Infancia digital: cómo impactan los chatbots en el desarrollo emocional

Los chatbots de inteligencia artificial trasformaron la cotidianidad de muchas personas hace casi tres años. ChatGPT, por ejemplo, dice tener unos 700 millones de usuarios activos semanales, muchos de los cuales son "jóvenes". Un estudio británico de julio de 2025 reveló que casi dos tercios (64%) de los niños utilizan este tipo de herramientas. A una proporción similar de adultos les preocupa que sus hijos piensen que los chatbots de IA son personas reales. En este contexto, ESET, compañía líder en detección proactiva de amenazas, acerca los riesgos principales a los que prestar atención cuando se habla de infancias y chatbots.

“Están surgiendo preocupaciones legítimas en materia de seguridad, privacidad y psicología debido al uso frecuente de esta tecnología por parte de los más jóvenes. Como adultos responsables, no se puede dar por sentado que todos los proveedores de plataformas cuentan con medidas eficaces de seguridad y privacidad adecuadas para los infantes. Incluso cuando existen protecciones, su aplicación no es necesariamente coherente, y la propia tecnología evoluciona más rápido que las políticas”, advierte Martina López, investigadora de Seguridad Informática de ESET Latinoamérica. 

Niños y niñas utilizan la IA generativa (GenAI) de diversas maneras. Algunos valoran su ayuda para hacer los deberes. Otros pueden tratar al chatbot como a un compañero digital, pidiéndole consejo y confiando en sus respuestas como lo harían con un amigo íntimo. Esto, según ESET, conlleva varios riesgos evidentes.

El primero es psicológico y social. Los niños atraviesan un periodo de desarrollo emocional y cognitivo, lo que les hace vulnerables en varios sentidos. Pueden llegar a confiar en la IA como una compañía en detrimento de la formación de amistades genuinas con sus compañeros de clase, lo que exacerba el aislamiento social. Como los chatbots están preprogramados para complacer a sus usuarios, pueden producir resultados que amplifiquen las dificultades por las que puedan estar pasando los jóvenes, como trastornos alimentarios, autolesiones o pensamientos intrusivos. También existe el riesgo de que el menor pase tiempo con su inteligencia artificial, no sólo en detrimento de las amistades humanas, sino también del tiempo que debería dedicar a hacer los deberes o a estar con la familia.

También hay riesgos en torno a lo que un chatbot GenAI puede permitir que un menor acceda en internet. Aunque los principales proveedores tienen barras de contención diseñadas para limitar los enlaces a contenidos inapropiados o peligrosos, no siempre son eficaces. En algunos casos, pueden anular estas medidas de seguridad internas para compartir contenidos sexualmente explícitos o violentos, por ejemplo. Si tu hijo tiene más conocimientos de tecnología, puede incluso ser capaz de "jailbreak" el sistema a través de indicaciones específicas.

La información errónea son otro motivo de preocupación. Para los usuarios corporativos, esto puede crear importantes riesgos de reputación y responsabilidad. Pero para los niños, puede dar lugar a que crean información falsa presentada de forma convincente como un hecho, lo que los lleva a tomar decisiones imprudentes sobre cuestiones médicas o de pareja.

Por último, es importante recordar que los chatbots también suponen un riesgo potencial para la privacidad. Si un niño introduce información personal y financiera sensible en una consulta, el proveedor la almacenará. Si eso ocurre, en teoría podría acceder a ella un tercero (por ejemplo, un proveedor/socio), o ser pirateada por un ciberdelincuente. Del mismo modo que no se querría que un niño compartiera demasiado en las redes sociales, lo mejor es minimizar lo que comparte con un bot GenAI.

Dependiendo de dónde vivan y de qué chatbot estén utilizando, puede que haya poca verificación de edad o moderación de contenidos. Por lo tanto, es responsabilidad de los adultos anticiparse a cualquier amenaza mediante una supervisión y educación proactivas.

ESET comparte algunas señales de que un niño o niña puede tener una relación poco saludable con la IA:

Se retiran del tiempo extraescolar que pasan con amigos y familiares

Se ponen nerviosos cuando no pueden acceder a su chatbot e intentan ocultar los signos de uso excesivo

Hablan del chatbot como si fuera una persona real

Repiten como "hechos" información errónea obvia

Preguntan a su IA sobre enfermedades graves, como problemas de salud mental (que puedes averiguar accediendo al historial de conversaciones)

Acceden a contenidos para adultos o inapropiados ofrecidos por la IA

“En muchas jurisdicciones, los chatbots de IA están restringidos a usuarios mayores de 13 años. Sin embargo, dada la irregularidad o complejidad en su aplicación, es posible que se tenga que tomar cartas en el asunto. Las conversaciones importan más que los controles por sí solos. Para obtener los mejores resultados, consideremos la posibilidad de combinar los controles técnicos con la educación, el asesoramiento y sobre todo el acompañamiento, impartidos de forma abierta y sin confrontación”, comenta Luis Lubeck, vocero de Argentina Cibersegura.

Tanto si están en la escuela, en casa o en un club extraescolar, los menores tienen adultos que los guían en lo que tienen que hacer. Por eso, desde ESET recomiendan intentar que la comunicación sobre la IA sea un diálogo bidireccional, en el que se sientan cómodos compartiendo sus experiencias sin miedo a ser castigados. Explicarles los peligros del uso excesivo, el intercambio de datos y la dependencia excesiva de la IA para resolver problemas graves. Ayudarles a entender que los robots de IA no son personas reales sino máquinas diseñadas para ser atractivas. Enseñarles a pensar de forma crítica y chequear siempre los resultados de la IA. Además de nunca sustituir una charla con sus padres por una sesión con una máquina.

Si es necesario, se aconseja combinar esa parte educativa con una política para limitar el uso de la IA (igual que se limitaría el uso de las redes sociales o el tiempo de pantalla en general) y restringir su uso a plataformas apropiadas para su edad. Activar el control parental en las aplicaciones que utilicen para ayudarle a supervisar su uso y minimizar los riesgos. Recordarles que nunca deben compartir información personal identificable (IPI) con la IA y ajustar su configuración de privacidad para reducir el riesgo de filtraciones involuntarias.

“Los más pequeños necesitan seres humanos en el centro de su mundo emocional. La IA puede ser una herramienta útil para muchas cosas. Pero hasta que los niños desarrollen una relación sana con ella, su uso debe supervisarse cuidadosamente. Y nunca debe sustituir al contacto humano”, concluye López de ESET.

Para conocer más sobre el cuidado de los niños en Internet, puede visitar Digipadres, una iniciativa impulsada por SaferKidsOnline de ESET, que busca acompañar a madres, padres y docentes con el fin de generar conciencia acerca de riesgos y amenazas en el mundo digital. Se brindan materiales para el proceso de aprendizaje, diálogo y supervisión con el objetivo de facilitar los conocimientos necesarios para ayudar a lo más pequeños en el uso de las nuevas tecnologías. Para más información sobre los peligros que enfrentan los niños en línea, visite: https://digipadres.com/ 

Robo de credenciales: métodos más frecuentes y recomendaciones

El robo de credenciales es una amenaza que ya lleva más de una década acechando al mundo. En Latinoamérica, crece de forma sostenida al ritmo de la digitalización y del aumento del fraude online, durante el último año se reportaron más de 2.6 millones de credenciales comprometidas en la región latinoamericana, según un informe de SOCRadar en 2025. ESET, compañía líder en detección proactiva de amenazas, advierte que el acceso a una cuenta de correo permite a los atacantes llegar a servicios bancarios, plataformas corporativas, información financiera y hasta historiales médicos.

La forma en la que los cibercriminales llegan a las contraseñas de los usuarios es variada en cuanto a dificultad o conocimiento técnico necesario. ESET las divide en tres metodologías: las que abusan de técnicas de ingeniería social, las que utilizan malware y las que ocurren producto de un ataque a la organización que debiera protegerlas.

1. Técnicas de ingeniería social: Este método usa falsamente el nombre de entidades públicas o compañías reconocidas para reducir las barreras de desconfianza y aumenta la efectividad de los ataques. El más utilizado es el envío de correos electrónicos, o aplicaciones de mensajería en los que el atacante se hace pasar por una entidad legítima para engañar a la víctima y persuadirla de que entregue sus datos de acceso de forma voluntaria. 

