Exercicis: Enganys i atacs a les persones

Explica què és el pescaweb (phishing) i què sol demanar al final, gairebé sempre, un missatge de phishing, sigui quina sigui la història que expliqui.

Reps aquest SMS: «El vostre paquet no s'ha pogut lliurar. Pagueu $0,99\ \text{€}$ de despeses de duana aquí: envios-aduana.info». Assenyala almenys dos detalls del missatge que et facin sospitar i explica què passaria probablement en pagar.

La figura mostra un correu que suplanta un banc, amb tres senyals d'engany ja marcats i un element més assenyalat amb una interrogació.

Explica per què cadascun dels tres senyals marcats delata el frau i què hauries de comprovar de l'element assenyalat amb ? abans de prémer res.

Per què els missatges de pescaweb (phishing) imiten gairebé sempre marques molt conegudes (bancs, empreses de paqueteria, plataformes de vídeo)? Explica què aconsegueix l'atacant en disfressar-se d'una marca en la qual la gent ja confia.

Explica la diferència entre correu brossa (spam publicitari) i pescaweb (phishing), posa un exemple inventat de cadascun i descriu què convé fer amb cada tipus de missatge.

Escriu un exemple inventat de missatge de pescaweb (phishing) adreçat a adolescents (el tema que vulguis: concerts, jocs, beques) i assenyala en el teu propi text les tres trampes que has col·locat per enganyar el lector.

En un xat de suport tècnic, un «agent» et demana la teva contrasenya «per verificar la teva identitat». Explica per què cap servei legítim demana mai la contrasenya per xat, correu o telèfon, i redacta la resposta que donaries.

Explica en què consisteix un compte clonat en una xarxa social, com se'n fabrica un (mateixa foto, nom amb un punt o un guió de més) i quins dos senyals delaten que no és el compte original del teu amic.

Un compte amb el nom i la foto de la teva cosina t'escriu demanant diners urgents per un problema. Explica quines comprovacions faries abans de respondre i per què el nom i la foto d'un compte no garanteixen qui hi ha al darrere.

Defineix què és l'enginyeria social i aplica-ho a aquest cas: una persona truca a casa fent-se passar per tècnic de la companyia d'internet i demana instal·lar un programa «per arreglar la connexió». Assenyala quines tècniques de persuasió fa servir i com hauria d'actuar la teva família.

Un correu anuncia que has guanyat un mòbil en un sorteig en el qual no recordes haver participat; per «enviar-te'l» demanen el teu nom complet, la teva adreça i una foto del teu DNI. Analitza quines dades estan intentant aconseguir, per a què es podrien utilitzar després i què hauries de fer amb aquest correu.

A la zona d'aparcament de pagament de la teva ciutat, el cartell oficial té un codi QR per pagar, però algú hi ha enganxat a sobre un adhesiu amb un altre codi, com es mostra a la figura.

Explica quin risc té pagar escanejant el codi marcat amb ?, com comprovaries quin és el sistema de pagament oficial i quina alternativa segura existeix per pagar sense utilitzar aquest codi.

Reps un correu que sembla enviat des de la teva pròpia adreça: afirma haver-te gravat amb la càmera i demana diners per no difondre les imatges. Explica com és possible falsificar el remitent d'un correu, per què aquest engany es basa en la por i la vergonya, i què has de fer —i què no— en rebre'l.

Una persona influent anuncia el «sorteig» d'uns auriculars: per participar-hi cal seguir diversos comptes, omplir un formulari amb les teves dades i pagar les «despeses d'enviament». Analitza quins tres objectius diferents aconsegueix l'organitzador amb cada requisit i per què el premi probablement no existeix.

La teva mare rep un missatge: «Mama, he perdut el mòbil, aquest és el meu nou número. Necessito que em facis una transferència urgent». Explica la tàctica del «fill amb problemes», quina comprovació desfarà l'engany a l'instant i quina norma familiar (per exemple, una paraula clau acordada) proposaries.

Compara l'objectiu final de tres enganys: un pescaweb (phishing) bancari, un sorteig fals que demana foto del DNI i un compte clonat que demana diners als teus familiars. Què busca aconseguir cadascun i què tenen en comú tots tres en la seva primera fase de contacte?

