Una de las amenazas informáticas que evolucionó de maneras sofisticadas en los últimos años es el Spam. La razón es que une el hecho de poder ser utilizado como base para diferente tipo de ataques, con la complejidad de la explotación de los recursos técnicos y la ingeniería social. Hace cinco años pensábamos que se podría erradicar con herramientas y concientización, pero la realidad demostró lo contrario.
A comienzos del año 2004 Bill Gates habló en World Economic Forum en Davos, Suiza, y una de los temas que desarrolló fue que el Spam podría ser controlado en unos años. El escenario de soluciones que planteaba Gates no era absolutamente original, sino que era compartido en distintos aspectos por muchos integrantes de la industria de la Seguridad Informática.
Pasaron cinco años y el correo basura se convirtió en un problema aún mayor, ya que los spammers pasaron de técnicas tradicionales a otras mucho más sofisticadas, lo dificulta el desarrollo de una estrategia eficiente para su solución.
“Los rumores de la erradicación de los correos basura han sido exageradamente optimistas – la amenaza sigue viva a pesar del incremento de acciones legales contra los spammers, la clausura de compañías de Internet que ayudaban a los cibercriminales y de la mejora constante de los software antispam”, explicó Graham Cluley, consultor de tecnología de Sophos. “Aunque las últimas estadísticas demuestran que la proporción de spam lanzado por país, ha disminuido año tras año, los spammers se han vuelto más creativos para conseguir el mayor número posible de víctimas confiadas”.
“Aunque el correo basura se ha reducido desde la afirmación de Gates hace cinco años, cayendo casi a la mitad del emitido a finales de 2004, un 21,3% en 2007, hasta un 19.8% a finales de 2008, sólo demuestra que su desaparición no será tan rápida como se habría pensado”, concluye Cluley.
¿Cuáles son los factores que hacen a la prevalencia del Spam?
- Es la base de otro tipo de ataques: en un escenario de delito informático cada vez más profesionalizado y orientado a los ilícitos que proporcionan rédito económico, hay muchos recursos especializados dedicados a la evolución continua del Spam.
- Se rige por la ley de los grandes números: el hecho de que la emisión de Spam haya disminuido, no implica que también lo haga su efectividad como formato de ataque. Los estudios de las empresas referenciales demuestran que en realidad la efectividad aumentó, debido al perfeccionamiento y la especialización de los mensajes, lo que en la ecuación de la ley de grandes números compensa la disminución de cantidad inicial de mensajes enviados.
- Tiene una fuerte componente de ingeniería social: las personas no pueden programarse como un filtro de Spam y suelen ser confiadas y equivocarse.
La Ingeniería Social es la técnica más usada para propagar malware
Un informe desarrollado por la empresa ESET reporta que durante los últimos meses del 2008 aparecieron nuevas metodologías de infección a través de envío masivo de correos electrónicos, entre las que se destacan supuestas noticias acerca del presidente electo estadounidense Barak Obama y de otros personajes de interés público que tenían como objetivo que los personas accedieran a enlaces que descargan códigos maliciosos.
La Ingeniería Social es una de las técnicas más utilizadas en el envío masivo de spam, donde los autores aprovechan acontecimientos de gran relevancia y diferentes noticias de grandes personalidades para propagar sus códigos maliciosos.
Una vez que la víctima sucumbe ante la curiosidad despertada por el título del mensaje, actúa la fuente de infección, que son archivos adjuntos que incluyen un gusano junto con accesos directos a sitios web que propagan malware.
A fines del año pasado, ESET detectó otro ejemplo de este accionar en una serie de mensajes de correo electrónico no deseados cuyo mensaje apuntaba a atraer la atención del destinatario a raíz de una supuesta transacción monetaria, solicitándole que abriera el archivo adjunto para más información. Al hacerlo, además de ejecutar un gusano, aparecía un acceso directo con las instrucciones para la descarga de malware orientado a recolectar información del equipo infectado.
Spam como base de ataques
McAfee considera que uno de los riesgos informáticos más importantes para este año es el Spam, debido a que se ha transformado en una acción propicia para el inicio de diferentes tipos de ataque que tienen una fuerte componente de Ingeniería social. Con esto los usuarios pasan a formar parte de las acciones o son las víctimas. La empresa considera este riesgo tan importante que realizó un informe sobre las tendencias del Spam durante el pasado año y realizó predicciones para el 2009.
Tendencias 2008:
- En 2008, los creadores de Spam aprovecharon la carrera hacia la presidencia de EE.UU y el crecimiento de las tasas de desempleo para generar ataques camuflados con nombres como “videos obama” o enlaces a títulos y diplomas de bajo costo.
- El Spam anunciando tarjetas de crédito y cheques o transacciones con créditos falsos aumentó recientemente, particularmente en las fechas cercanas a las vacaciones.
- La quiebra de la empresa McColo causó una disminución del 65% del Spam global. Los niveles de Spam aún no han vuelto a su estado normal.
Predicciones 2009:
- En 2009, los spammers aumentarán los ataques a aquellos blogs que no requieren compra de nombres de dominios.
- Los chantajes corporativos aumentarán en 2009. Se popularizará la venta de información personal y de la compañía en el mercado negro.
- Se elaborarán engaños caseros que constituirán nuevos cebos para el desempleo.
- Se crearán compañías de hosting en determinados países, que sustituirán a la antigua McColo.
“Los creadores de Spam se han vuelto más inteligentes, más rápidos y más profesionales en sus ataques. Ahora más que nunca, están aprovechando temas de actualidad para confeccionar sus mensajes” afirma Jeff Green, Vicepresidente Senior de los Laboratorios McAfee Avert Labs. “Con más gente desempleada y con el aumento de autónomos, hay que tener cuidado con las ofertas de diplomas de bajo costo y de confección casera, y desconfiar de solicitudes de información financiera de lo que parece tu banco, escuela o fondos de inversión”.
« volver al índice |