Estos mensajes tienen como característica común que apelan a la urgencia y simulan ser una notificación de algún problema que requiere acción inmediata: inconvenientes con una cuenta, un pago rechazado, problemas con una reserva, entre miles de excusas. Suelen contener un link malicioso a sitios que imitan a los legítimos para lograr el robo de los datos sensibles de las víctimas, como contraseñas y nombres de usuario.

Otra forma que toma el phishing es a través de sitios falsos que se posicionan entre los resultados de buscadores como Google como anuncios patrocinados, debido a que el atacante paga por visibilidad para suplantar páginas reales. En estos escenarios hasta personas precavidas pueden ser engañadas a hacer clic en un resultado aparentemente legítimo que replica la identidad visual de bancos, plataformas de correo, servicios en la nube o empresas de renombre.

2. Distribución de malware específico: Otra vía frecuente para el robo de contraseñas es el uso de malware que actúan una vez que el dispositivo del usuario ya fue comprometido. En estos casos, advierte ESET, no hay un engaño puntual ni un mensaje que funcione como alerta, sino que el robo ocurre en segundo plano, muchas veces sin que la víctima lo perciba.

Los infostealers, keyloggers y spyware tienen en común la recolección de información sensible de forma continua, incluyendo contraseñas almacenadas en navegadores, datos de autocompletado, credenciales de aplicaciones y sesiones activas. El impacto de estos tipos de malware, destaca ESET, no se limita a una sola cuenta, ya que el programa malicioso sigue recolectando credenciales mientras el usuario utiliza el dispositivo infectado.

Dentro de este mismo ecosistema aparecen los troyanos bancarios, que se enfocan específicamente en credenciales de accesos a cuentas bancarias y plataformas financieras. Mediante ventanas falsas capturan datos en el momento que el usuario los ingresa. Este tipo de amenaza, que no es nueva en la región, superó las 650 mil detecciones únicas durante 2025 de las cuales 110 mil correspondieron a una misma familia: Guildma.

3. Ataque a organizaciones: Otra fuente relevante de robo de credenciales son los incidentes en los que las bases de datos de una organización quedan expuestas como consecuencia de una debilidad o falla en sus sistemas. En los escenarios más críticos, las filtraciones incluyen credenciales completas, ya sea en texto plano o con mecanismos de protección débiles, lo que permite a los atacantes reutilizarlas de forma inmediata. Sin embargo, incluso cuando las contraseñas no quedan expuestas directamente, la filtración de correos electrónicos o nombres de usuario sigue siendo valiosa. Esta información se utiliza luego como base para ataques de relleno de credenciales o fuerza bruta, aprovechando la reutilización de contraseñas entre distintos servicios.

Una vez que una base de datos es comprometida, la información puede circular durante años en foros clandestinos y reutilizarse en distintos contextos y contra múltiples plataformas. De esta forma, una brecha puntual en una organización termina amplificando el riesgo para otras empresas y para los propios usuarios, incluso mucho después de que el incidente original haya sido corregido.

“También existen amenazas que usan fuerza bruta. Estas consisten en probar de manera automatizada múltiples combinaciones de usuario y contraseña hasta lograr un acceso válido, sin necesidad de engañar al usuario ni de comprometer previamente su dispositivo. Suele apoyarse en listas de contraseñas comunes o en credenciales filtradas en incidentes anteriores, aprovechando la reutilización de claves y la falta de controles adicionales de autenticación. Cuando los servicios expuestos no cuentan con mecanismos de limitación de intentos o monitoreo adecuado, este tipo de ataques sigue siendo efectivo, especialmente contra accesos remotos, aplicaciones web y servicios corporativos publicados en Internet”, comenta Martina López, investigadora de Seguridad Informática de ESET Latinoamérica. 

El robo de credenciales puede producirse a través de distintos vectores. El equipo de ESET sostiene que la prevención no depende de que se tome una sola medida, sino de una combinación de prácticas:

Usar contraseñas únicas y robustas para cada servicio, ya que el stuffing de credenciales es una práctica común entre los ciberatacantes con credenciales que son comercializadas.

Habilitar la autenticación multifactor cuando sea posible, ya que este mecanismo se complementa con las contraseñas que utilizamos.

Desconfiar de mensajes inesperados y evitar descargar archivos o ingresar a enlaces sospechosos, ya que el malware y el phishing siguen siendo las formas más comunes de robo de credenciales.

Almacenar las contraseñas en gestores, y evitar guardarlas en texto plano o en dispositivos compartidos.

Mantener sistemas y aplicaciones actualizadas para enmendar posibles vulnerabilidades que tengan.

Revisar accesos y actividad inusual en las cuentas, ya sea manteniendo activadas las alertas de inicio de sesión o buscando dentro de las secciones de privacidad o accesos de las aplicaciones.

En caso de que la contraseña ya haya sido robada, desde ESET destacan que el tiempo de reacción marca la diferencia entre un incidente aislado o un problema mayor. Por eso, recomiendan:

Cambiar las contraseñas afectadas y todas aquellas donde se haya usado la misma credencial.

Cerrar las sesiones activas de la cuenta afectada y desautorizar accesos recientes, en servicios y aplicaciones donde exista la posibilidad.

Verificar cambios no autorizados en las cuentas, y monitorear para el futuro: Mensajes, configuraciones, pagos, entre otros.

Usar una herramienta de seguridad en los dispositivos potencialmente afectados, para eliminar códigos maliciosos si los hubiere.

“Si bien el robo de contraseñas no es una problemática nueva, sí es una que sigue creciendo y adaptándose a las nuevas tecnologías, junto a nuestra vida digital cada vez más compleja. En estas líneas, la educación digital y las buenas prácticas se vuelven necesarias para proteger nuestra identidad, información y dispositivos a nivel individual y corporativo. Mantenerse informado es vital para adelantarnos a las últimas tendencias de seguridad informática”, concluye López de ESET.

Para saber más sobre seguridad informática visite el portal corporativo de ESET: https://www.welivesecurity.com/es/contrasenas/robo-de-credenciales-metodos-mas-frecuentes/

Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw

Oversharing corporativo: el nuevo aliado de los ciberdelincuentes

La defensa de los empleados existe como concepto desde hace más de una década. Pero lo que comenzó como una forma bienintencionada de mejorar el perfil corporativo, el liderazgo intelectual y el marketing, también tiene algunas consecuencias no deseadas. Cuando los profesionales publican sobre su trabajo, su empresa y su función, esperan llegar a profesionales con ideas afines, así como a clientes potenciales y socios. Desde ESET, compañía líder en detección proactiva de amenazas, advierten que los actores maliciosos también están prestando atención y que cuanta más información haya, más oportunidades habrá para llevar a cabo actividades maliciosas que podrían acabar afectando gravemente a una organización. Una vez que esa información es de dominio público, a menudo se utiliza para ayudar a crear ataques convincentes de spearphishing o de compromiso del correo electrónico empresarial (BEC). 

“La primera etapa de un ataque típico de ingeniería social es la recopilación de información. La siguiente es utilizar esa información como arma en un ataque de spearphishing diseñado para engañar al destinatario y que instale sin saberlo malware en su dispositivo. O, potencialmente, para que comparta sus credenciales corporativas para obtener acceso inicial. Esto podría lograrse a través de un correo electrónico, un mensaje de texto o incluso una llamada telefónica. Alternativamente, podrían utilizar la información para suplantar a un ejecutivo de alto nivel o a un proveedor en un correo electrónico, una llamada telefónica o una videollamada en la que soliciten una transferencia bancaria urgente.”, revela Martina López, investigadora de Seguridad Informática de ESET Latinoamérica. 

Las principales plataformas para compartir este tipo de información son las habituales. LinkedIn es quizás la más utilizada. Se podría describir como la mayor base de datos abierta de información corporativa del mundo: un auténtico tesoro de puestos de trabajo, funciones, responsabilidades y relaciones internas. También es el lugar donde los reclutadores publican ofertas de empleo, que pueden revelar demasiados detalles técnicos que luego pueden aprovecharse en ataques de spearphishing.

GitHub es quizás más conocido en el contexto de la ciberseguridad como un lugar donde los desarrolladores distraídos publican secretos codificados, direcciones IP y datos de clientes. Pero también pueden compartir información más inocua sobre nombres de proyectos, nombres de canalizaciones CI/CD e información sobre las pilas tecnológicas y las bibliotecas de código abierto que utilizan. También pueden compartir direcciones de correo electrónico corporativas en las configuraciones de Git commit.

