eSIM swapping: qué es y cómo puede afectarte

A diferencia de las tarjetas SIM físicas convencionales, la eSIM es un chip integrado en el dispositivo que permite al usuario activar el servicio digitalmente iniciando sesión en una aplicación o escaneando un código QR. ESET, compañía líder en detección proactiva de amenazas, advierte que teniendo en cuenta esta nueva tecnología, los atacantes mutaron sus técnicas de ataque. Una vez que logran el robo, les es más fácil obtener códigos de acceso y autnticación de dos factores para distintos servicios, incluidos la banca y la mensajería, lo que abre un abanico de oportunidades para que se implementen estafas.

Los cibercriminales logran acceder a las cuentas móviles de los usuarios usando credenciales robadas, forzadas o filtradas. El ataque inicial comienza mediante ingeniería social, phishing, y otros métodos de engaño, que irrumpen la cuenta del usuario y obtienen el código QR que les permite activar la eSIM en su propio dispositivo, secuestrando efectivamente el número de la víctima.

Según alerta un informe de la empresa rusa de ciberseguridad F.A.C.C.T., el SIM swapping fue en aumento durante 2023, aprovechando la transición a tecnología eSIM. Ese año se registraron más de un centenar de intentos de acceder a las cuentas personales de los clientes en servicios en línea en una sola institución financiera, este tipo de entidades son las apuntadas principalmente luego del clonado de eSIM.

Ser víctima del intercambio de eSIM puede tener graves consecuencias para la seguridad y privacidad de los usuarios. Algunas de las amenazas incluyen:

• Robo de identidad digital: los ciberdelincuentes pueden obtener acceso a las cuentas digitales de la víctima, incluidos los correos electrónicos, las redes sociales y la banca, comprometiendo su identidad digital y exponiendo información personal y financiera.
• Fraude financiero: con acceso a los servicios bancarios en línea de la víctima, los delincuentes pueden realizar transacciones, transfiriendo fondos ilegalmente y comprometiendo su estabilidad financiera.
• Extorsión y chantaje: los ciberdelincuentes pueden utilizar el acceso a los mensajes y contactos de la víctima para llevar a cabo Extorsión o chantaje, amenazando con revelar información confidencial o comprometedora.
• Daño reputacional: en caso de que los ciberdelincuentes utilicen el acceso a la cuenta de la víctima para difundir información falsa o dañina, puede resultar en daños a la reputación personal y profesional.

ESET comparte algunas medidas que se pueden tomar para protegerse y evitar el robo del número de teléfono:

• Nunca utilizar la verificación en dos pasos a través de SMS: de todas las formas de proteger un eSIM, la cuenta de WhatsApp o las redes sociales, la verificación por SMS no es aconsejada.Con acceso al número, el ciberdelincuente podrá piratear sus otras cuentas con facilidad al recibir el código de seguridad por mensaje de texto. Se recomienda utilizar siempre aplicaciones de token de acceso para proteger las cuentas.
• Habilitar la verificación en dos pasos en WhatsApp: abrir WhatsApp; Seleccionar “Menú” (los tres puntos) y luego en “Configuración”; Tocar “Cuenta”, “Verificación en dos pasos”; Establecer un código PIN de seis dígitos, que se pedirá cuando se inicie sesión en WhatsApp. La aplicación solicita al usuario el código de vez en cuando, para asegurarse de que alguien más no lo esté usando; También se puede configurar una dirección de correo electrónico para recuperar el PIN en caso olvidarlo. En algunos casos, WhatsApp puede pedir agregar un correo electrónico de recuperación si se olvida el código. Es extremadamente importante que este correo electrónico también esté protegido por la verificación en dos pasos que no sea a través de SMS.
• Prestar atención al phishing:el intercambio de SIM se basa especialmente en estafas de phishing, como correos electrónicos y mensajes sospechosos. Dado que se trata de una estafa vinculada a la ingeniería social, es importante tener cuidado con los contactos extraños.

¿Estás seguro de que no te espían en tu celular o computadora?

La tecnología se ha integrado tanto en nuestras vidas que a menudo pasamos por alto los riesgos asociados con su uso. Una de las amenazas más preocupantes y perturbadoras que se ha dado en los últimos años es el stalkerware, un tipo de software malicioso diseñado para espiar y acechar a individuos sin su consentimiento. ESET, compañía líder en detección proactiva de amenazas, analiza qué es el stalkerware y cuáles son sus riesgos más allá de la ciberseguridad.

