Cómo tu LinkedIn puede ayudar a los delincuentes a cometer delitos

Publicado por: Manuel Abreu Ortiz - social@manuelabreuo.com

Hay varias formas en que los delincuentes pueden obtener información personal de los usuarios como número de teléfono móvil o dirección de correo electrónico, la principal es a través de filtraciones de datos que ocurrieron en distintos sitios web que son vendidos entre los delincuentes. Pero desde ESET, compañía líder en detección proactiva de amenazas, advierten que sin el uso adecuado, Linkedin, una de las redes sociales más utilizadas en la actualidad, es también una gran fuente de información para los ciberdelincuentes.

“LinkedIn tiende a ser usada con fines profesionales, y los usuarios intentan aumentar su red para obtener contactos o posibles propuestas profesionales. Con esto en mente, muchos de sus usuarios configuran sus perfiles para que sean receptivos y llenos de información de contacto, y los delincuentes sin duda lo aprovechan.”, comenta Camilo Gutiérrez Amaya, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Un delincuente, sin necesidad de comprar un listado de información filtrada, solo necesitaría usar uno de los Web Crawlers (software automatizado que navega por la Internet de manera metódica y automatizada con el fin de indexar información sobre sitios web y sus contenidos) para LinkedIn, y recopilar así toda la información de contacto disponible de sus objetivos. Además, puede que la intención no sea solo engañar al usuario del cual se obtuvo la información, sino que podrían buscar atacar la empresa en la que trabajan. De esta maneta la información obtenida podría resultar en un ataque más efectivo, ya que los ataques digitales personales podrían tener características distintas.

Entre las posibilidades de obtención de datos que realiza el Web Crawler, se destacan dos que  pueden obtener datos específicos:

  • Creación de una lista de los empleados actuales de la empresa: En este caso, lo único que tiene que hacer el delincuente es configurar el software de recogida para que vaya a la pestaña “Personas” de la empresa objetivo. Esto dará como resultado una lista de empleados muy actualizada, ya que es casi un procedimiento estándar realizar cambios en la red social para mostrar dónde se trabaja actualmente.
  • Lista de objetivos de la cadena de suministro relacionados con el objetivo: Además del esfuerzo inicial de recopilación, es posible repasar las interacciones realizadas en los posts de la empresa para identificar posibles proveedores y socios, obteniendo así nuevos objetivos principales o posibilidades de atacar la cadena de suministro del objetivo inicial.

Al examinar con más detalle las posibilidades de recopilación de datos, los delincuentes se enfrentarían básicamente a tres formas diferentes de proporcionar información. Desde ESET destacan que es importante recordar que las formas mencionadas pueden ser reveladas al público en general o ser más restringidas, siendo reveladas solo a aquellos que pertenezcan a la lista de contactos:

Perfiles que no proporcionan ningún dato: Elegir no proporcionar ningún dato de contacto fuera de la plataforma significa que el número de informaciones que pueden recopilar los delincuentes se reduce considerablemente. Aun así, a menudo son capaces de recopilar datos como el nombre completo, el puesto de trabajo y la región en la que se encuentra la empresa.

Perfiles que solo proporcionan una dirección de correo electrónico de contacto: Aunque LinkedIn es una red enfocada a proporcionar información de contacto personal, algunos usuarios también proporcionan su dirección de correo electrónico corporativa actual. Independientemente del correo electrónico que se facilite, esto permite a las personas malintencionadas llevar a cabo interacciones más específicas con sus víctimas. Según ESET, uno de los posibles agravantes de facilitar la dirección de correo electrónico corporativa es que los delincuentes sabrán con certeza cómo se componen los correos electrónicos pertenecientes a la empresa. La mayoría de las empresas utilizan el formato estándar “nombre.apellido@empresa.com” o variaciones del mismo, como la primera letra del nombre seguida del apellido o todas las iniciales, además del apellido escrito completo. Disponer de esta información ahorra tiempo a los delincuentes.

Info – Ciberseguridad Latam

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *