Luego están las plataformas sociales clásicas orientadas al usuario final, como Instagram y X. Aquí es donde los empleados suelen compartir detalles sobre sus planes de viaje a conferencias y otros eventos, lo que podría utilizarse en su contra y en contra de su organización. Incluso la información que aparece en el sitio web de su empresa podría ser útil para un posible estafador o hacker. Piense en detalles sobre plataformas técnicas, proveedores y socios, o anuncios corporativos importantes, como actividades de fusiones y adquisiciones. Todo ello podría servir de pretexto para un phishing sofisticado.

Estos ataques suelen requerir una combinación de suplantación de identidad, urgencia y relevancia. A continuación, se presentan algunos ejemplos hipotéticos:

• Un atacante encuentra información en LinkedIn sobre un nuevo empleado que ocupa un puesto en el departamento de TI de la empresa A, incluyendo sus funciones y responsabilidades principales. Se hace pasar por un proveedor tecnológico clave y afirma que es necesaria una actualización de seguridad urgente, haciendo referencia al nombre, los datos de contacto y el puesto del objetivo. El enlace de la actualización es malicioso.
• Un agente malicioso encuentra información sobre dos compañeros de trabajo en GitHub, incluido el proyecto en el que están trabajando. Se hace pasar por uno de ellos en un correo electrónico en el que le pide al otro que revise un documento adjunto, que contiene malware.
• Un estafador encuentra un video de un ejecutivo en LinkedIn o en el sitio web de una empresa. Ve en el feed de Instagram/X de esa persona que va a dar una conferencia y que estará fuera de la oficina. Sabiendo que puede ser difícil ponerse en contacto con el ejecutivo, lanza un ataque BEC deepfake utilizando video o audio para engañar a un miembro del equipo financiero y que transfiera fondos urgentes a un nuevo proveedor.

Desde ESET describen ejemplos reales de actores maliciosos que utilizan técnicas de «inteligencia de fuentes abiertas» (OSINT) en las primeras etapas de los ataques. Entre ellos se incluyen:

• Un ataque BEC que le costó 3.6 millones de dólares a Children's Healthcare of Atlanta (CHOA): es probable que los actores maliciosos revisaran los comunicados de prensa sobre un campus recién anunciado para obtener más detalles, incluido el socio constructor del hospital. A continuación, habrían utilizado LinkedIn y/o el sitio web de la empresa para identificar a los principales ejecutivos y miembros del equipo financiero de la empresa constructora implicada (JE Dunn). Por último, se hicieron pasar por el director financiero en un correo electrónico enviado al equipo financiero de CHOA en el que solicitaban que actualizaran sus datos de pago para JE Dunn.
• Los grupos SEABORGIUM, con sede en Rusia, y TA453, alineado con Irán, utilizan OSINT para realizar reconocimientos antes de lanzar ataques de spearphishing contra objetivos preseleccionados. Según el NCSC del Reino Unido, utilizan las redes sociales y las plataformas de networking profesional para «investigar los intereses [de sus objetivos] e identificar sus contactos sociales o profesionales en el mundo real». Una vez que han establecido la confianza y la relación a través del correo electrónico, envían un enlace para recopilar las credenciales de las víctimas.

“Si bien los riesgos de compartir en exceso son reales, las soluciones son sencillas. El arma más potente es la educación, actualizar los programas de concienciación sobre seguridad es un punto fundamental para garantizar que quienes integran una compañía comprendan la importancia de no compartir en exceso en las redes sociales. Solicitar al personal que evite compartir información a través de mensajes directos no solicitados, incluso si reconocen al usuario (ya que su cuenta podría haber sido suplantada) y asegurarse de que sean capaces de detectar los intentos de phishing, BEC y deepfake.”, aconseja Lopez de ESET Latinoamérica.

Además, dentro de las recomendaciones de seguridad de ESET Latinoamérica, se encuentra el respaldar esto con una política estricta sobre el uso de las redes sociales, definiendo límites claros sobre lo que se puede y no se puede compartir, y aplicando fronteras claras entre las cuentas personales y las profesionales/oficiales. Es posible que también sea necesario revisar y actualizar los sitios web y las cuentas corporativas para eliminar cualquier información que pueda ser utilizada como arma.

También, chequear la autenticación multifactorial (MFA) y las contraseñas seguras (almacenadas en un administrador de contraseñas) también deben ser una práctica habitual en todas las cuentas de redes sociales, por si las cuentas profesionales son comprometidas para atacar a los compañeros de trabajo.

Por último, supervisar las cuentas de acceso público, siempre que sea posible, para detectar cualquier información que pueda ser utilizada para el spearphishing y el BEC, y realizar ejercicios de equipo rojo con los empleados para poner a prueba su concienciación.

“La IA está haciendo que sea más rápido y fácil que nunca para los actores maliciosos perfilar a sus objetivos, recopilar OSINT y luego redactar correos electrónicos/mensajes convincentes en un lenguaje natural perfecto. Los deepfakes impulsados por IA aumentan aún más sus opciones. La conclusión debería ser que, si algo es de dominio público, hay que esperar que un ciberdelincuente también lo sepa y que pronto llamará a la puerta.”, cierra Martina Lopez de ESET.

Para saber más sobre seguridad informática visite el portal corporativo de ESET: https://www.welivesecurity.com/es/seguridad-corporativa/oversharing-que-esta-en-juego-si-empleados-comparten-demasiado/

Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw