¿Ha recibido un paquete sin remitente que no ha pedido? Héctor Sánchez Abogado. Abogado en Gijón
Esto que le ha pasado tiene un nombre: brushing. Y puede ir más allá de la anécdota y conlleve un riesgo aparejado sobre todo si lo ha recibido en el centro de trabajo y es en este punto donde nos vamos a parar.
Pero, para empezar, ¿qué es el brushing?
El brushing en términos de ciberseguridad se refiere a un tipo de ataque virtual en el que los atacantes utilizan información personal robada, suplantación de identidad, para crear cuentas falsas a las que envían paquetes falsos y aumentar su número de seguidores en plataformas en línea escribiendo cometarios positivos del producto recibido.
Esto es lo más habitual, pero si en vez de recibir el producto en casa se recibe en el centro de trabajo, ¿por qué puede haber pasado esto? Porque ha habido una fuga de datos en algún sitio, por ejemplo, en marzo de 2021 el SEPE, Sistema Público de Empleo en España, tuvo un ciberataque y los datos de trabajadores podrían haber quedado expuestos, en el caso que nos ocupa, nombre del trabajador-dirección del centro de trabajo. Y el trabajador recibe un paquete sin remitente que no ha pedido ni él ni la empresa pero el remitente desconocido ya tiene confirmación que los datos son correctos, ha conseguido abrir la primera puerta.
Porque después de abrir la primera puerta, podrían querer abrir más puertas empleando otros medios como, por ejemplo:
- Phishing y spear phishing: consiste en correos electrónicos o mensajes de texto que aparentemente son enviados por fuentes confiables y que persuaden al destinatario a completar una acción, abrir un enlace malicioso, que va a poner en riesgo la información personal o de la empresa.
- Whaling o “caza de ballenas”: Es una forma de phishing que se dirige específicamente a altos ejecutivos y otros roles de alto nivel en una organización.
- Malware: Es un software malicioso diseñado para infiltrarse en sistemas o redes y causar daños. Puede incluir virus, gusanos, troyanos, ransomware y spyware, entre otros.
- Ransomware: Es un tipo de malware que compromete los equipos o sistemas de las empresas a cambio de un pago de rescate.
- Ingeniería social: Los atacantes manipulan a las personas para obtener información o acceso a sistemas o redes. Esto puede implicar engañar o persuadir a los empleados de una empresa para que revelen contraseñas, información confidencial o realicen acciones que comprometan la seguridad de la empresa.
Pues en este momento, ya se adivinan los riesgos en ciberseguridad. Para evitarlos y cerrar la puerta de la forma más segura posible, se pueden tomar las siguientes medidas que recomienda INCIBE, Instituto Nacional de Ciberseguridad de España:
- Autenticación: Asegurar mecanismos de autenticación de usuarios a través de la revisión y cambio periódico de todas las contraseñas en la empresa, también aquellas que son por defecto en productos y servicios. Es importante establecer un modelo de uso de contraseñas seguras, y para revisar su correcta aplicación, se recomiendan dos acciones: suficiente complejidad de las credenciales y cambio periódico de contraseñas. Además, es relevante el establecimiento de mecanismos de autenticación multifactor.
- Revisión de accesos: Es recomendable revisar los accesos establecidos para los proveedores y dependencias con sus sistemas y sus redes, como medida de seguridad para prevenir incidentes.
- Reporte de incidentes: Si sufres un incidente de ciberseguridad, desde INCIBE-CERT en su labor de CERT (Computer Security Response Team), ponen a disposición su capacidad tecnológica y de coordinación.
Por último, es importante recordar que estas medidas son generales y pueden necesitar ser adaptadas a las características específicas de cada empresa. En caso de duda, siempre es recomendable consultar tanto con un abogado y como con un experto en ciberseguridad porque las medidas a tomar son transversales y en distintos ámbitos.
Tienes dudas. Puede ponerse en contacto con este despacho y pedir asesoramiento. Héctor Sánchez tu Abogado en Gijón.