Luego están las plataformas sociales clásicas orientadas al usuario final, como Instagram y X. Aquí es donde los empleados suelen compartir detalles sobre sus planes de viaje a conferencias y otros eventos, lo que podría utilizarse en su contra y en contra de su organización. Incluso la información que aparece en el sitio web de su empresa podría ser útil para un posible estafador o hacker. Piense en detalles sobre plataformas técnicas, proveedores y socios, o anuncios corporativos importantes, como actividades de fusiones y adquisiciones. Todo ello podría servir de pretexto para un phishing sofisticado.

Estos ataques suelen requerir una combinación de suplantación de identidad, urgencia y relevancia. A continuación se presentan algunos ejemplos hipotéticos:

Un atacante encuentra información en LinkedIn sobre un nuevo empleado que ocupa un puesto en el departamento de TI de la empresa A, incluyendo sus funciones y responsabilidades principales. Se hace pasar por un proveedor tecnológico clave y afirma que es necesaria una actualización de seguridad urgente, haciendo referencia al nombre, los datos de contacto y el puesto del objetivo. El enlace de la actualización es malicioso.

Un agente malicioso encuentra información sobre dos compañeros de trabajo en GitHub, incluido el proyecto en el que están trabajando. Se hace pasar por uno de ellos en un correo electrónico en el que le pide al otro que revise un documento adjunto, que contiene malware.

Un estafador encuentra un video de un ejecutivo en LinkedIn o en el sitio web de una empresa. Ve en el feed de Instagram/X de esa persona que va a dar una conferencia y que estará fuera de la oficina. Sabiendo que puede ser difícil ponerse en contacto con el ejecutivo, lanza un ataque BEC deepfake utilizando video o audio para engañar a un miembro del equipo financiero y que transfiera fondos urgentes a un nuevo proveedor.

Desde ESET describen ejemplos reales de actores maliciosos que utilizan técnicas de «inteligencia de fuentes abiertas» (OSINT) en las primeras etapas de los ataques. Entre ellos se incluyen:

Un ataque BEC que le costó 3.6 millones de dólares a Children's Healthcare of Atlanta (CHOA): es probable que los actores maliciosos revisaran los comunicados de prensa sobre un campus recién anunciado para obtener más detalles, incluido el socio constructor del hospital. A continuación, habrían utilizado LinkedIn y/o el sitio web de la empresa para identificar a los principales ejecutivos y miembros del equipo financiero de la empresa constructora implicada (JE Dunn). Por último, se hicieron pasar por el director financiero en un correo electrónico enviado al equipo financiero de CHOA en el que solicitaban que actualizaran sus datos de pago para JE Dunn.

Los grupos SEABORGIUM, con sede en Rusia, y TA453, alineado con Irán, utilizan OSINT para realizar reconocimientos antes de lanzar ataques de spearphishing contra objetivos preseleccionados. Según el NCSC del Reino Unido, utilizan las redes sociales y las plataformas de networking profesional para «investigar los intereses [de sus objetivos] e identificar sus contactos sociales o profesionales en el mundo real». Una vez que han establecido la confianza y la relación a través del correo electrónico, envían un enlace para recopilar las credenciales de las víctimas.

“Si bien los riesgos de compartir en exceso son reales, las soluciones son sencillas. El arma más potente es la educación, actualizar los programas de concienciación sobre seguridad es un punto fundamental para garantizar que quienes integran una compañía comprendan la importancia de no compartir en exceso en las redes sociales. Solicitar al personal que evite compartir información a través de mensajes directos no solicitados, incluso si reconocen al usuario (ya que su cuenta podría haber sido suplantada) y asegurarse de que sean capaces de detectar los intentos de phishing, BEC y deepfake”, aconseja López de ESET Latinoamérica.

Además, dentro de las recomendaciones de seguridad de ESET Latinoamérica, se encuentra el respaldar esto con una política estricta sobre el uso de las redes sociales, definiendo límites claros sobre lo que se puede y no se puede compartir, y aplicando fronteras claras entre las cuentas personales y las profesionales/oficiales. Es posible que también sea necesario revisar y actualizar los sitios web y las cuentas corporativas para eliminar cualquier información que pueda ser utilizada como arma.

También, chequear la autenticación multifactorial (MFA) y las contraseñas seguras (almacenadas en un administrador de contraseñas) también deben ser una práctica habitual en todas las cuentas de redes sociales, por si las cuentas profesionales son comprometidas para atacar a los compañeros de trabajo.

Por último, supervisar las cuentas de acceso público, siempre que sea posible, para detectar cualquier información que pueda ser utilizada para el spearphishing y el BEC, y realizar ejercicios de equipo rojo con los empleados para poner a prueba su concienciación.

“La IA está haciendo que sea más rápido y fácil que nunca para los actores maliciosos perfilar a sus objetivos, recopilar OSINT y luego redactar correos electrónicos/mensajes convincentes en un lenguaje natural perfecto. Los deepfakes impulsados por IA aumentan aún más sus opciones. La conclusión debería ser que, si algo es de dominio público, hay que esperar que un ciberdelincuente también lo sepa y que pronto llamará a la puerta”, cierra Martina López de ESET.

LinkedIn: oportunidades profesionales y riesgos ocultos

En noviembre, el Servicio de Seguridad británico comenzó alertó a los miembros del Parlamento sobre un plan de recopilación de inteligencia extranjera: dos perfiles en LinkedIn estaban contactando a personas que trabajaban en la política británica para solicitarles “información privilegiada”. Las revelaciones del MI5 precipitó una iniciativa gubernamental de 170 millones de libras (230 millones de dólares) para abordar las amenazas de espionaje contra el Parlamento. Si bien se trata de un caso de alto perfil desde  ESET, compañía líder en detección proactiva de amenazas, aseguran que está lejos de ser el primero. El sitio también puede ser un verdadero tesoro de datos corporativos que pueden utilizarse para apoyar campañas de fraude o amenazas. 

LinkedIn acumula más de mil millones de “miembros” en todo el mundo desde su fundación en 2003. Eso representa una gran cantidad de posibles objetivos para actores de amenazas respaldados por Estados o con motivaciones financieras. En primera instancia, se trata de una fuente de información extraordinaria en la que actores maliciosos pueden descubrir las funciones y responsabilidades de personas clave dentro de una empresa objetivo y reconstruir las relaciones entre individuos y de los proyectos en los que podrían estar trabajando. Además, aporta credibilidad y cobertura ya que al tratarse de una red profesional, está frecuentada tanto por ejecutivos de alto nivel como por trabajadores de menor rango y es un contexto en el que una víctima está más propensas a abrir un mensaje directo o un InMail proveniente de alguien en la plataforma que un correo electrónico no solicitado. 

Por otro lado, elude la seguridad “tradicional” porque no existe garantía de que no mensajes de phishing, malware o spam no logren pasar, y debido a la credibilidad que inspira el sitio, los objetivos pueden tener más probabilidades de hacer clic en contenido malicioso. Por último, es fácil comenzar a operar, cualquiera puede crear un perfil y empezar a merodear por el sitio para extraer inteligencia o para el envío de mensajes de phishing y fraudes tipo BEC. Además, los atacantes pueden secuestrar cuentas existentes o crear identidades falsas antes de hacerse pasar por candidatos o reclutadores. La gran cantidad de credenciales comprometidas que circulan en foros de ciberdelincuencia (debido en parte a los infostealers) hace que esto no sea difícil.

Desde ESET destacan que existen varias maneras en que los actores de amenazas pueden operacionalizar sus campañas maliciosas a través de esta red, por ejemplo:

Phishing y spearphishing: Al utilizar la información que los usuarios comparten en sus perfiles, los atacantes pueden personalizar campañas de phishing (correos falsos) para aumentar su tasa de éxito.

Ataques directos: El contacto puede ser directamente con enlaces maliciosos diseñados para desplegar malware, como infostealers, o promover ofertas laborales falsas destinadas a robar credenciales. 

BEC: Al igual que en el caso del phishing, LinkedIn proporciona una gran cantidad de inteligencia que puede utilizarse para hacer que los ataques de Business Email Compromise luzcan más convincentes. Puede ayudar a los estafadores a identificar quién reporta a quién, en qué proyectos están trabajando y los nombres de socios o proveedores.

Deepfakes: LinkedIn también puede alojar videos de los objetivos, que pueden utilizarse para crear deepfakes y emplearlos en posteriores ataques de phishing, BEC o estafas en redes sociales.

Secuestro de cuentas: Páginas falsas de LinkedIn (phishing), infostealers, credential stuffing y otras técnicas pueden ayudar a los atacantes a tomar control de cuentas de usuarios. Estas cuentas secuestradas pueden usarse en ataques posteriores dirigidos a sus contactos.

Ataques a proveedores: LinkedIn también puede rastrearse en busca de información sobre socios de una empresa objetivo, quienes pueden ser atacados con phishing como parte de un ataque en “efecto dominó”.

“El desafío que plantean las amenazas en LinkedIn es que a los departamentos de IT les resulta difícil obtener información real sobre el alcance del riesgo al que se exponen sus empleados y las tácticas que se utilizan para atacarlos. Sin embargo, tiene sentido incluir en los cursos de concientización en seguridad escenarios de amenazas en LinkedIn como los descritos anteriormente. También debería advertirse a los empleados sobre el riesgo de compartir información en exceso en la plataforma y brindarles orientación para detectar cuentas falsas y señuelos típicos de phishing”, comenta Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.

ESET informa sobre distintos grupos de amenazas que han utilizado algunas de estas tácticas:

Lazarus Group (Corea del Norte) se ha hecho pasar por reclutadores en LinkedIn para instalar malware en los equipos de personas que trabajaban en una empresa aeroespacial, según descubrió ESET Research. De hecho, el equipo de investigacón también describió recientemente las campañas “Wagemole”, en las que individuos alineados con Corea del Norte intentan obtener empleo en empresas extranjeras.

ScatteredSpider llamó a la mesa de ayuda de MGM haciéndose pasar por un empleado cuya identidad obtuvo en LinkedIn, con el fin de acceder a la organización. El posterior ataque de ransomware provocó pérdidas por 100 millones de dólares.

Una campaña de spearphishing denominada “Ducktail” apuntó a profesionales de marketing y recursos humanos en LinkedIn, entregando malware y robando información a través de enlaces enviados por DM. El malware se alojaba en la nube.

“Para evitar el secuestro de cuentas, se debería seguir una política de actualización periódica de parches, instalar software de seguridad en todos los dispositivos (proveniente de un proveedor confiable) y activar la autenticación multifactor. Además, en ámbitos corporativos, puede valer la pena organizar capacitaciones específicas para ejecutivos, que suelen ser objetivo de ataques con mayor frecuencia. Sobre todo, asegurarse de que el equipo de trabajo sea consciente de que, incluso en una red considerada confiable como LinkedIn, no todas las personas actúan en su mejor interés”, recomienda el investigador de ESET.

Para saber más sobre seguridad informática visite el portal corporativo de ESET: https://www.welivesecurity.com/es/seguridad-corporativa/por-que-linkedin-terreno-caza-para-los-actores-maliciosos-y-como-protegerte/

Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw

Mineros invisibles: la amenaza silenciosa que se esconde en miles de sitios web

El cryptojacking es una técnica utilizada por ciberdelincuentes para realizar minería de criptomonedas sin autorización, aprovechando la capacidad de procesamiento del dispositivo de una víctima -esté activo o inactivo- mediante la ejecución de código malicioso. Las víctimas pueden no ser conscientes de que esto ocurre en segundo plano, pero sí experimentar reducción del rendimiento, sobrecalentamiento y aumento de la actividad del ventilador (con ruido perceptible). En dispositivos Android, la carga de trabajo puede incluso “hinchar” la batería y provocar daños físicos o la destrucción del equipo. ESET, compañía líder en detección proactiva de amenazas, identificó a través de su telemetría los principales sitios donde se detectan con mayor frecuencia mineros maliciosos en la región.

Esta amenaza estuvo muy presente durante 2025, en julio, por ejemplo, una campaña comprometió más de 3.500 sitios web para realizar minería ilícita. Dentro de los datos de la telemetría de ESET en Latinoamérica durante el segundo semestre de 2025 se destacan dos perfiles de dominios asociados a detecciones de scripts de minería:

Sitios de riesgo “esperable”: pueden ser páginas de piratería, descarga de archivos no oficiales y sitios de streaming. Las características comunes de estos sitios, monetizadas por los cibercriminales, son el tiempo prolongado de permanencia, la presencia de publicidades agresivas (malvertising) y la ejecución constante de scripts de terceros.

Sitios legítimos comprometidos: como escuelas, pymes, medios de noticias locales o cualquier otro sitio que en principio no supone riesgos especiales. En estos casos, el beneficio para los atacantes no está en el tiempo de permanencia del visitante, sino en el volumen de sitios comprometidos.

Los 5 tipos de sitios con más detecciones según la telemetría de ESET en la región durante 2025, son:

1 - Sitios para descargas piratas a través de torrents / repacks (descargas no oficiales): Si bien estos sitios pueden minar directamente, generalmente muestran anuncios maliciosos que contienen el script. Estos anuncios suelen ser muy agresivos, con pop-ups constantes, y también ejecutan scripts de terceros.

Ejemplos: piratebays.to (34,8%) ; thepiratebay3.to; thepiratebay2.to; switchtorrent.org o fitgirl-repacks.site

2 - Anime/manga: Son entornos de consumo prolongado. Los visitantes leen o ven capítulos por mucho tiempo, navegan en el sitio y están acostumbrados al bombardeo constante de pop-ups. Este comportamiento los convierte en un escenario ideal para el cryptojacking basado en navegador.

Ejemplos: Dominio madre: mangany---.com ; Subdominios con series/anime: ; onepiece.manga----.com ; chainsawman.manga-----.com ; spyfamily.manga---.com ; tokyorevengers.manga----.com ; onepunchman.manga-----.com ; sololeveling.manga---.com ; boruto.manga----.com ; snk.manga----.com ; tensura.manga----.com ; nagatoro.manga----.com ; tonikawa.manga----.com ; shikimori.manga----.com ; mashle.manga-----.com

3 – Educación: Entre los sitios con más detecciones también figuran muchos que parecen instituciones educativas (privadas y públicas) de Colombia, México, Brasil o Argentina, entre otros países. Según el histórico de las detecciones, algunos están siendo utilizados para el cryptojacking desde hace dos años.

“Este tipo de sitios son atractivos para los ciberatacantes por el volumen, ya que comprometer muchos sitios pequeños, de pocas visitas, y les genera rentabilidad. Una característica típica de este perfil es que se hayan visto comprometidos por el CMS (WordPress/plugins, credenciales débiles, hosting compartido) y así terminen siendo víctimas de inyección de JavaScript. Es decir, no es una intención de la institución, sino que son víctimas por falta de seguridad, sitios web desatendidos o recursos limitados”, comenta Martina López, investigadora de Seguridad Informática de ESET Latinoamérica. 

Ejemplos: colfre----.edu.co ; gimnasiosa----.edu.co ; centroeducativo----.edu.co ; liceolos-----.edu.co ; colgarcia----.com ; colmer----.com ; colsanluis----.com ; colmetropo----.com ; liceodomingo-----.com ; col-----bogota.com ; colegio----bga.com ; colsan-----.com ; quipux.gobierno-----.gob.ec ; educacao.palo---.pr.gov.br ; oev.unm---.edu.pe ; gd---.gob---.ve

4 - Pymes y comercios locales: Muchos dominios son de pequeñas empresas legítimas, de diversos rubros como servicios, autopartes, metalúrgica, logística y contabilidad, entre otros. Desde ESET señalan que es probable que el sitio haya sido comprometido por terceros y que el propietario no esté enterado de que está al servicio del cryptojacking.

Ejemplos: mar-pla---.com ; ceola---.com.mx ; rvmmo----.com.ar ; nettocontab----.com.br ; tetrac----.com.br ; metal----.ind.br ; dietrich-log----.com.co ; deauto----.com ; octopus---.com ; shield---.com.br ; tiagoramosarq----.com.br

5 - Medios / noticias locales: Las detecciones la telemetría de ESET muestran varios medios regionales y sitios de noticias, haciendo foco en México y Brasil. Este tipo de sitios suelen atraer muchas visitas, utilizan ads para monetizar y también CMS, widgets, plugins y otras herramientas de terceros. Si bien tienen más visitas, no son tan prolongadas como los de streaming y aunque usan ads, no son tan agresivas.

