¿Qué puede hacer un ciberdelincuente con mi e-mail?

No es difícil imaginar por qué un ciberdelincuente se interesaría por contraseñas bancarias o datos de tarjetas de crédito. Sin embargo, los estafadores también saben sacar provecho de otro tipo de información, incluso de información que se puede considerar pública. La dirección de e-mail es un buen ejemplo de eso.

De acuerdo con el informe de Cloudflare “Phishing Threats Report”, el 90% de los ataques cibernéticos exitosos empiezan con el envío de un simple mensaje de e-mail.

Cualquier mensaje malicioso es más efectivo cuando el delincuente agrega información personal, como el nombre de la víctima, o menciona la empresa en la que trabaja. Desgraciadamente, muchas veces, el e-mail ya contiene pistas que ayudan al delincuente a obtener otros datos.

In corporate emails, the name of the company is often part of the address, which helps criminals locate profiles on professional social networks. The victim’s full name and professional and academic history are enough for scammers to craft a personalized phishing scam.

Existen también servicios y aplicaciones que terminan filtrando información de sus usuarios. Los datos de esas fugas se pueden consultar a partir de la dirección de e-mail y pueden incluir detalles personales y contraseñas expuestas. Como mínimo, el delincuente puede descubrir en cuáles sitios se usó el e-mail y usar uno de esos sitios como pretexto para abordar al dueño de la cuenta en cuestión.

Estafas que no requieren nada más que el e-mail

Phishing: el phishing es el envío de un mensaje mediante el cual se intenta convencer a la víctima a hacer algo que sea del interés del delincuente. El phishing tradicional es el que trae un enlace que conduce a la víctima a una página clonada con el propósito de robar credenciales, o enlaces y adjuntos para contaminar el dispositivo de la víctima con malware. 

Estafa del depósito anticipado: Es una estafa mediante la cual se exige un pago a cambio de un beneficio futuro, como hacer efectivo el envío de una encomienda que estaba retenida, autorizar una transferencia de dinero o pagar una multa. 

Extorsión falsa: La extorsión falsa es un ataque en el que el ciberdelincuente alega ser un invasor que tiene datos de la víctima (incluso vídeos íntimos o contraseñas) y pide un valor en dinero —muchas veces cobrado en criptomonedas— para no utilizar ni divulgar la información. Sin embargo, la mayoría de las veces, no tiene ninguna información.

Spoofing: El delincuente puede intentar enmascarar la dirección de e-mail en el campo de “remitente”, forjando el envío de su mensaje para que parezca provenir de una persona o institución conocida. Muchos proveedores de e-mail detectan intentos de spoofing y filtran esos mensajes, pero estos aun pueden confundir a algunos usuarios.

Invasión de cuentas de e-mail

Si una dirección de e-mail ya es valiosa, la contraseña de la bandeja de entrada lo es aun más.

Muchas aplicaciones dependen del e-mail para redefinir la contraseña. Por lo tanto, el acceso a la bandeja de e-mail abre camino para que el invasor tenga acceso a todos los demás servicios asociados a aquel e-mail cuyas contraseñas se puedan redefinir.

Además, quienes tienen acceso a un e-mail pueden enviar mensajes como si fueran del usuario sin recurrir a ninguna técnica de spoofing. Esto ayuda al delincuente a realizar ataques de phishing dirigidos a los contactos de la víctima.

En empresas, se puede usar una cuenta de e-mail comprometida para realizar un fraude de Business Email Compromise (BEC). Por ejemplo, el delincuente puede enviarle una factura falsa a un cliente.

¿Cómo protegerse?

• Recuerda que el delincuente puede recoger información a partir de tu e-mail, incluso contraseñas filtradas de otros servicios;
• Considera usar direcciones de e-mail distintas específicamente para determinadas tareas, como una para registros en línea y otra para compras;
• Recuerda que los e-mails marcados como spam pueden ser altamente peligrosos;
• Utiliza contraseñas únicas y fuertes combinadas con la verificación en dos pasos (2FA/MFA).