Ejercicios: Engaños y ataques a las personas

Explica qué es el phishing y qué suele pedir al final, casi siempre, un mensaje de phishing, sea cual sea la historia que cuente.

Recibes este SMS: «Su paquete no pudo entregarse. Abone $\$19.80$ de gastos de aduana aquí: envios-aduana.info». Señala al menos dos detalles del mensaje que deben hacerte sospechar y explica qué ocurriría probablemente al pagar.

La figura muestra un correo que suplanta a un banco, con tres señales de engaño ya marcadas y un elemento más señalado con una interrogación.

Explica por qué cada una de las tres señales marcadas delata el fraude y qué deberías comprobar del elemento señalado con ? antes de pulsar nada.

¿Por qué los mensajes de phishing imitan casi siempre marcas muy conocidas (bancos, empresas de paquetería, plataformas de video)? Explica qué consigue el atacante al disfrazarse de una marca en la que la gente ya confía.

Explica la diferencia entre correo no deseado (spam publicitario) y phishing, pon un ejemplo inventado de cada uno y describe qué conviene hacer con cada tipo de mensaje.

Escribe un ejemplo inventado de mensaje de phishing dirigido a adolescentes (el tema que quieras: conciertos, juegos, becas) y señala en tu propio texto las tres trampas que has colocado para engañar al lector.

En un chat de soporte técnico, un «agente» te pide tu contraseña «para verificar tu identidad». Explica por qué ningún servicio legítimo pide nunca la contraseña por chat, correo o teléfono, y redacta la respuesta que darías.

Explica en qué consiste una cuenta clonada en una red social, cómo se fabrica una (misma foto, nombre con un punto o un guion de más) y qué dos señales delatan que no es la cuenta original de tu amigo.

Una cuenta con el nombre y la foto de tu prima te escribe pidiendo dinero urgente por un problema. Explica qué comprobaciones harías antes de responder y por qué el nombre y la foto de una cuenta no garantizan quién está detrás.

Define qué es la ingeniería social y aplícalo a este caso: una persona llama a casa haciéndose pasar por técnico de la compañía de internet y pide instalar un programa «para arreglar la conexión». Señala qué técnicas de persuasión usa y cómo debería actuar tu familia.

Un correo anuncia que has ganado un celular en un sorteo en el que no recuerdas haber participado; para «enviártelo» piden tu nombre completo, tu dirección y una foto de tu identificación oficial. Analiza qué datos están intentando conseguir, para qué podrían usarse después y qué deberías hacer con ese correo.

En la zona de estacionamiento de pago de tu ciudad, el letrero oficial tiene un código QR para pagar, pero alguien ha pegado encima una calcomanía con otro código, como se muestra en la figura.

Explica qué riesgo tiene pagar escaneando el código marcado con ?, cómo comprobarías cuál es el sistema de pago oficial y qué alternativa segura existe para pagar sin usar ese código.

Recibes un correo que parece enviado desde tu propia dirección: afirma haberte grabado con la cámara y pide dinero para no difundir las imágenes. Explica cómo es posible falsificar el remitente de un correo, por qué este engaño se basa en el miedo y la vergüenza, y qué debes hacer —y qué no— al recibirlo.

Una persona influyente anuncia el «sorteo» de unos auriculares: para participar hay que seguir varias cuentas, rellenar un formulario con tus datos y pagar los «gastos de envío». Analiza qué tres objetivos distintos consigue el organizador con cada requisito y por qué el premio probablemente no existe.

Tu mamá recibe un mensaje: «Mamá, perdí el celular, este es mi nuevo número. Necesito que me hagas una transferencia urgente». Explica la táctica del «hijo en apuros», qué comprobación desharía el engaño al instante y qué norma familiar (por ejemplo, una palabra clave acordada) propondrías.

Compara el objetivo final de tres engaños: un phishing bancario, un sorteo falso que pide foto del INE y una cuenta clonada que pide dinero a tus familiares. ¿Qué busca conseguir cada uno y qué tienen en común los tres en su primera fase de contacto?

En una empresa, el departamento financiero recibe este correo: «Hola, Carlos. Estoy en una reunión con clientes y ha surgido un pago imprevisto a un proveedor clave por 4,850.00 pesos. Transfiérelo antes de las 14:00 a este IBAN; adjuntaré la factura luego. No me llames porque no puedo coger el teléfono. Un saludo, Marta (Directora)». El correo procede de 'marta.directora@empresa-pagos.es' en lugar de 'marta@empresa.es'. A pesar de tener un antivirus actualizado en el equipo, Carlos realiza el pago.

1. a) Justifica técnicamente por qué ningún antivirus de cliente pudo bloquear este ataque.
2. b) Diseña un protocolo administrativo y técnico de autorización de pagos (utilizando verificación fuera de banda o doble factor) que haga inviable esta estafa, garantizando que Carlos no dependa solo de su intuición.

Analiza la siguiente tabla con tres ataques que sufre el personal de un centro educativo:

1. SMS del remitente 'CORREOS' avisando de un paquete retenido con el enlace 'bit.ly/paq-34'.

2. Llamada de un supuesto técnico de la Consejería pidiendo por voz el código SMS que acaba de llegar al móvil del director para «actualizar el cortafuegos del centro».

3. Correo de 'soporte@educa-madrid.org' (el dominio oficial es 'educa.madrid.org') con un adjunto 'actualizacion.pdf.exe'.