En una empresa, el departament financer rep aquest correu: «Hola, Carlos. Estic en una reunió amb clients i ha sorgit un pagament imprevist a un proveïdor clau per 4.850,00 €. Transfereix-lo abans de les 14:00 a aquest IBAN; adjuntaré la factura després. No em truquis perquè no puc agafar el telèfon. Una salutació, Marta (Directora)». El correu procedeix de 'marta.directora@empresa-pagos.es' en comptes de 'marta@empresa.es'. Malgrat tenir un antivirus actualitzat a l'equip, en Carlos fa el pagament.

1. a) Justifica tècnicament per què cap antivirus de client va poder bloquejar aquest atac.
2. b) Dissenya un protocol administratiu i tècnic d'autorització de pagaments (utilitzant verificació fora de banda o doble factor) que faci inviable aquesta estafa, garantint que en Carlos no depengui només de la seva intuïció.

Analitza la taula següent amb tres atacs que pateix el personal d'un centre educatiu:

1. SMS del remitent 'CORREOS' avisant d'un paquet retingut amb l'enllaç 'bit.ly/paq-34'.

2. Trucada d'un suposat tècnic de la Conselleria demanant per veu el codi SMS que acaba d'arribar al mòbil del director per «actualitzar el tallafoc del centre».

3. Correu de 'soporte@educa-madrid.org' (el domini oficial és 'educa.madrid.org') amb un adjunt 'actualizacion.pdf.exe'.

1. a) Explica quina limitació tècnica de la telefonia tradicional permet falsejar amb tanta facilitat l'identificador de trucada (CLI) o el remitent alfanumèric en l'smishing i el vishing en comparació amb el correu electrònic.
2. b) Prediu què passaria si el director lliura el codi en el cas 2 i justifica per què el segon factor d'autenticació (2FA) per SMS queda anul·lat en aquest atac d'enginyeria social.

Observa aquests quatre enllaços rebuts en un missatge de missatgeria instantània:

1. https://banco-santander.seguridad-acceso.com/login

2. https://www.bancosantander.es/es/particulares

3. https://www.banc0santander.es/acceso

4. https://bit.ly/3xK9LqP (enllaç escurçat la destinació real oculta del qual és http://santander.login.ru)

1. a) Desglossa l'estructura de l'enllaç 1 (protocol, subdomini, domini principal i ruta) i demostra a quin servidor real es connectaria la víctima si hi fa clic.
2. b) Explica el procediment tècnic exacte per comprovar la destinació real de l'enllaç 4 sense obrir-lo, tant en un navegador d'ordinador com en un telèfon mòbil.
3. c) Justifica per què l'enllaç 3 és un exemple de 'typosquatting' i quin risc afegit presenta en pantalles de mòbil amb tipografies comprimides.

En un grup de missatgeria escolar es viralitza el missatge següent enviat per un company: «Regalen vambes de marca pel seu aniversari! Entra a www.marca-promocion.com/regalo, respon 3 preguntes i reenvia això a 5 grups per rebre el teu cupó». El web sol·licita autoritzar notificacions del navegador i instal·lar un perfil de configuració al mòbil per «validar el cupó».

1. a) Explica el mecanisme d'enginyeria social que aprofita l'atacant perquè siguin les mateixes víctimes les que distribueixin el frau de manera orgànica sense haver vulnerat els seus comptes.
2. b) Prediu tècnicament quins riscos assumeix un usuari en acceptar la instal·lació d'un perfil de configuració desconegut al seu telèfon mòbil.
3. c) Dissenya una llista de 3 pautes tècniques de filtratge que qualsevol usuari hauria d'aplicar abans de reenviar un enllaç rebut en un grup, avaluant l'URL, els incentius i els permisos sol·licitats.

Analitza la cronologia següent d'un incident de seguretat:

• 10:15 h: La víctima rep un SMS del seu banc («ALERTA: Càrrec no autoritzat de 250,00 €. Si no el reconeixeu, anul·leu-lo urgentment a https://banco.atencion-fraude.com»).

