El Tribunal de Cuentas alerta a las entidades locales de que delincuentes usan su imagen para un ataque 'phishing'
“El Tribunal de Cuentas tiene conocimiento de que se está llevando a cabo una campaña de envío de correos fraudulentos suplantado esta dirección de correo corporativa. Los ciberdelincuentes están usando 'ingeniería social' (phising) para engañar a los receptores del mensaje. Se insta a descargar una 'supuesta' factura adjunta con el objeto de llevar a cabo la infección del equipo”.
De esta manera ha alertado a las Entidades Locales españolas —en proceso de Rendición de Cuentas hasta este 31 de octubre— el órgano censor económico estatal mediante el envío efectuado este 29 de marzo de un correo electrónico a todas ellas. El supuesto ciberataque podría provocar el robo de credenciales (nombre de usuario y contraseñas), de la libreta de direcciones del correo electrónico o de 'malware informático', “que se instala de forma silenciosa, y que una ves se pone en acción cifra o encripta todos los datos para bloquear el acceso a ellos sin la contraseña que permite descifrarlos”, según aviso.
Los ciberdelincuentes utilizan el engaño aprovechando la constante comunicación de las dos administraciones durante estos días, para intentar que el usuario —en este caso los funcionarios de diputaciones, cabildos canarios, consejos comarcales, consorcios y mancomunidades, más de ocho mil ayuntamientos y los representantes de tres mil juntas vecinales y otras entidades locales menores— abran esa 'factura' y dejen expuestos a sus equipos de tal manera que en el peor de los casos se pida rescate monetario para poder volver a usarlos tras un secuestro informático, que es lo que ejecuta el 'ransomware'.
El ataque 'phising' (de pescar algo) es un truco de ingeniería social de los ciberatacantes, que lo que hacen es suplantar la forma de enviar correos electrónicos en nombre de alguien que no es, lanzándolos desde cuentas de correo electrónicos o páginas web similares, pero no iguales, que las oficiales u originales. Este engaño funciona como anzuelo en un escaso porcentaje de los casos (por ello lo de 'pescar'), pero puede provocar grandes daños si los delincuentes se hacen con información pública de los ciudadanos o de las cuentas corrientes de sus administraciones.
“Ante la mínima duda, no abrir ningún enlace”
El 'email' de advertencia del Tribunal de Cuentas da unas concisas explicaciones de cómo actuar en caso de sospechas de estos ataques 'phising' de suplantación de identidad. “Es importante que ante la mínima duda sobre la legitimidad de este
tipo de correos, no interaccionar con sus archivos adjuntos y eliminarlos directamente, no abrir ningún enlace ni adjunto que contengan y nunca contestar a estos correos“.
“En el caso de que se haya llevado a cabo la descarga del archivo adjunto, hay que notificar el incidene a la mayor brevedad posible al departamento de tecnología de su entidad, para que proceda a tomar las medidas pertinentes para eliminar el 'malware' en el equipo y filtrar en sus dispositivos de comunicaciones los correos que respondan a este patrón”, aconsejan.
Además de esto recomiendan que “para ampliar conocimientos” se consulten las páginas de los organismos públicos encargados de la ciberseguridad en España, tanto el Centro Criptológico Nacional “cuyo mandato es fomentar el conocimiento y el uso seguro de las Tecnologías de la Información y la Comunicación en el Sector Público y que se consulte su web sobre ciberconsejos.
También hace referencia al Incibe, situado en León, el Instituto Nacional de Ciberseguridad, del que recomiendan que se visite su blog sobre Ciberseguridad y se tome nota de estas herramientas para evitar el secuestro de ordenadores e instrucciones para evitar los engaños de ingeniería social.