Enganys i atacs a les persones

Explica què és el pescaweb (phishing) i què sol demanar al final, gairebé sempre, un missatge de phishing, sigui quina sigui la història que expliqui.

Reps aquest SMS: «El vostre paquet no s'ha pogut lliurar. Pagueu $0,99\ \text{€}$ de despeses de duana aquí: envios-aduana.info». Assenyala almenys dos detalls del missatge que et facin sospitar i explica què passaria probablement en pagar.

La figura mostra un correu que suplanta un banc, amb tres senyals d'engany ja marcats i un element més assenyalat amb una interrogació.

Explica per què cadascun dels tres senyals marcats delata el frau i què hauries de comprovar de l'element assenyalat amb ? abans de prémer res.

Per què els missatges de pescaweb (phishing) imiten gairebé sempre marques molt conegudes (bancs, empreses de paqueteria, plataformes de vídeo)? Explica què aconsegueix l'atacant en disfressar-se d'una marca en la qual la gent ja confia.

Explica la diferència entre correu brossa (spam publicitari) i pescaweb (phishing), posa un exemple inventat de cadascun i descriu què convé fer amb cada tipus de missatge.

Observa aquests quatre enllaços rebuts en un missatge de missatgeria instantània:

1. https://banco-santander.seguridad-acceso.com/login

2. https://www.bancosantander.es/es/particulares

3. https://www.banc0santander.es/acceso

4. https://bit.ly/3xK9LqP (enllaç escurçat la destinació real oculta del qual és http://santander.login.ru)

1. a) Desglossa l'estructura de l'enllaç 1 (protocol, subdomini, domini principal i ruta) i demostra a quin servidor real es connectaria la víctima si hi fa clic.
2. b) Explica el procediment tècnic exacte per comprovar la destinació real de l'enllaç 4 sense obrir-lo, tant en un navegador d'ordinador com en un telèfon mòbil.
3. c) Justifica per què l'enllaç 3 és un exemple de 'typosquatting' i quin risc afegit presenta en pantalles de mòbil amb tipografies comprimides.

Un compte amb el nom i la foto de la teva cosina t'escriu demanant diners urgents per un problema. Explica quines comprovacions faries abans de respondre i per què el nom i la foto d'un compte no garanteixen qui hi ha al darrere.

Defineix què és l'enginyeria social i aplica-ho a aquest cas: una persona truca a casa fent-se passar per tècnic de la companyia d'internet i demana instal·lar un programa «per arreglar la connexió». Assenyala quines tècniques de persuasió fa servir i com hauria d'actuar la teva família.

La teva mare rep un missatge: «Mama, he perdut el mòbil, aquest és el meu nou número. Necessito que em facis una transferència urgent». Explica la tàctica del «fill amb problemes», quina comprovació desfarà l'engany a l'instant i quina norma familiar (per exemple, una paraula clau acordada) proposaries.

Un correu anuncia que has guanyat un mòbil en un sorteig en el qual no recordes haver participat; per «enviar-te'l» demanen el teu nom complet, la teva adreça i una foto del teu DNI. Analitza quines dades estan intentant aconseguir, per a què es podrien utilitzar després i què hauries de fer amb aquest correu.

A la zona d'aparcament de pagament de la teva ciutat, el cartell oficial té un codi QR per pagar, però algú hi ha enganxat a sobre un adhesiu amb un altre codi, com es mostra a la figura.

Explica quin risc té pagar escanejant el codi marcat amb ?, com comprovaries quin és el sistema de pagament oficial i quina alternativa segura existeix per pagar sense utilitzar aquest codi.

Una persona influent anuncia el «sorteig» d'uns auriculars: per participar-hi cal seguir diversos comptes, omplir un formulari amb les teves dades i pagar les «despeses d'enviament». Analitza quins tres objectius diferents aconsegueix l'organitzador amb cada requisit i per què el premi probablement no existeix.

Analitza la taula següent amb tres atacs que pateix el personal d'un centre educatiu:

1. SMS del remitent 'CORREOS' avisant d'un paquet retingut amb l'enllaç 'bit.ly/paq-34'.

2. Trucada d'un suposat tècnic de la Conselleria demanant per veu el codi SMS que acaba d'arribar al mòbil del director per «actualitzar el tallafoc del centre».

3. Correu de 'soporte@educa-madrid.org' (el domini oficial és 'educa.madrid.org') amb un adjunt 'actualizacion.pdf.exe'.

1. a) Explica quina limitació tècnica de la telefonia tradicional permet falsejar amb tanta facilitat l'identificador de trucada (CLI) o el remitent alfanumèric en l'smishing i el vishing en comparació amb el correu electrònic.
2. b) Prediu què passaria si el director lliura el codi en el cas 2 i justifica per què el segon factor d'autenticació (2FA) per SMS queda anul·lat en aquest atac d'enginyeria social.

En un simulacre de ciberseguretat en una empresa de programari de 200 empleats, el departament tècnic envia dues campanyes de pesca electrònica (phishing) simulada:

• Correu A (Genèric): «Has guanyat un xec regal de 100,00 €. Fes clic aquí per bescanviar-lo». Enviat un dimarts a les 10:00 h.

• Correu B (Contextualitzat): «Urgent: Error de sincronització en el repositori de codi abans del desplegament. Confirma les teves credencials abans de les 18:00 h per no perdre els teus canvis». Enviat un divendres a les 17:45 h.

Resultats: En el correu A va caure el 2,5 % de la plantilla; en el correu B va caure el 38,0 %, incloent-hi enginyers sènior.

1. a) Interpreta les dades obtingudes: quins factors cognitius, temporals i de context expliquen l'enorme diferència d'èxit entre tots dos correus?
2. b) Rebat tècnicament l'afirmació d'un directiu que afirma: «Amb formar millor els empleats n'hi ha prou; la culpa és de l'usuari que no mira bé l'enllaç».
3. c) Proposa dues mesures tècniques a escala de sistema (com claus FIDO2 o gestors de contrasenyes corporatius) que impedeixin el robatori del compte fins i tot si l'usuari cau en l'engany del correu B.

Un usuari escriu en un cercador web «accés clients banc nacional». El primer resultat patrocinat (anunci) mostra el títol «Banc Nacional - Accés Clients», però en fer clic la barra del navegador mostra: 'https://banc0naci0nal.es-web.net/login'.

1. a) Explica en què es diferencia aquest vector d'atac (malvertising i enverinament de cercadors) de la pesca electrònica (phishing) tradicional per correu electrònic i per què genera una taxa d'engany molt superior.
2. b) El web fraudulent disposa d'un certificat SSL/TLS vàlid (mostra el cadenat tancat en verd/gris). Justifica la diferència entre el xifratge de la connexió i l'autenticació de la identitat del propietari del web.
3. c) Dissenya dos hàbits tècnics de navegació per a serveis crítics (banca, correu institucional) que anul·lin per complet aquest vector d'atac sense dependre dels resultats del motor de cerca.