Este programa de espionaje o spyware, es una forma invasiva de software que se instala en dispositivos móviles o computadoras sin el conocimiento del usuario. Su propósito principal es monitorear de manera encubierta las actividades de la víctima, desde mensajes de texto y llamadas telefónicas hasta ubicaciones GPS, correos electrónicos, historial de navegación y más. Lo alarmante es que a menudo es instalado por alguien cercano a la víctima, como un compañero íntimo, un familiar o un acosador.

“Hace unos años hablábamos del Stalkerware para Android como una amenaza cada vez más peligrosa con riesgos incluso para quienes espían. En aquel entonces, los datos de la telemetría ESET había detectado un aumento del stalkerware en estos sistemas operativos. Si bien ahora se identificó un descenso de la actividad de este tipo de software, esto no implica que su actividad esté fuera de juego”, comenta Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.

Desde ESET destacan que el uso de stalkerwares tiene implicaciones graves para la privacidad, la seguridad y el bienestar emocional de las personas afectadas. Además de violar la intimidad, puede llevar a situaciones de acoso, manipulación, chantaje e incluso violencia física. Las víctimas pueden sentirse constantemente vigiladas, experimentar estrés emocional extremo e incluso ser coaccionadas debido a la información recopilada por el stalkerware.

Si bien detectar el stalkerware puede ser difícil, ya que a menudo opera en segundo plano, ocultándose entre las aplicaciones legítimas. Algunos signos comunes de presencia de stalkerware incluyen un rápido agotamiento de la batería, un rendimiento lento del dispositivo o el uso de datos inusualmente alto.

Para prevenir el stalkerware, desde ESET comparten las siguientes medidas:

• Mantener los dispositivos actualizados con software y aplicaciones de seguridadconfiables.
• Evitar el jailbreak o el rooteo del dispositivo
• Utilizar contraseñas seguras
• Habilitar la autenticación de dos factores

“El uso del stalkerware plantea serios problemas éticos y legales. En muchos países, la instalación de stalkerware sin el consentimiento explícito de la persona monitoreada es ilegal y puede conllevar consecuencias legales para el perpetrador. Algunos gobiernos y organizaciones están tomando medidas para regular y penalizar el desarrollo, distribución y uso de este tipo de software”, agrega Micucci de ESET.

Si fuiste víctima de stalkerware, buscar apoyo es fundamental. Organizaciones dedicadas a la lucha contra la violencia doméstica y el acoso, así como los servicios de asesoramiento y líneas directas de ayuda, pueden proporcionar orientación, recursos y asistencia para abordar esta situación tan delicada. Desde ESET aseguran que la concientización sobre el stalkerware y la promoción de la importancia del consentimiento digital son pasos fundamentales para combatir este problema.

Errores que se siguen cometiendo al crear una contraseña

Crear contraseñas simples, reutilizarlas, o incluso compartirlas con terceros, son algunos de los errores más comunes que se deben evitar al administrar los accesos a tus cuentas. ESET, compañía líder en detección proactiva de amenazas, comparte 5 puntos clave a tener en cuenta a la hora de crear claves.

“Escribir una contraseña para acceder a una de las decenas de servicios que utilizamos se ha convertido en una parte tan cotidiana de nuestras vidas que rara vez pensamos en ello. Procuramos que nuestras contraseñas sean simples y fáciles de recordar para poder pasar rápidamente por el proceso de iniciar sesión y seguir con lo que estamos haciendo. Este es uno de los muchos errores que cometemos cuando se trata de algo en lo que confiamos para asegurar una parte de nuestra identidad digital”, comenta Fabiana Ramírez, investigadora de Seguridad Informática de ESET Latinoamérica.

5 errores más comunes en los que se puedes caer cuando se crea una contraseña:

1. Reutilizar las contraseñas:Uno de los errores más frecuentes es, sin lugar a duda, la reutilización de contraseñas.Según una encuesta realizada en 2019 por Google, el 52% reutiliza la misma contraseña en varias de sus cuentas, mientras que un sorprendente 13% usa la misma contraseña para todas sus cuentas.

El problema más grave con la reutilización de contraseñas es que los usuarios quedan expuestos a lo que se conoce como credential stuffing. Esto es una forma de robo de credenciales, a través de la que se busca tomar el control de las cuentas de los usuarios y utiliza bots que intentan iniciar sesión utilizando credenciales de acceso que fueron filtradas en brechas de datos antiguas que sufrieron otros sitios; hasta que logran dar con la combinación correcta de un nuevo sitio en el cual se utilizaron las mismas credenciales de acceso que se filtraron. Por lo tanto, diversificar las contraseñas es la mejor opción.