Ejemplos: hidalgo.quad----.com.mx ; tribunarib----.com.br ; jornalab----.com.br ; met----cmx.com ; elacarig----.com

Ante este escenario, ESET comparte distintas acciones concretas a tomar para evitar ser víctima del minado de criptomoneda:

Para usuarios: 

Mantener el sistema operativo y el navegador actualizados, ya que muchas campañas explotan vulnerabilidades conocidas.

Utilizar una solución de seguridad confiable que detecte scripts de minería en tiempo real, tanto en equipos de escritorio como en dispositivos móviles.

Desconfiar de aquellos sitios con exceso de pop ups o publicidad invasiva, especialmente en plataformas de streaming no oficiales o descargas piratas.

Cerrar pestañas que provoquen sobrecalentamiento, lentitud extrema o un uso inusual del CPU, incluso si el sitio parece legítimo.

Para pymes, instituciones educativas y medios de noticias:

Mantener actualizado el CMS, plugins y temas, y eliminar extensiones que no se utilicen.

Revisar periódicamente el código del sitio para detectar inyecciones de JavaScript sospechosas.

Implementar contraseñas robustas y autenticación de múltiples factores para accesos administrativos.

Elegir proveedores de hosting con monitoreo de seguridad y soporte ante incidentes.

Auditar scripts de terceros y redes de anuncios, ya que muchas infecciones se producen a través de servicios externos legítimos comprometidos.

Asignar revisiones periódicas de seguridad.

Limitar privilegios de usuarios y accesos al panel administrativo.

Contar con respaldos frecuentes, para poder restaurar el sitio rápidamente ante un compromiso.

“El minado de criptomoneda ya no es una amenaza marginal ni tampoco se limita a sitios ilegales: hoy afecta a organizaciones legítimas de toda Latinoamérica y se sostiene en campañas persistentes y silenciosas”, concluye López de ESET Latinoamérica.

Para saber más sobre seguridad informática visite el portal corporativo de ESET: https://www.welivesecurity.com/es/seguridad-digital/5-tipos-de-sitios-detectan-mineros-criptomonedas-en-latam/

Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw

¿Qué hacen los cibercriminales con la información que roban?

Para el cibercrimen, la información representa dinero, puerta de acceso y también una herramienta para cometer nuevos delitos. Es por lo que los datos personales y sensibles o privado, como nombre completo, datos de contacto, números de tarjetas y credenciales bancarias, datos sobre salud, credenciales de acceso a redes sociales y servicios, entre otros, se convirtieron en uno de los botines más codiciados por los actores maliciosos. ESET, compañía líder en detección proactiva de amenazas, analiza qué es lo que hacen los cibercriminales una vez que obtienen información robada.

Dentro de las acciones más comunes, identificadas por ESET, se encuentran: 

La venden en foros clandestinos: Uno de los principales réditos que los cibercriminales sacan de la información robada es lisa y llanamente dinero. Los datos personales tienen un valor importante para el ecosistema delictivo. La comercializan principalmente en foros clandestinos y en mercados de la DarkWeb, donde los datos personales, credenciales de acceso, información bancaria y financiera, claves corporativas y cualquier otra información sensible son requeridos por otros ciberdelincuentes para usarlos en otras acciones ilegales. 

Cometen otros delitos: 

Suplantación de identidad: mientras más información los cibercriminales obtengan de una persona, más herramientas tendrán para crear un perfil falso digital y así estafar a sus contactos, o cometer ciberdelitos en su nombre. 

Fraude financiero: ciertos datos personales facilitan el acceso a los recursos financieros, y así los ciberdelincuentes pueden obtener ganancias ilícitas. Desde realizar compras hasta solicitar tarjetas de crédito.

Ataques de phishing personalizados: la información robada les puede permitir a los cibercriminales crear correos de phishing mucho más creíbles y puntualizados. Datos como el correo laboral o la empresa donde la víctima trabaja pueden dar una sensación de falsa autenticidad a un correo cuyos fines son maliciosos.

Extorsionan a sus víctimas: La información representa una herramienta muy poderosa que, en manos equivocadas, puede ser utilizada como instrumento de extorsión y chantaje.  Así, los cibercriminales suelen emplearla para presionar a sus víctimas, desde una amenaza concreta de hacer públicos datos confidenciales, venderlos a los competidores o simplemente causar un daño reputacional. En la mayoría de estos casos, es obtener dinero. 

Espionaje y sabotaje: En el ámbito empresarial o gubernamental una simple contraseña robada puede ser la puerta de entrada a las redes internas, infraestructuras críticas y hasta información confidencial de clientes, proveedores y socios comerciales. 

En contraposición a los puntos anteriores, en estos casos el objetivo no es monetario, sino espiar sin ser visto, accediendo a redes, correos y comunicaciones internas, alterar procesos productivos o logísticos, y hasta borrar, modificar o corromper información clave.

En este contexto, se vuelve imprescindible tomar acciones concretas para cuidar los datos sensibles y confidenciales, sean personales y/o corporativos.  ESET Latinoamérica comparte recomendaciones para reducir sensiblemente el riesgo de que los datos se vean expuestos o caigan en manos equivocadas:

Cuidar la información: evitar compartir datos personales en línea.

Utilizar contraseñas seguras: deben ser robustas y únicas para cada cuenta.

Activar el doble factor de autenticación en cada cuenta que lo permita.

Mantener actualizados tanto los dispositivos como el software. 

Contar con una solución de seguridad robusta y confiable.

Mantenerse al tanto sobre las últimas noticias en ciberseguridad. 

Los ataques móviles que marcaron el 2025

En América Latina el panorama móvil tiene rasgos muy claros, la región concentra una gran cantidad de detecciones de malware para Android, enfocándose en México y Brasil, según el último ESET Threat Report. A diferencia de las regiones más al norte o Europa, Android es el sistema operativo más prevalente por una diferencia significativa. En línea con lo que observa ESET, compañía líder en detección proactiva de amenazas, a nivel global, el teléfono es el dispositivo principal para la mayoría de las personas, y conviven equipos recientes con modelos que ya no reciben actualizaciones. Para el equipo de investigación, esa mezcla de alta dependencia, fragmentación y versiones desactualizadas crea un entorno donde muchos códigos maliciosos encuentran espacio para proliferar.

“A esto se suma que muchos de los canales de distribución más efectivos siguen plenamente vigentes en la región. Campañas por SMS o mensajería con enlaces directos, APK modificadas que se comparten fuera de las tiendas oficiales y aplicaciones que logran entrar en tiendas formales con muy pocas reseñas o señales de actividad real siguen siendo vectores clave. Ese ecosistema facilita tanto la circulación de familias conocidas como la aparición constante de variantes nuevas o poco sofisticadas que igual consiguen alcance”, comenta Martina López, Investigadora de Seguridad informática de ESET Latinoamérica

ESET analiza las 3 familias de códigos maliciosos más detectadas en la región, para 2025:

Trojan.Android/Exploit.CVE-2012-6636: Una vulnerabilidad antigua que sigue presente en el ecosistema móvil debido a que muchas aplicaciones de Android continúan usando componentes heredados. El fallo afecta a apps que emplean WebView con una configuración insegura y que fueron compiladas con versiones previas a Android 4.2. Incluso si el dispositivo es moderno, la aplicación puede mantener ese comportamiento vulnerable. En ese contexto, una página web maliciosa cargada dentro del propio WebView puede interactuar con el código interno de la app de formas que no deberían ser posibles, abriendo la puerta a ejecución de acciones no autorizadas.

En el panorama actual de amenazas móviles, este exploit no suele ser el centro de campañas complejas, pero sí aparece integrado en APK distribuidas por fuera de las tiendas oficiales o presente en aplicaciones que ya no reciben actualizaciones. Existen exploits públicos para CVE-2012-6636, incluso módulos incorporados en frameworks como Metasploit, lo que facilita su uso por parte de actores maliciosos. Además, fue reportado como uno de los exploits más prevalentes para Android en 2023, según el ESET Security Report 2024.

