El fraude que se disfraza de empleo

Hay pocas cosas más humanas que la expectativa de un nuevo trabajo. Detrás de cada postulación hay un cálculo silencioso, un arriendo que se paga más tranquilo, una deuda que se salda, un proyecto personal que por fin arranca. Es justamente esa mezcla de esperanza y urgencia la que los ciberdelincuentes aprendieron a leer con precisión quirúrgica. Y la usan como el primer paso de un engaño cuidadosamente diseñado.
Una reciente investigación de la firma de seguridad ESET documentó una campaña de correos falsos que suplantan a marcas conocidas para ofrecer supuestas vacantes en Latinoamérica. Conviene mirar el fraude no como un correo aislado, sino como lo que realmente es: una operación planificada por etapas, donde nada queda librado al azar.
Primero viene la investigación. Los atacantes recopilan información pública desde las redes donde la gente exhibe su vida profesional, nombres reales de empleados, cargos, jerarquías, incluso el estilo con que una empresa redacta sus comunicaciones. Con ese material construyen un señuelo verosímil y, en varios casos, usurpan la identidad de reclutadores que existen de verdad. No es un correo genérico enviado al azar a millones de direcciones, es un engaño hecho a medida, personalizado para que bajes la guardia.
Luego viene el envío. El mensaje llega desde una dirección que imita a la de la marca o desde una casilla gratuita disfrazada con el nombre de un «reclutador». Aquí aparece una señal que casi nadie revisa: muchos de estos fraudes prosperan porque las direcciones usadas no cuentan con las protecciones que permiten confirmar que un remitente es realmente quien dice ser. Cuando esas protecciones no están activas, cualquiera puede colgarse del nombre de una empresa con relativa facilidad.
Después, la trampa. El enlace conduce a un formulario de apariencia impecable y, al final del recorrido, a una página que reproduce el inicio de sesión de tu correo. No es una simple copia, estas páginas capturan tus datos en el momento mismo en que los escribes. Y aquí hay una advertencia que conviene

Edgardo Fuentes Cáceres –Director Ingeniería en Ciberseguridad UNAB