{"id":27070,"date":"2024-03-06T18:53:31","date_gmt":"2024-03-07T00:53:31","guid":{"rendered":"https:\/\/latam.kaspersky.com\/blog\/?p=27070"},"modified":"2024-03-06T18:53:31","modified_gmt":"2024-03-07T00:53:31","slug":"cyberattacks-on-your-marketing","status":"publish","type":"post","link":"https:\/\/latam.kaspersky.com\/blog\/cyberattacks-on-your-marketing\/27070\/","title":{"rendered":"Cinco ciberataques contra los departamentos de marketing"},"content":{"rendered":"

Cuando hablamos de ataques a empresas, solemos centrar la atenci\u00f3n en cuatro aspectos: finanzas, propiedad intelectual, datos personales e infraestructura de TI. Sin embargo, no debemos olvidar que los ciberdelincuentes tambi\u00e9n pueden tener como objetivo activos de la empresa gestionados por los equipos de relaciones p\u00fablicas y marketing, lo que incluye los env\u00edos de correo electr\u00f3nico, las plataformas de publicidad, los canales de redes sociales y los sitios promocionales. A primera vista, estos objetivos pueden parecer poco atractivos para los delincuentes (\u201c\u00bfd\u00f3nde est\u00e1n los ingresos?\u201d), pero en la pr\u00e1ctica todos ellos pueden servir a los ciberdelincuentes para sus propias \u201cactividades de marketing\u201d.<\/p>\n

Publicidad maliciosa<\/h2>\n

Para gran sorpresa de muchos (incluso de los expertos en seguridad de la informaci\u00f3n), los ciberdelincuentes llevan varios a\u00f1os ya haciendo un uso activo de la publicidad de pago leg\u00edtima<\/a>. De una forma u otra, pagan por anuncios de banner y ubicaciones en las b\u00fasquedas, y emplean herramientas de promoci\u00f3n corporativas. Hay muchos ejemplos de este fen\u00f3meno, que se conoce con el nombre de publicidad maliciosa. Por lo general, los ciberdelincuentes anuncian p\u00e1ginas falsas<\/a> de aplicaciones populares, campa\u00f1as de promoci\u00f3n falsas de marcas famosas y otros m\u00e9todos fraudulentos dirigidos a una audiencia amplia. A veces, los autores de las amenazas crean su propia cuenta de publicidad y pagan por los anuncios, pero este m\u00e9todo deja demasiados rastros (por ejemplo, los datos de los pagos). Por eso encuentran m\u00e1s interesante otro m\u00e9todo: robar credenciales de inicio de sesi\u00f3n y piratear la cuenta de publicidad de una empresa reputada, para despu\u00e9s promocionar sus sitios fraudulentos a trav\u00e9s de ella. Esto ofrece una recompensa doble a los ciberdelincuentes: pueden gastar el dinero de terceros sin dejar un rastro excesivo. Y la empresa v\u00edctima, adem\u00e1s de ver c\u00f3mo se destruye su cuenta de publicidad, se enfrentar\u00e1 a un problema tras otro, que podr\u00eda acabar con el posible bloqueo de la plataforma de publicidad por distribuir contenido malicioso.<\/p>\n

Votos negativos y p\u00e9rdida de seguidores<\/h2>\n

Una variaci\u00f3n del m\u00e9todo anterior es tomar el control de las cuentas de publicidad pagada<\/a> en las redes sociales. Las caracter\u00edsticas espec\u00edficas de las plataformas de redes sociales crean problemas adicionales a la empresa objetivo.<\/p>\n

En primer lugar, el acceso a las cuentas de empresa en las redes sociales suele est\u00e1 vinculado a las cuentas personales de los empleados<\/a>. A menudo, los atacantes solo tienen que lograr acceder al ordenador personal de un anunciante o robar su contrase\u00f1a de la red social para obtener acceso no solo a los me gusta y las fotos de gatos, sino tambi\u00e9n al \u00e1mbito de acci\u00f3n que le ha autorizado la empresa para la que trabaja. Eso incluye publicar en la p\u00e1gina de la red social de la empresa, enviar correos electr\u00f3nicos a los clientes a trav\u00e9s del sistema de comunicaci\u00f3n integrado en la p\u00e1gina y publicar anuncios de pago. Revocar estas funciones de un empleado que haya sufrido un ataque de este tipo es sencillo, siempre que no sea el administrador principal de la p\u00e1gina de la empresa, en cuyo caso, restaurar el acceso requerir\u00e1 un gran esfuerzo.<\/p>\n

En segundo lugar, el formato de la mayor\u00eda de los anuncios en las redes sociales es como \u201cpublicaciones promocionadas\u201d creadas en nombre de una empresa en concreto. Si un atacante publica y promociona una oferta fraudulenta, la audiencia ver\u00e1 de inmediato qui\u00e9n la ha publicado y podr\u00e1 manifestar su desaprobaci\u00f3n directamente en los comentarios de la publicaci\u00f3n. En este caso, la empresa no solo sufrir\u00e1 un da\u00f1o econ\u00f3mico, sino tambi\u00e9n un perjuicio visible a su reputaci\u00f3n.<\/p>\n

En tercer lugar, en las redes sociales muchas empresas guardan \u201caudiencias personalizadas\u201d, es decir, un conjunto preparado de clientes interesados en distintos productos y servicios, o de usuarios que han visitado previamente el sitio web de la empresa. Aunque generalmente estas audiencias no se pueden extraer (es decir, robar) de una red social, lamentablemente es posible crear publicidad maliciosa dirigida a una audiencia espec\u00edfica y que, por lo tanto, sea m\u00e1s eficaz.<\/p>\n

Boletines no programados<\/h2>\n

Otra forma eficaz que emplean los ciberdelincuentes para obtener publicidad gratuita es secuestrando una cuenta en un proveedor de servicios de correo electr\u00f3nico<\/a>. Si la empresa atacada es lo suficientemente grande, puede llegar a tener millones de suscriptores en su lista de correo.<\/p>\n

Este acceso se puede explotar de varias formas: enviando una oferta falsa irresistible a las direcciones de correo electr\u00f3nico de la base de datos de suscriptores; sustituyendo de forma encubierta los enlaces de los correos publicitarios planificados; o simplemente descargando la base de datos de suscriptores para enviarles correos de phishing de otras formas en el futuro.<\/p>\n

De nuevo, el da\u00f1o sufrido es econ\u00f3mico, de reputaci\u00f3n y t\u00e9cnico. Por \u201ct\u00e9cnico\u201d nos referimos al bloqueo de los futuros mensajes entrantes por parte de los servidores de correo. En otras palabras, despu\u00e9s de que se hayan enviado los correo maliciosos, la empresa v\u00edctima tendr\u00e1 que resolver el problema no solo con la plataforma de correo, sino tambi\u00e9n con proveedores de correo electr\u00f3nico espec\u00edficos que la hayan bloqueado por ser una fuente de mensajes fraudulenta.<\/p>\n

Un efecto secundario muy desagradable de un ataque de este tipo es la filtraci\u00f3n de datos personales de los clientes. Se trata de un incidente en s\u00ed mismo, capaz de infligir no solo da\u00f1o a tu reputaci\u00f3n, sino que tambi\u00e9n puede conllevar una multa por parte de los reguladores de protecci\u00f3n de datos.<\/p>\n

Cincuenta sombras de un sitio web<\/h2>\n

El pirateo de un sitio web puede pasar desapercibido durante mucho tiempo, especialmente si ocurre con una empresa peque\u00f1a que hace negocio principalmente a trav\u00e9s de las redes sociales o fuera de Internet. Desde el punto de vista de los ciberdelincuentes, los objetivos al piratear un sitio web var\u00edan seg\u00fan el tipo de sitio y la naturaleza del negocio de la empresa<\/a>. Si dejamos de lado los casos en los que la vulneraci\u00f3n del sitio web forma parte de un ciberataque m\u00e1s sofisticado<\/a>, generalmente podemos distinguir las siguientes variedades.<\/p>\n

