Una buena oferta de empleo puede ser el inicio de un ciberataque. Según Claudio Álvarez, profesor asociado de la Facultad de Ingeniería y Ciencias Aplicadas de la Universidad de los Andes (UANDES) de Chile, citado por El Reportero de Iquique, el phishing laboral usa ofertas y procesos de selección falsos para obtener información confidencial o lograr que los postulantes ejecuten programas maliciosos.
El caso Binance. El medio menciona un caso relacionado con Binance en el que un ingeniero descargó código durante una supuesta entrevista y terminó comprometiendo su computador. Según Álvarez, un supuesto CEO intervino en la segunda entrevista y pidió descargar el código que infectó el equipo. Para el medio, el caso demuestra que saber de tecnología no elimina el riesgo.
“Una oportunidad laboral atractiva despierta interés, genera expectativas y puede llevar a las personas a bajar la guardia”, explica Álvarez.
Escenarios muy creíbles. Los atacantes, dice Álvarez, usan plataformas legítimas de reclutamiento, entrevistas simuladas y pruebas técnicas que parecen parte normal de una contratación. Entre desarrolladores, descargar y ejecutar código como evaluación es bastante habitual, y esa costumbre se aprovecha para colar malware sin levantar sospechas. Además, pueden montar procesos completos, con distintos interlocutores y etapas.
Por qué importa
Más allá del error individual. Álvarez advierte que el problema no debe reducirse al fallo de una persona: “una organización debe contar con controles de seguridad capaces de contener un incidente incluso cuando un empleado es engañado”. Si la víctima usa un computador del trabajo, la falsa entrevista puede abrir la puerta a los sistemas de la empresa.
- Desconfía de ofertas demasiado atractivas, contactos inesperados, solicitudes inusuales y presión para avanzar rápido.
- Sospecha si aparecen altos ejecutivos en etapas muy tempranas.
- Si instalaste software sospechoso, corta el contacto y desconecta el computador de Internet.
- Desde otro dispositivo confiable, cambia las contraseñas comprometidas y activa la autenticación multifactor.
- Si era un equipo laboral, avisa de inmediato a seguridad informática, guarda evidencias y denuncia (en Chile, ante la PDI, Carabineros o el Ministerio Público).
La ley chilena. Álvarez recuerda que la Ley Marco de Ciberseguridad (21.663) fija obligaciones de reporte para ciertas instituciones que prestan servicios esenciales y operadores de importancia vital, pero no se aplican de forma general a las víctimas particulares de phishing.
Fuentes: El Reportero de Iquique, El Vacanudo
Deja una respuesta