1. a) Explica qué limitación técnica de la telefonía tradicional permite falsear con tanta facilidad el identificador de llamada (CLI) o el remitente alfanumérico en el smishing y el vishing frente al correo electrónico.
2. b) Predice qué ocurriría si el director entrega el código en el caso 2 y justifica por qué el segundo factor de autenticación (2FA) por SMS queda anulado en este ataque de ingeniería social.

Redacta tres reglas para detectar un enlace peligroso antes de dar clic en él y explica cómo se comprueba la dirección real de un enlace sin abrirlo, tanto en una computadora como en un celular.

En un grupo de mensajería escolar se viraliza el siguiente mensaje enviado por un compañero: «¡Regalan zapatillas de marca por su aniversario! Entra en www.marca-promocion.com/regalo, responde 3 preguntas y reenvía esto a 5 grupos para recibir tu cupón». La web solicita autorizar notificaciones del navegador e instalar un perfil de configuración en el móvil para «validar el cupón».

1. a) Explica el mecanismo de ingeniería social que aprovecha el atacante para que sean las propias víctimas quienes distribuyan el fraude de forma orgánica sin haber vulnerado sus cuentas.
2. b) Predice técnicamente qué riesgos asume un usuario al aceptar la instalación de un perfil de configuración desconocido en su teléfono móvil.
3. c) Diseña una lista de 3 pautas técnicas de filtrado que cualquier usuario debería aplicar antes de reenviar un enlace recibido en un grupo, evaluando la URL, los incentivos y los permisos solicitados.

Analiza la siguiente cronología de un incidente de seguridad:

• 10:15 h: La víctima recibe un SMS de su banco («ALERTA: Cargo no autorizado de 250.00 pesos. Si no lo reconoce, anúlelo urgentemente en https://banco.atencion-fraude.com»).

• 10:17 h: Entra en el enlace (con candado HTTPS y diseño idéntico al real) e introduce su DNI y clave de acceso.

• 10:19 h: La web le pide introducir un código de un solo uso que acaba de recibir por SMS para «cancelar la operación fraudulenta».

1. a) Interpreta técnicamente qué está haciendo el atacante entre las 10:17 h y las 10:19 h en los sistemas del banco real con los datos que la víctima introduce en la web falsa.
2. b) Justifica por qué la presencia del candado HTTPS no garantiza en absoluto que el sitio web pertenezca al banco legítimo.
3. c) Diseña el plan de contingencia inmediato (3 acciones ordenadas por prioridad) que debe ejecutar la víctima si se percata del engaño justo a las 10:20 h.

Tras una fuga de datos en una tienda de informática, un cliente recibe un correo desde 'pedidos@tienda-informatica.com' que dice: «Estimado Juan, respecto a su compra del portátil Gamer-X del 12 de marzo, ha habido un error en el cálculo del IVA (42.00 pesos). Descargue la factura rectificativa adjunta 'Factura_IVA.zip' o el pedido quedará cancelado».

1. a) Justifica por qué los filtros antispam basados en análisis heurístico de texto no detectan este mensaje a pesar de que el remitente es falsificado.
2. b) Explica el papel de los registros criptográficos de correo (como SPF, DKIM o DMARC) para que el servidor de destino identifique si el correo procede realmente del servidor autorizado de la tienda.
3. c) Si Juan abre el archivo 'Factura_IVA.zip' y encuentra un archivo llamado 'Factura_IVA.pdf.exe', explica la técnica de ocultamiento empleada y predice qué ocurriría si el sistema operativo tiene activada por defecto la opción «Ocultar extensiones de archivo para tipos conocidos».

En un simulacro de ciberseguridad en una empresa de software de 200 empleados, el departamento técnico envía dos campañas de phishing simulado:

• Correo A (Genérico): «Has ganado un cheque regalo de 100.00 pesos. Haz clic aquí para canjearlo». Enviado un martes a las 10:00 h.

• Correo B (Contextualizado): «Urgente: Error de sincronización en el repositorio de código antes del despliegue. Confirma tus credenciales antes de las 18:00 h para no perder tus cambios». Enviado un viernes a las 17:45 h.

Resultados: En el correo A cayó el 2.5 % de la plantilla; en el correo B cayó el 38.0 %, incluyendo a ingenieros sénior.

1. a) Interpreta los datos obtenidos: ¿qué factores cognitivos, temporales y de contexto explican la enorme diferencia de éxito entre ambos correos?
2. b) Rebate técnicamente la afirmación de un directivo que afirma: «Con formar mejor a los empleados es suficiente; la culpa es del usuario que no mira bien el enlace».
3. c) Propón dos medidas técnicas a nivel de sistema (como llaves FIDO2 o gestores de contraseñas corporativos) que impidan el robo de la cuenta incluso si el usuario cae en el engaño del correo B.

Un usuario escribe en un buscador web «acceso clientes banco nacional». El primer resultado patrocinado (anuncio) muestra el título «Banco Nacional - Acceso Clientes», pero al hacer clic la barra del navegador muestra: 'https://banc0naci0nal.es-web.net/login'.

1. a) Explica en qué se diferencia este vector de ataque (malvertising y envenenamiento de buscadores) del phishing tradicional por correo electrónico y por qué genera una tasa de engaño muy superior.
2. b) La web fraudulenta dispone de un certificado SSL/TLS válido (muestra el candado cerrado en verde/gris). Justifica la diferencia entre el cifrado de la conexión y la autenticación de la identidad del propietario de la web.
3. c) Diseña dos hábitos técnicos de navegación para servicios críticos (banca, correo institucional) que anulen por completo este vector de ataque sin depender de los resultados del motor de búsqueda.