que estaba retenida, autorizar una transferencia de dinero o pagar una multa. 

Extorsión falsa: La extorsión falsa es un ataque en el que el ciberdelincuente alega ser un invasor que tiene datos de la víctima (incluso vídeos íntimos o contraseñas) y pide un valor en dinero —muchas veces cobrado en criptomonedas— para no utilizar ni divulgar la información. Sin embargo, la mayoría de las veces, no tiene ninguna información.

Spoofing: El delincuente puede intentar enmascarar la dirección de e-mail en el campo de “remitente”, forjando el envío de su mensaje para que parezca provenir de una persona o institución conocida. Muchos proveedores de e-mail detectan intentos de spoofing y filtran esos mensajes, pero estos aun pueden confundir a algunos usuarios.

Invasión de cuentas de e-mail

Si una dirección de e-mail ya es valiosa, la contraseña de la bandeja de entrada lo es aun más.

Muchas aplicaciones dependen del e-mail para redefinir la contraseña. Por lo tanto, el acceso a la bandeja de e-mail abre camino para que el invasor tenga acceso a todos los demás servicios asociados a aquel e-mail cuyas contraseñas se puedan redefinir.

Además, quienes tienen acceso a un e-mail pueden enviar mensajes como si fueran del usuario sin recurrir a ninguna técnica de spoofing. Esto ayuda al delincuente a realizar ataques de phishing dirigidos a los contactos de la víctima.

En empresas, se puede usar una cuenta de e-mail comprometida para realizar un fraude de Business Email Compromise (BEC). Por ejemplo, el delincuente puede enviarle una factura falsa a un cliente.

Como se proteger?

• Recuerda que el delincuente puede recoger información a partir de tu e-mail, incluso contraseñas filtradas de otros servicios.

• Considera usar direcciones de e-mail distintas específicamente para determinadas tareas, como una para registros en línea y otra para compras.

• Recuerda que los e-mails marcados como spam pueden ser altamente peligrosos.

• Utiliza contraseñas únicas y fuertes combinadas con la verificación en dos pasos (2FA/MFA).