Trojan.Android/Exploit.Lotoor: Es una familia de exploits de escalamiento de privilegios utilizada desde hace más de una década para obtener acceso root en dispositivos Android. Agrupa un conjunto de técnicas que abusan vulnerabilidades del sistema operativo en distintas versiones tempranas de Android, especialmente fallos descubiertos entre 2010 y 2013. Bajo ese paraguas aparecen exploits que aprovechan errores en controladores, servicios del sistema o manejos de memoria que permitían ejecutar código con privilegios superiores al de la aplicación.

Sus módulos siguen reapareciendo dentro de herramientas maliciosas que buscan activar funciones avanzadas como desinstalar apps de seguridad, modificar configuraciones internas o instalar payloads adicionales. No es la primera vez que el equipo de investigación observa a Lotoor en los primeros lugares. 

Trojan.Android/Pandora: Es un código malicioso vinculado a una variante de Mirai adaptada para el ecosistema Android. Se observó por primera vez en 2023 dentro de aplicaciones de streaming populares en la región, especialmente en dispositivos Android TV Box y sticks que suelen utilizarse para acceder a contenido no oficial. En esos casos, los atacantes distribuyen APK que funcionan como apps de streaming legítimas, pero que incluyen un componente malicioso capaz de convertir el dispositivo en parte de una botnet. En algunos modelos, incluso se detectó firmware modificado que venía infectado de fábrica, lo que amplificaba el alcance del ataque.

Una vez instalado, Pandora mantiene comunicación con un servidor de comando y control, recibe instrucciones y ejecuta las mismas capacidades típicas de una botnet basada en Mirai, con el foco puesto en lanzar ataques distribuidos de denegación de servicio. 

“Este panorama de 2025 nos muestra que las amenazas para Android siguen apoyándose en vectores bien conocidos y en la falta de actualización de dispositivos y aplicaciones, lo que mantiene vigentes exploits y familias que llevan años circulando. Aun así, esto no significa que el riesgo quede limitado a “lo de siempre”. También persisten amenazas menos masivas, pero igual de relevantes, como los troyanos bancarios o las aplicaciones de préstamos fraudulentos, que actúan de forma mucho más focalizada y buscan un impacto directo sobre la economía del usuario. Y, en paralelo, aparecen amenazas emergentes y técnicas cada vez más innovadoras, como un malware capaz de clonar tarjetas mediante NFC, que reflejan un ecosistema móvil en constante evolución y con un nivel creciente de sofisticación”, concluye López de ESET Latinoamérica.

En este contexto, se vuelve vital proteger la información y dispositivos de estas amenazas. ESET comparte algunos consejos para evitar ser víctima:

Mantener el dispositivo actualizado y no usar versiones antiguas de Android si existe la posibilidad de actualizar.

Instalar aplicaciones solo desde tiendas oficiales o fuentes verificadas.

Evitar APKs de origen desconocido, incluso si prometen funciones “premium” o contenido gratuito.

Revisar permisos, actividad del desarrollador y cantidad real de reseñas antes de instalar una app.

Usar soluciones de seguridad confiables que detecten exploits, troyanos y comportamientos anómalos.

Evitar desactivar protecciones del sistema ni permitir la instalación de apps desconocidas.

Desconfiar de mensajes, enlaces o anuncios que prometen accesos rápidos, descuentos o funciones especiales.

El clásico que nadie suelta: 123456 es la contraseña más usada en 2025.

Utilizar una credencial predecible en el mundo digital, advierte ESET, compañía líder en detección proactiva de amenazas, es como cerrar la puerta de la casa con una traba de papel, o como tener una caja fuerte de última generación, pero que al lado tenga un post-it con la clave de acceso. Este mal hábito está presente ya desde hace varios años y vuelve a confirmarse en informes recientes: 123456 es ser la contraseña más usada en 2025, lo que pone en serio riesgo la integridad de los datos e información sensible de las personas, trasciende las generaciones y no pasa de moda.

Un informe reciente de NordPass y otro de Comparitech destacan que 123456 fue la contraseña más utilizada en 2025, y el 25% de las 1.000 contraseñas principales consisten únicamente en números. Lo que deja en evidencia que las personas optan por credenciales simples y hasta obvias, en detrimento de la seguridad de su información personal y sensible.

“Una de las principales conclusiones que se desprenden de uno de los reportes es que la costumbre de usar contraseñas débiles y predecibles trasciende las generaciones. No importa el rango etario de las personas: en cada una de las categorías 123456 está en el top de las claves más elegidas para acceder a cuentas, servicios y plataformas online. Es decir, un nativo digital que la mayor parte de su vida trascurrió en el mundo online, adopta la misma práctica riesgosa y poco prudente que una persona de 70 años, con, tal vez, menos conocimientos o que usa el celular solo para hablar por teléfono o mensajear”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.

En lo que respecta a América Latina, el panorama es un poco más preocupante, ya que, a la falta de conciencia sobre la seguridad digital y el uso poco consciente de contraseñas, se le suma el auge de ciberamenazas en la región. “Usar contraseñas débiles compromete la seguridad individual, pero también contribuye a la vulnerabilidad general de la región frente a posibles ataques”, agrega Gutiérrez Amaya de ESET.

En el ámbito corporativo, el panorama también preocupa. La criticidad de utilizar contraseñas débiles y/o predecibles en un ámbito empresarial es mucha, ya que no solo se puede poner en jaque información personal y sensible de cada usuario, sino también de la propia empresa, sus clientes y proveedores. Además, según ESET, puede significar la pérdida importante de dinero como de la reputación de la organización.

Pero más allá de todas estas alarmas, las contraseñas débiles siguen siendo una constante en las organizaciones. 

“No es para generar alarmismo, pero sí para tomar conciencia: un cibercriminal, con las herramientas y conocimientos adecuados, tarda menos de un segundo en adivinar y vulnerar cualquiera de las claves que figuran en este top. Además, las tres contraseñas más utilizadas en corporaciones no solo que están compuestas simplemente por números, sino que suelen encabezar este tipo de listas año tras año. No llama la atención entonces el dato que aporta Verizon, que indica que el 70 % de las filtraciones de datos en las empresas se debe al uso de contraseñas débiles por parte de los colaboradores”, agrega el investigador de ESET.

Un ejemplo reconocido del mundo, es el Louvre de París, lugar en el que se pensaría que estaría protegida con las medidas más estrictas y potentes de seguridad. Pero, en octubre de este año, el sistema de seguridad del prestigioso museo fue vulnerado por una circunstancia tan grave como preocupante: la contraseña era Louvre. Como resultado se comprometió toda la red de seguridad y permitió el robo de joyas valuadas en más de 100 millones de dólares.

“Este caso de trascendencia internacional muestra que hasta el sistema más sofisticado de seguridad (cámaras, alarmas, puertas blindadas), puede ser vulnerado fácilmente gracias a una contraseña débil o muy obvia”, destacan desde ESET.

Para evitar contraseñas débiles o previsibles, el paso más simple es usar un Generador de Contraseñas, una solución práctica y gratuita que ayuda a crear contraseñas seguras y robustas, esenciales para proteger las cuentas y los datos personales. 

Ahora bien, si se desea crear contraseñas propias personalizadas, desde ESET comparten un par de consejos:

Longitud: las contraseñas más largas proporcionan una barrera que es más difícil de penetrar para los ataques de fuerza bruta. Lo recomendable es que tengan al menos 12 caracteres, pero mientras más larga es aún más segura.

Complejidad: debe incluir variedad de caracteres (mayúsculas, minúsculas, números y símbolos especiales). Esto aumenta exponencialmente el número de combinaciones posibles, haciendo que la contraseña sea mucho más difícil de adivinar.

Aleatoriedad: evita patrones predecibles o secuencias obvias, como palabras comunes, nombres de personas, fechas de nacimiento o cadenas como “123456”.

Diversidad: no uses la misma contraseña para varias cuentas, porque si una contraseña se ve comprometida en una cuenta, todas las demás que comparten esa contraseña son vulnerables.

IA bajo ataque: nuevas tácticas para vulnerar la seguridad digital.

