Creado con IA
Es una práctica habitual que muchos servicios en la red de redes utilicen las direcciones de correo electrónico como mecanismo para la identificación y autenticación y por ello, retornan a los gestores de correo información esencial para el manejo de cuentas.
También es práctica común que se transfiera a través del correo información sobre aspectos laborales o bancarias sin que se atiendan los riesgos que estos puede tener.
Es esencial que se tome en consideración que el correo electrónico utilizan canales públicos para transferir la información y que estas vías son inseguras. Esto condiciona el hecho de que los ciberdelincuentes tengan en el punto rojo del colimador estos puntos de gestión de los usuarios.
Sería conveniente que cada persona se preguntase qué información tiene guardada en la bandeja de entrada del correo electrónico.
Es cierto que el software de seguridad del gestor de correo constituye un valladar ante un ataque de hackers, pero estos no son útiles ante el phishing, por ello, “limpiar” los mensajes de la bandeja de entrada es una buena práctica para todos, sin contar como esto contribuye al mejor funcionamiento al evitar la sobrecarga de las plataformas.
En el preámbulo de estas notas se hizo referencia a los datos de autentificación porque la mayor parte de los servicios en la actualidad no envían contraseñas temporales, sino que generan enlaces dinámicos únicos con los que se accede a una interfaz que permite cambiar esta condición necesaria para la entrada. Como se ha mencionado antes el envío de una contraseña a través del correo electrónico no cifrado es un grave error. Pero algunas organizaciones siguen enviando las credenciales por esta vía, lo que es más difundido aún en los servicios y recursos al interior de la red institucional. No se descarta el hecho de que las personas “prestan” sus llaves de acceso de sesión en incluso las respuestas secretas o las “semillas” con las palabras que dan acceso a un sistema.
Es por ello que los atacantes buscan el acceso a los recursos corporativos, porque así pueden obtener información adicional para sus acciones sustentadas en la ingeniería social y profundizar sus ataques.
Otro elemento importante es que se reciben muchas notificaciones de los servicios en línea que incluyen confirmaciones de registros, enlaces para recuperar contraseñas, notificaciones de actualización de políticas de privacidad, entre otras y estos mensajes no son muy interesantes para un público común, pero muestran los servicios a los que se tiene suscripción. Es probable que los atacantes cuenten con programas para automatizar la búsqueda de este tipo de notificaciones y para ello, la bandeja d3e entrada del correo es clave para el acceso pues a través de estas notificaciones se puede realizar un cambio de credenciales para ganar el acceso.
También en el caso de los “usuarios corporativos” es práctica frecuente la utilización de la bandeja de entrada para almacenar archivos en la nube de la organización como una forma de tener acceso rápido a los mismos. Esto por las razones anteriores es un riesgo de que la información se filtre, por lo que es vital la supresión de esta práctica, mas aún si es información sensible.
De manera notoria se aprecia el intercambio de información confidencial a través del correo electrónico como parte de la mecánica operativa de trabajo dentro de la organización o en el flujo con el “nivel superior”, esto incluye información económica, que de caer en manos de personas no autorizadas puede ser funesto, en especial si se trata de ciberdelincuentes.
De ello se deduce que el email de un contador o de un especialista de cuadros es un punto neurálgico a proteger de los ataques y para ello, la prevención es esencial. Y esto pasa por suprimir la práctica de usar el correo como archivo.
Por solo tomar un ejemplo, con datos económicos en la mano un ciberdelincuente no necesita tramar complejos nexos para una estafa través del correo electrónico, al poder utilizar directamente datos reales sobre proveedores y destinatarios de servicios, cuentas y cantidades de transacciones económicas que le permiten elaborar “asuntos creíbles y atractivos”. También pueden servir para ataques a terceros.
Los datos personales de terceras personas, también podrían llegar a la bandeja de entrada de una persona cuando se le conceden a la institución permiso para almacenar y procesar datos de otros, con lo que adquieren obligaciones legales que están contemplados en la ley 149/2022 sobre la protección de datos.
Es recomendable prevenir la posibilidad de la existencia de bandejas de entrada comprometida para evitar que ocurran incidentes, para lo que la primera acción es eliminar toda la información que pueda resultar de interés a los ciberdelincuentes. Esto incluye a todas las carpetas del gestor de correo, incluida la papelera de reciclaje.
En caso de que se envíe información confidencial comercial por correo electrónico, esta debe enviarse cifrada, que es una utilidad de la mayor parte de los clientes de correo para organizaciones.
También se recomienda la utilización de la autentificación multifactorial siempre que esté disponible. Esto pondrá una capa extra de seguridad ante el atacante que trate de comprometer el correo.
Es conveniente también utilizar administradores de contraseñas y firmas digitales para hacer más sólida la seguridad de la información y sobre todo realizar una revisión exhaustiva de la información que está “guardada” en la cuenta de correo electrónico.