En primer lugar, los actores de amenazas pueden instalar un skimmer web<\/a> en un sitio de comercio electr\u00f3nico. Consiste en un peque\u00f1o fragmento de JavaScript oculto, que se incrusta directamente en el c\u00f3digo del sitio web para robar los datos de las tarjetas cuando los clientes pagan una compra. El cliente no tiene que descargar ni ejecutar nada, simplemente paga por lo que quiera adquirir en el sitio y los atacantes dispondr\u00e1n de los datos para robar a esa v\u00edctima.<\/p>\n

En segundo lugar, los atacantes pueden crear subsecciones ocultas en el sitio y llenarlas de contenido malicioso. Estas p\u00e1ginas se pueden utilizar para una gran variedad de actividades delictivas, como por ejemplo, regalos falsos, ventas falsas o distribuir software convertidos en troyanos. Usar un sitio web leg\u00edtimo para estos fines es ideal, siempre que los propietarios no se den cuenta de que tienen \u201cinvitados\u201d. De hecho, existe todo un sector especializado en esta pr\u00e1ctica<\/a>. Son especialmente populares los sitios desatendidos<\/a> que se crearon para alguna campa\u00f1a de marketing o evento \u00fanico y que, posteriormente, se olvidaron.<\/p>\n

El da\u00f1o a una empresa por el pirateo de un sitio web es amplio e incluye varias consecuencias: mayores costes relacionados con el sitio debido al tr\u00e1fico malicioso; la disminuci\u00f3n en el n\u00famero de visitantes reales debido a una ca\u00edda en el ranking SEO del sitio; posibles disputas con los clientes o con las fuerzas del orden sobre los cargos inesperados en las tarjetas de los clientes.<\/p>\n

Explotaci\u00f3n de formularios web<\/h2>\n

Los actores de amenazas pueden aprovecharse del sitio web de una empresa para sus propios fines incluso sin tener que piratearlo. Lo \u00fanico que necesitan es que el sitio tenga una funci\u00f3n que genere un correo electr\u00f3nico de confirmaci\u00f3n: un formulario de comentarios, un formulario de reservas, etc. Los ciberdelincuentes utilizan sistemas automatizados para explotar dichos formularios con fines de spam o phishing.<\/p>\n

La mec\u00e1nica es muy sencilla: introducen la direcci\u00f3n del objetivo en el formulario en el campo \u201cCorreo electr\u00f3nico de contacto\u201d, mientras que el texto del correo electr\u00f3nico fraudulento se incluye en el campo \u201cNombre\u201d o \u201cAsunto\u201d. Por ejemplo, pueden escribir lo siguiente: \u201cTu transferencia est\u00e1 lista para emitirse (enlace)\u201d. Como resultado, la v\u00edctima recibir\u00e1 un correo electr\u00f3nico malicioso que contendr\u00e1 un texto de este estilo: \u201cHola, XXX: tu transferencia est\u00e1 lista para emitirse (enlace). Gracias por ponerte en contacto con nosotros. En breve recibir\u00e1s noticias nuestras\u201d. L\u00f3gicamente, llegar\u00e1 un momento en que las plataformas antispam dejar\u00e1n de permitir el env\u00edo de esos correos y el formulario de la empresa v\u00edctima perder\u00e1 parte de su funcionalidad. Adem\u00e1s, todos los destinatarios que reciban un mensaje de este tipo tendr\u00e1n una mala opini\u00f3n de la empresa, a la que considerar\u00e1n spammer.<\/p>\n

C\u00f3mo proteger los activos de relaciones p\u00fablicas y de marketing frente a los ciberataques<\/h2>\n

Dado que los ataques descritos son bastante diversos, es necesaria una protecci\u00f3n en profundidad. Estos son los pasos que debes seguir:<\/p>\n