La Inteligencia Artificial cambió las reglas del juego en todos los ámbitos, y la ciberseguridad no escapa a esta afirmación. Al punto que puede ser un elemento clave en la prevención y detección de ciberataques y también una herramienta para potenciar acciones maliciosas. Pero, la IA también puede ser engañada y servir como vector para vulnerar a las víctimas. ESET, compañía líder en detección proactiva de amenazas, analiza la técnica PromptFix, conocida como prompt injection, cuáles pueden ser las consecuencias para las víctimas, y de qué manera protegerse ante esta amenaza.

PromptFix es una variante específica del prompt injection, diseñada para engañar a asistentes integrados en navegadores. Mediante instrucciones ocultas, logra que la IA interactúe con sitios web maliciosos o de phishing. El término surge como evolución de la técnica ClickFix, que engaña a los usuarios para que hagan clic en verificaciones falsas y así ejecutar acciones maliciosas.

“Los actores maliciosos insertan instrucciones ocultas en contenido aparentemente legítimo para que la IA realice ciertas acciones sin que el usuario lo sepa ni tenga que intervenir. Por ejemplo, hacer clic en botones invisibles que simulan verificaciones, descargar archivos maliciosos o interactuar con enlaces fraudulentos”, comenta Martina López, investigadora de Seguridad Informática de ESET Latinoamérica.

Para que un ataque PromptFix sea efectivo, los cibercriminales ocultan instrucciones maliciosas en sitios web comprometidos o en contenido que controlan, incluso en redes sociales o plataformas públicas (comentarios en Reddit, publicaciones en Facebook). Algunas técnicas pueden ser el ocultar instrucciones en texto invisible o en comentarios HTML, incrustar texto oculto dentro de imágenes, u ocultar información en archivos digitales sin alterar su apariencia. 

El ataque funciona cuando un usuario navega por un sitio comprometido y utiliza el asistente de IA del navegador para resumir contenido o extraer puntos clave, el modelo procesa todo el texto sin distinguir entre datos e instrucciones. De esta manera interpreta comandos ocultos como si fueran solicitudes legítimas del usuario. Lo que puede llevar al agente a realizar acciones no deseadas, como interactuar con enlaces fraudulentos o iniciar descargas. 

Algunas consecuencias de un ataque PromptFix pueden inducir a la IA a descargar archivos maliciosos infectados con malware, hacer clic en botones ocultos para evadir pasos de validación, o seguir enlaces de phishing y exponer credenciales.

Dado que una característica distintiva de un ataque PromptFix es que puede realizar acciones sin la intervención y/o conocimiento de la víctima, desde ESET destacan algunos buenos a hábitos implementar para estar protegidos y prevenidos:

No autorizar acciones automáticas por defecto: si la Inteligencia Artificial quiere hacer clic, enviar archivos o completar formularios, primero debe pedirlo y obtener la confirmación del usuario.

Limitar al agente: no otorgar permiso a la IA para que navegue libre por internet, para que acceda a las contraseñas guardadas ni tampoco para usar el autocompletado.

Revisar imágenes y archivos antes de procesarlos: dado que los ciberatacantes pueden esconder instrucciones dentro de imágenes o archivos, lo ideal es que se pase por un filtro que busque texto oculto o señales extrañas

Usar listas de sitios confiables: permitir que el agente solamente interactúe con sitios conocidos y confiables. Ante un link sospechoso, debe bloquearlo y pedir autorización.

Black Friday: evita sitios falsos.

Los descuentos que se prometen en eventos especiales, como el Black Friday o Cyber Monday, generan una especie de fiebre por las ofertas y las “oportunidades únicas”. Las promociones abundan, pero ESET, compañía líder en detección proactiva de amenazas, advierte que también las estafas que se aprovechan de la urgencia que imprimen estas “ofertas por tiempo limitado” y destaca la importancia de estar alertas ya que podrían ser un fraude en el que tus datos personales y tu dinero puede ser robado en sitios falsos.

“Lo que comienza como una estrategia de venta se convierte en terreno fértil para que los ciberdelincuentes te hagan actuar presionado y con apuro. Las estafas más comunes se hacen pasar por empresas de renombre para aprovechar la confianza que generan. Desde un mail promocional hasta un mensaje de WhatsApp”, alerta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.

El equipo de investigación de ESET Latinoamérica muestra 4 fraudes de ejemplo, similares a los que año a año se disparan en fechas como Black Friday, Cyber Monday o Hot Sale, en las que los ciberdelincuentes usan campañas cada vez más convincentes para quedarse con tus datos y tu dinero:

Anuncios patrocinados en Gmail: Los correos llegan a las casillas como correos patrocinados, por lo que logran confundir al usuario que puede suponer que existe un control sobre anunciantes. Imitan marcas reconocidas con ofertas irresistibles con el objetivo de que hagas clic y entregues tus datos personales o bancarios, luego de llevarte a un sitio falso de phishing. 

A modo de ejemplo, se ha visto circular una campaña que  en la que se simuló en correos patrocinado de Gmail ofertas especiales de la tienda online StockCenter, u oportunidades especiales en la plataforma Mercado Libre. 

Desde ESET aconsejan para evitar caer en este engaño el verificar siempre la dirección del remitente, no hacer clic en enlaces sospechosos y si se tienen dudas, entrar directamente al sitio oficial.

Sitios falsos en resultados de búsquedas de Google: ESET identificó en el pasado sitios que imitan a tiendas online y empresas varias y figuraban entre los resultados de búsqueda (identificados como patrocinados), en un intento de confundir a los usuarios para que ingresen al sitio falso.

Desde noviembre 2025, Google intenta que la confusión sea menor, dejando más claro qué resultados son patrocinados separándolos en un apartado “resultados patrocinados” más visible y reconocible que en el pasado, separado del resto con un recuadro más identificable y con la posibilidad de ocultar estos resultados.

Para evitar ser víctima de esta estafa en ESET recomiendan revisar la URL antes de comprar, asegurarse de que el sitio tenga certificado SSL (candado en la barra de direcciones) y desconfiar de precios demasiado bajos.

Clones de marcas conocidas con descuentos irrisorios: Páginas que copian el diseño y catálogo de tiendas reales, ofreciendo precios absurdamente bajos para inducir a los usuarios a entregar sus datos personales y financieros haciéndoles creer que están ante una oferta única.

En algunos casos la url es fácilmente identificable como falsa, pero en otros es más difícil de detectar. Por ejemplo, una campaña que está activa actualmente utiliza una url que incluye el nombre de la marca y las palabras hotsale, (entre otras) incluidas en el dominio, lo que a simple vista en la revisión de url puede pasar desapercibido. En lugar de un dominio del tipo: marca.com, te puedes topar con que el dominio es marcahotsale.com, o marca-descuentos.com, y cualquier otra variable.

Desde ESET alertan que si una oferta parece demasiado buena para ser cierta, probablemente lo sea. Además, evitar ingresar a links que te hayan alcanzado en un correo electrónico o mensaje, verificar en el sitio oficial que la supuesta promoción sea real, y solo hacer compras a través de tiendas que hayas corroborado tengan el dominio real de la marca u empresa. 

Falsas oportunidades por WhatsApp: Mensajes de WhatsApp que se hacen pasar por Amazon, Mercado Libre u otras marcas, invitándote a participar en sorteos falsos, y logran que ingreses a formularios falsos o descargues aplicaciones u extensiones maliciosas. 

Desde ESET destacan la importancia de nunca hacer clic en enlaces que llegan por WhatsApp sin confirmar su autenticidad en la web oficial. También, chequear la procedencia de cualquier mensaje que se reciba “de la nada”, y recordar que la excusa de BlackFriday o similares siempre será aprovechada para confundir a los usuarios. Revisar la veracidad del mensaje en el sitio oficial de la marca u empresa antes de realizar cualquier acción. Por último, no descargar aplicaciones desde enlaces externos.

“Es importante prestar especial atención a promociones que parezcan demasiado buenas para ser verdad, especialmente si llegan a tu bandeja de entrada o por otros medios. Si recibes una oferta que te parece interesante siempre verificar si es real en la web oficial de la marca, ya que si buscas el sitio oficial en Google, podrían aparecerte resultados falsos que simulan ser el original. Antes de ingresar datos de tarjetas de crédito u otra información personal, revisa la seguridad del sitio: asegúrate de que tenga protocolos de seguridad -que la URL muestre el candado- y comience con HTTPS. Por último, denuncia cualquier sitio falso o mensaje fraudulento que se haga pasar por una marca conocida para reducir la propagación del engaño”, concluye Gutiérrez Amaya sobre descuentos y estafas en fechas especiales.