• 10:17 h: Entra a l'enllaç (amb cadenat HTTPS i disseny idèntic al real) i introdueix el seu DNI i clau d'accés.

• 10:19 h: El web li demana introduir un codi d'un sol ús que acaba de rebre per SMS per «cancel·lar l'operació fraudulenta».

1. a) Interpreta tècnicament què està fent l'atacant entre les 10:17 h i les 10:19 h en els sistemes del banc real amb les dades que la víctima introdueix al web fals.
2. b) Justifica per què la presència del cadenat HTTPS no garanteix en absolut que el lloc web pertanyi al banc legítim.
3. c) Dissenya el pla de contingència immediat (3 accions ordenades per prioritat) que ha d'executar la víctima si s'adona de l'engany just a les 10:20 h.

Després d'una fuga de dades en una botiga d'informàtica, un client rep un correu des de 'pedidos@tienda-informatica.com' que diu: «Benvolgut Juan, respecte a la seva compra del portàtil Gamer-X del 12 de març, hi ha hagut un error en el càlcul de l'IVA (42,00 €). Descarregui la factura rectificativa adjunta 'Factura_IVA.zip' o la comanda quedarà cancel·lada».

1. a) Justifica per què els filtres antispam basats en anàlisi heurística de text no detecten aquest missatge malgrat que el remitent és falsificat.
2. b) Explica el paper dels registres criptogràfics de correu (com SPF, DKIM o DMARC) perquè el servidor de destinació identifiqui si el correu procedeix realment del servidor autoritzat de la botiga.
3. c) Si en Juan obre el fitxer 'Factura_IVA.zip' i troba un fitxer anomenat 'Factura_IVA.pdf.exe', explica la tècnica d'ocultació emprada i prediu què passaria si el sistema operatiu té activada per defecte l'opció «Amaga les extensions de fitxer per a tipus coneguts».

En un simulacre de ciberseguretat en una empresa de programari de 200 empleats, el departament tècnic envia dues campanyes de pesca electrònica (phishing) simulada:

• Correu A (Genèric): «Has guanyat un xec regal de 100,00 €. Fes clic aquí per bescanviar-lo». Enviat un dimarts a les 10:00 h.

• Correu B (Contextualitzat): «Urgent: Error de sincronització en el repositori de codi abans del desplegament. Confirma les teves credencials abans de les 18:00 h per no perdre els teus canvis». Enviat un divendres a les 17:45 h.

Resultats: En el correu A va caure el 2,5 % de la plantilla; en el correu B va caure el 38,0 %, incloent-hi enginyers sènior.

1. a) Interpreta les dades obtingudes: quins factors cognitius, temporals i de context expliquen l'enorme diferència d'èxit entre tots dos correus?
2. b) Rebat tècnicament l'afirmació d'un directiu que afirma: «Amb formar millor els empleats n'hi ha prou; la culpa és de l'usuari que no mira bé l'enllaç».
3. c) Proposa dues mesures tècniques a escala de sistema (com claus FIDO2 o gestors de contrasenyes corporatius) que impedeixin el robatori del compte fins i tot si l'usuari cau en l'engany del correu B.

Un usuari escriu en un cercador web «accés clients banc nacional». El primer resultat patrocinat (anunci) mostra el títol «Banc Nacional - Accés Clients», però en fer clic la barra del navegador mostra: 'https://banc0naci0nal.es-web.net/login'.

1. a) Explica en què es diferencia aquest vector d'atac (malvertising i enverinament de cercadors) de la pesca electrònica (phishing) tradicional per correu electrònic i per què genera una taxa d'engany molt superior.
2. b) El web fraudulent disposa d'un certificat SSL/TLS vàlid (mostra el cadenat tancat en verd/gris). Justifica la diferència entre el xifratge de la connexió i l'autenticació de la identitat del propietari del web.
3. c) Dissenya dos hàbits tècnics de navegació per a serveis crítics (banca, correu institucional) que anul·lin per complet aquest vector d'atac sense dependre dels resultats del motor de cerca.