Cómo protegerse de los ciberataques en el trabajo remoto

Un correo electrónico procedente de la empresa pidiendo registrarse en una nueva lista de distribución puede parecer, a primera vista, algo completamente inofensivo. Sin embargo, en realidad los remitentes son ciberdelincuentes y están tratando de hackear la red de la empresa.

Estos ataques se denominan "phishing". La palabra es una combinación de "password" y "fishing", que significa pesca de contraseñas. "Se trata, por ejemplo, de intentos de atraer a los usuarios a sitios fraudulentos con mensajes, correos o SMS falsos", explica Andy Voss, de la revista especializada alemana "Computer Bild". 

Los ataques de "phishing", explica, no siempre son inmediatamente reconocibles, incluso para usuarios experimentados o incluso profesionales, y se dirigen cada vez más a aquellos empleados que trabajan desde casa.

"Los empleados que realizan trabajo remoto están en el punto de mira porque son presas fáciles. Mientras que el administrador de la empresa sigue teniendo cierto control sobre los ordenadores, a menudo no es así en la oficina doméstica", afirma Ronald Eikenberg, de la revista especializada alemana "c't". Una empresa es especialmente vulnerable si los empleados utilizan para el trabajo remoto su propio ordenador de uso personal.

"Si un empleado se contagia de un troyano en su casa, puede devastar la red de la empresa a través de la conexión VPN. En el peor de los casos, un clic equivocado puede paralizar toda la empresa", advierte Eikenberg.

Por ello, la asociación alemana de la industria informática Bitkom aconseja no hacer uso de ordenadores privados para el trabajo remoto. "Es mejor utilizar solo dispositivos de la empresa en los que, por ejemplo, los derechos de acceso estén restringidos y solo los administradores puedan instalar software", explica Simran Mann, experto en seguridad informática de Bitkom, y añade que esto también garantiza que se instalen regularmente las actualizaciones de seguridad necesarias.

Eikenberg explica que no se puede reconocer de inmediato si el ordenador que se utiliza para trabajar está infectado, ya que uno de los objetivos de los atacantes es pasar desapercibido el mayor tiempo posible. "Pero los indicios de ello son, por ejemplo, las redirecciones a partir de sitios web, la aparición de programas que uno no ha instalado o un aumento repentino de la carga del sistema". Una señal de intromisión pirata es que el escáner de virus se activa una y otra vez. 

A pesar de todas las posibilidades técnicas, es siempre el usuario el que está en el centro de un ciberataque. "El phishing es una forma de ingeniería social, es decir, un ataque a la vulnerabilidad humana. Las medidas técnicas de protección son útiles, pero no pueden evitar estos ataques", afirma Eikenberg. 

No obstante, prosigue, siempre es recomendable trabajar solo con software actualizado y únicamente con un programa de protección antivirus activo. Según Eikenberg, el Defender integrado en Windows 10 y 11 es suficiente en muchos casos, y la principal puerta de entrada de los ciberdelincuentes sigue siendo el correo electrónico. 

"Pero ha habido y sigue habiendo ataques en los que los empleados reciben memorias USB preparadas que instalan automáticamente el malware cuando se conectan al portátil de la empresa", advierte Mann, acotando que esto implica, por supuesto, mayores esfuerzos.

El experto explica que, mientras que los ataques por correo solían ser relativamente fáciles de reconocer, por ejemplo cuando estaban mal redactados, esto es ahora mucho más difícil. "Algunos de estos correos son muy profesionales, e incluso contienen las firmas de correo electrónico de los supuestos remitentes", advierte Simran Mann.

Los delincuentes también intentan acceder a los ordenadores por teléfono. Esto se denomina "vishing", un neologismo formado por "voz" y "pesca".

Un clásico: los estafadores se hacen pasar por personal de soporte de Microsoft por teléfono y así consiguen que la gente instale un software de mantenimiento remoto. A través de este, obtienen el control total del ordenador y el acceso a todos los datos.

Andy Voss aconseja colgar directamente cuando se reciben este tipo de llamadas. Ni Microsoft ni otras empresas de renombre llaman a sus clientes sin una solicitud por parte de estos y tampoco envían correos electrónicos pidiendo datos personales. La mejor protección contra los ciberataques y la ingeniería social es el sentido común y el escepticismo.

"Informándose activamente sobre los trucos de los atacantes hace, por supuesto, que sea más fácil reconocerlos", señala Voss, y advierte que en ningún caso se deben abrir los archivos adjuntos en los correos de remitentes desconocidos simplemente por curiosidad. 

El hecho de que en el trabajo remoto la comunicación es casi exclusivamente digital facilita la labor de los ciberdelincuentes. "No hay intercambio cara a cara. Esto hace que sea mucho más probable que se caiga en la trampa de un correo electrónico falso que supuestamente viene del jefe o del administrador", explica Eikenberg. Si no se está seguro, aconseja, es mejor cerciorarse por teléfono que abrir archivos adjuntos dudosos o llevar a cabo instrucciones nebulosas.

Sin embargo, la responsabilidad no solo recae en los empleados. Según la alemana Bitkom, las empresas también podrían hacer mucho más para hacer más seguras sus redes. "La ciberseguridad es responsabilidad de la dirección", afirma Simran Mann. "Las empresas deben darse cuenta de que la protección de las TI como infraestructura central también cuesta dinero”.

En un informe sobre seguridad informática, la Oficina Federal de Seguridad de la Información de Alemania (BSI) recomienda que las empresas dediquen el 20 por ciento de sus gastos de TI a la ciberseguridad y a la seguridad informática. Sin embargo, destacan los expertos, solo el 16 por ciento de las empresas alemanas ha reaccionado a la crisis provocada por la pandemia aumentando el presupuesto destinado a la seguridad informática.

dpa