Ejercicios: Engaños y ataques a las personas

Explicá qué es el phishing y qué suele pedir al final, casi siempre, un mensaje de phishing, sea cual sea la historia que cuente.

Recibís este SMS: «Su paquete no pudo entregarse. Abone $\$0.99$ de gastos de aduana aquí: envios-aduana.info». Señalá al menos dos detalles del mensaje que deben hacerte sospechar y explicá qué ocurriría probablemente al pagar.

La figura muestra un correo que suplanta a un banco, con tres señales de engaño ya marcadas y un elemento más señalado con una interrogación.

Explicá por qué cada una de las tres señales marcadas delata el fraude y qué deberías comprobar del elemento señalado con ? antes de hacer clic en nada.

¿Por qué los mensajes de phishing imitan casi siempre marcas muy conocidas (bancos, empresas de encomiendas, plataformas de video)? Explicá qué consigue el atacante al disfrazarse de una marca en la que la gente ya confía.

Explicá la diferencia entre correo no deseado (spam publicitario) y phishing, poné un ejemplo inventado de cada uno y describí qué conviene hacer con cada tipo de mensaje.

Escribí un ejemplo inventado de mensaje de phishing dirigido a adolescentes (el tema que quieras: conciertos, juegos, becas) y señalá en tu propio texto las tres trampas que pusiste para engañar al lector.

En un chat de soporte técnico, un «agente» te pide tu contraseña «para verificar tu identidad». Explicá por qué ningún servicio legítimo pide nunca la contraseña por chat, correo o teléfono, y redactá la respuesta que darías.

Explicá en qué consiste una cuenta clonada en una red social, cómo se fabrica una (misma foto, nombre con un punto o un guion de más) y qué dos señales delatan que no es la cuenta original de tu amigo.

Una cuenta con el nombre y la foto de tu prima te escribe pidiéndote dinero urgente por un problema. Explicá qué comprobaciones harías antes de responder y por qué el nombre y la foto de una cuenta no garantizan quién está detrás.

Definí qué es la ingeniería social y aplicalo a este caso: una persona llama a tu casa haciéndose pasar por técnico de la compañía de internet y pide instalar un programa «para arreglar la conexión». Señalá qué técnicas de persuasión usa y cómo debería actuar tu familia.

Un correo anuncia que has ganado un celular en un sorteo en el que no recordás haber participado; para «enviártelo» piden tu nombre completo, tu dirección y una foto de tu DUI. Analizá qué datos están intentando conseguir, para qué podrían usarse después y qué deberías hacer con ese correo.

En la zona de estacionamiento de pago de tu ciudad, el cartel oficial tiene un código QR para pagar, pero alguien ha pegado encima un sticker con otro código, como se muestra en la figura.

Explicá qué riesgo tiene pagar escaneando el código marcado con ?, cómo comprobarías cuál es el sistema de pago oficial y qué alternativa segura existe para pagar sin usar ese código.

Recibís un correo que parece enviado desde tu propia dirección: afirma haberte grabado con la cámara y pide dinero para no difundir las imágenes. Explicá cómo es posible falsificar el remitente de un correo, por qué este engaño se basa en el miedo y la vergüenza, y qué debés hacer —y qué no— al recibirlo.

Una persona influyente anuncia el «sorteo» de unos audífonos: para participar hay que seguir varias cuentas, llenar un formulario con tus datos y pagar los «gastos de envío». Analizá qué tres objetivos distintos consigue el organizador con cada requisito y por qué el premio probablemente no existe.

Tu mamá recibe un mensaje: «Mamá, perdí el celular, este es mi nuevo número. Necesito que me hagás una transferencia urgente». Explicá la táctica del «hijo en apuros», qué comprobación desharía el engaño al instante y qué norma familiar (por ejemplo, una palabra clave acordada) proponés vos.

Compará el objetivo final de tres engaños: un phishing bancario, un sorteo falso que pide foto del DUI y una cuenta clonada que le pide dinero a tus familiares. ¿Qué busca conseguir cada uno y qué tienen en común los tres en su primera fase de contacto?

En un grupo de mensajería del colegio se viraliza el siguiente mensaje enviado por un compañero: «¡Regalan zapatillas de marca por su aniversario! Entrá a www.marca-promocion.com/regalo, respondé 3 preguntas y reenviá esto a 5 grupos para recibir tu cupón». La web solicita autorizar notificaciones del navegador e instalar un perfil de configuración en el celular para «validar el cupón».

1. a) Explicá el mecanismo de ingeniería social que aprovecha el atacante para que sean las propias víctimas quienes distribuyan el fraude de forma orgánica sin haber vulnerado sus cuentas.
2. b) Predecí técnicamente qué riesgos asume un usuario al aceptar la instalación de un perfil de configuración desconocido en su teléfono celular.
3. c) Diseñá una lista de 3 pautas técnicas de filtrado que cualquier usuario debería aplicar antes de reenviar un enlace recibido en un grupo, evaluando la URL, los incentivos y los permisos solicitados.

En un simulacro de ciberseguridad en una empresa de software de 200 empleados, el departamento técnico envía dos campañas de phishing simulado:

• Correo A (Genérico): «Ganaste un cheque regalo de 100.00 dólares. Hacé clic aquí para canjearlo». Enviado un martes a las 10:00 h.

• Correo B (Contextualizado): «Urgente: Error de sincronización en el repositorio de código antes del despliegue. Confirmá tus credenciales antes de las 18:00 h para no perder tus cambios». Enviado un viernes a las 17:45 h.

Resultados: En el correo A cayó el 2.5 % de la plantilla; en el correo B cayó el 38.0 %, incluyendo a ingenieros sénior.

1. a) Interpretá los datos obtenidos: ¿qué factores cognitivos, temporales y de contexto explican la enorme diferencia de éxito entre ambos correos?
2. b) Rebatí técnicamente la afirmación de un directivo que afirma: «Con formar mejor a los empleados es suficiente; la culpa es del usuario que no mira bien el enlace».
3. c) Proponé dos medidas técnicas a nivel de sistema (como llaves FIDO2 o gestores de contraseñas corporativos) que impidan el robo de la cuenta incluso si el usuario cae en el engaño del correo B.