2. Crear contraseñas simples:Las contraseñas simples suelen ser las más utilizadas. Anualmente se publica una lista de las contraseñasmás utilizadas con “12345” y “password” frecuentemente entre las primeras del ranking. Además de patrones simples y palabras obvias, un error frecuente que se puede estar cometiendo al crear contraseñas es utilizar datos personales como parte de estas, lo que las convierte en fáciles de adivinar o de encontrar. De acuerdo a la encuesta de Google, seis de cada diez adultos en los Estados Unidos han incorporado un nombre (el de ellos, el de su cónyuge, el de sus hijos o su mascota) o una fecha de cumpleaños a sus contraseñas.

Lo ideal es utilizar como contraseña una frase. Además, el doble factor de autenticación (2FA, por sus siglas en inglés) también debe activarse cuando sea posible, ya que agrega una capa de seguridad adicional contra varios tipos de ataques que intentan revelar credenciales de inicio de sesión.

3. Almacenar las contraseñas en texto plano:Otro error frecuente es escribir las contraseñas en papel o notas adhesivas, o guardadas en hojas de cálculo o documentos de texto en la computadora o teléfono.

En el primero de los casos, si se optara por esta forma, las anotaciones deberían ser más bien pistas que ayuden a recordarlas, y deberían almacenarse en un lugar protegido de los ojos curiosos. En el segundo caso, si se almacenan las claves en algún dispositivo, se queda expuesto si un atacante obtiene acceso al dispositivo y hurga en él. Con poco esfuerzo tendrá acceso a una gran cantidad de credenciales. Además, si el dispositivo se ve comprometido por un malware que copia los datos y los envía a un servidor remoto, un actor malicioso podrá acceder a todas las cuentas de manera inmediata.

4. Compartir contraseñas: El 43% de los participantes de una encuesta en Estados Unidos que admitió haber compartido sus contraseñas con otra persona. Más de la mitad de los encuestados dijo haber compartido su contraseña con sus seres queridos, entre ellas contraseñas para servicios de streaming, cuentas de correo electrónico, cuentas de redes sociales e incluso para acceder a cuentas para realizar compras en línea. Si bien compartir la contraseña para acceder a una cuenta de un servicio de streaming es un fenómeno generalizado, es menos peligroso que el resto de las opciones mencionadas.

Una vez que se comparte una contraseña, no se puede estar seguro de cómo la otra persona manipulará la clave y si la compartirá con otra persona. Por ejemplo, si se comparten credenciales de acceso a una plataforma de compras, la persona a la que se le confió la información podría iniciar sesión con esa identidad, y si los métodos de pago están guardados, podría usar eso datos para realizar una transacción sin su autorización.

5. Cambiar las contraseñas periódicamente (sin pensarlo demasiado):Cambiar la clave regularmente, sin evidencia de que su contraseña haya sido filtrada en una brecha, no hace que la cuenta sea más segura.

Investigadores de la Universidad de Carolina del Norte (UNC), de los Estados Unidos, descubrieron que los usuarios se inclinan hacia la creación de contraseñas que siguen patrones predecibles y consisten en hacer cambios pequeños: sustituir una letra por un símbolo similar, agregar o eliminar un carácter especial, o cambiarles el orden a uno o dos caracteres. Esto hace que sea bastante fácil para los atacantes hacer su trabajo, ya que, los cibercriminales si conocen una contraseña pueden adivinar estas transformaciones con poco esfuerzo. Hay que agregar también que una vez que los ciberdelincuentes obtienen acceso a su dispositivo, pueden instalar un keylogger para realizar un seguimiento de las contraseñas cada vez que las cambies. Contar con una solución de seguridad instalada en su dispositivo, aumentará posibilidades de que el keylogger sea detectado y desactivado.

Una contraseña que cumpla con todas las condiciones puede parecer una tarea desalentadora, pero hay varias formas de crearlas sin que se convierta en una tarea tan compleja:

• Utilizar una frase, por ejemplo, es preferible a una contraseña simple
• Agregar una capa adicional de seguridad activando el doble factor de autenticación en cada servicio que esté disponible debería ser la norma.
• Si resulta tedioso recordar todas las contraseñas, un administrador de contraseñas podría ser la respuesta