Gestores de contraseñas bajo ataque

Según un estudio de 2024, en promedio un usuario de internet tiene unas 168 contraseñas para sus cuentas personales, un aumento del 68% con respecto a cuatro años antes. Dados los riesgos de seguridad asociados a compartir credenciales entre cuentas y al uso de contraseñas fáciles de adivinar, la mayoría de los usuarios utilizan gestores de contraseñas que permiten almacenar y recordar contraseñas largas, seguras y únicas para cada una de las cuentas en línea. En este contexto, ESET, compañía líder en detección proactiva de amenazas, advierte que los mismos se han convertido en un objetivo popular para los ciberdelincuentes y comparte seis riesgos potenciales y algunas ideas para mitigarlos.

Con acceso a las credenciales almacenadas en un gestor de contraseñas, los actores de amenazas podrían secuestrar sus cuentas para cometer fraude de identidad, o vender accesos/contraseñas a otros. Por eso siempre están buscando nuevas formas de atacar. 

ESET comparte 6 problemas a los que prestar atención especialmente:

1. Compromiso de la contraseña maestra: Si los ciberdelincuentes consiguen hacerse de esa contraseña maestra, obtendrán un acceso total a la cuenta. Por ejemplo, pueden obtenerla mediante un ataque de “fuerza bruta” en el que utilizan herramientas automatizadas para probar diferentes contraseñas repetidamente, a través de la explotación de vulnerabilidades del software de gestión de contraseñas, o vía páginas de phishing con las que engañan a los usuarios para que entreguen su información.

2. Anuncios de phishing/estafa: Los actores de amenazas publican anuncios maliciosos en búsquedas de Google diseñados para atraer a las víctimas a sitios falsos que recopilan su dirección de correo electrónico, contraseña maestra y clave secreta. Estos anuncios parecen legítimos, y enlazan a páginas falsas con dominios que intentan falsificar a la auténtica Por ejemplo, un dominio puede ser “the1password[.]com” en lugar del original “1password.com, o “appbitwarden[.com” en lugar de “bitwarden.com”. Al hacer clic en una página de este tipo, se accede a una página de inicio de sesión de aspecto legítimo diseñada para robar todos los inicios de sesión importantes del gestor de contraseñas.

3. Malware para robar contraseñas: En el ingenio que aplican los ciberdelincuentes, algunos han desarrollado malware para robar credenciales de los gestores de contraseñas de las víctimas. Por ejemplo, el equipo de investigación de ESET descubrió recientemente un intento de este tipo por parte de una campaña patrocinada por el estado norcoreano apodada DeceptiveDevelopment, el malware InvisibleFerret que incluía un comando backdoor capaz de filtrar datos tanto de extensiones de navegador como de gestores de contraseñas a través de Telegram y FTP. Entre los gestores de contraseñas atacados se encontraban 1Password y Dashlane. En este caso, el malware estaba oculto en archivos descargados por la víctima como parte de un elaborado proceso de falsa entrevista de trabajo. Pero no hay razón por la que un código malicioso con propiedades similares no pueda propagarse de otras formas, como por correo electrónico, mensajes de texto o redes sociales.

4. La brecha de un proveedor de gestores de contraseñas: Los proveedores de gestores de contraseñas saben que son uno de los principales objetivos de las amenazas. Por eso dedican mucho tiempo y recursos a hacer que sus entornos informáticos sean lo más seguros posible. En 2022, ladrones digitales comprometieron el equipo de un ingeniero de LastPass para acceder al entorno de desarrollo de la empresa. Allí robaron código fuente y documentos técnicos que contenían credenciales, lo que les permitió acceder a las copias de seguridad de los datos de los clientes. 

Esto incluía información personal y de cuentas de clientes, que podría utilizarse para ataques de phishing posteriores. Una lista de todas las URL de los sitios web de sus almacenes. Y los nombres de usuario y contraseñas de todos los clientes. Aunque estaban cifrados, el pirata informático pudo “forzarlos”. Se cree que esto dio lugar a un robo masivo de criptomonedas por valor de 150 millones de dólares.

5. Aplicaciones falsas de gestión de contraseñas: A veces, los ciberdelincuentes se aprovechan de la popularidad de los gestores de contraseñas para intentar robar contraseñas y propagar malware a través de aplicaciones falsas. Incluso la App Store de Apple, normalmente segura, permitió el año pasado que los usuarios descargaran una de estas aplicaciones maliciosas de gestión de contraseñas. Estas amenazas suelen estar diseñadas para robar la importantísima contraseña maestra o descargar malware que roba información en el dispositivo del usuario.

6. Explotación de vulnerabilidades: Los gestores de contraseñas no son más que software, y al estar escrito (en su mayoría) por humanos inevitablemente contiene vulnerabilidades. Si un ciberdelincuente se las arregla para encontrar y explotar uno de estos errores, puede ser capaz de obtener credenciales de su almacén de contraseñas. También podrían aprovecharse de las vulnerabilidades de los complementos de los gestores de contraseñas de los navegadores web para robar credenciales e incluso códigos de autenticación de dos factores (2FA). O podrían atacar los sistemas operativos de los dispositivos para hacer lo mismo. Cuantos más dispositivos tengan descargado el gestor de contraseñas, más oportunidades tendrán de hacerlo.

Para protegerse de las amenazas mencionadas, desde ESET recomiendan tener en cuenta los siguientes puntos:

Piensa en una frase de contraseña maestra segura, larga y única. Piense en cuatro palabras memorables separadas por guiones. Así será más difícil que un atacante pueda “forzarla”.

Aumenta siempre la seguridad de tus cuentas activando el 2FA. Esto significa que aunque los piratas informáticos se hagan con tus contraseñas, no podrán acceder a tus cuentas sin el segundo factor.

Mantenga actualizados los navegadores, los gestores de contraseñas y los sistemas operativos para que tengan las versiones más seguras. Así se reducen las posibilidades de explotar vulnerabilidades.

Descarga únicamente aplicaciones de una tienda de aplicaciones legítima (Google Play, App Store) y comprueba el desarrollador y la calificación de la aplicación antes de hacerlo, por si se tratara de aplicaciones falsas o maliciosas.

Elige solo un gestor de contraseñas de un proveedor de confianza. Compara precios hasta que encuentres uno con el que te sientas cómodo.

Asegúrate de instalar software de seguridad de un proveedor de confianza en todos los dispositivos, para mitigar la amenaza de ataques diseñados para robar contraseñas directamente de tu gestor de contraseñas.

“Los gestores de contraseñas siguen siendo una parte clave de las mejores prácticas de ciberseguridad. Pero solo si toma precauciones adicionales. Los riesgos de seguridad evolucionan constantemente, así que mantente al día de las tendencias actuales en materia de amenazas para asegurarte de que tus credenciales en línea permanecen bajo llave”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.

5 acciones clave tras descubrir un ciberataque

El número de filtraciones de datos, durante 2024 e investigadas por Verizon, aumentó 20 puntos porcentuales en total de incidentes, con respecto al año anterior. ESET, compañía líder en detección proactiva de amenazas, advierte que la preparación es la clave de una respuesta a incidentes (IR) eficaz. 

Una vez que las amenazas se introducen en la red, el tiempo juega en contra y detenerlas antes de que lleguen a provocar daño es cada vez más difícil: según las últimas investigaciones, en 2024 los adversarios fueron un 22% más rápidos que en el año anterior para progresar desde el acceso inicial hasta el movimiento lateral (también conocido como «tiempo de fuga»). El tiempo medio de penetración fue de 48 minutos, aunque el ataque más rápido registrado fue casi la mitad: solo 27 minutos.

“Una filtración de datos no tiene por qué ser tan catastrófico como parece para los defensores de la red siempre y cuando los equipos sean capaces de responder con rapidez y decisión a las intrusiones. Aunque cada organización (y cada incidente) es diferente, si todos los miembros del equipo de respuesta a incidentes saben exactamente lo que tienen que hacer, y nada queda librado al azar o a inventar sobre la marcha hay más posibilidades de que la resolución sea rápida, satisfactoria y de bajo costo”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica. 

Desde ESET aclaran que ninguna organización es 100% a prueba de brechas y que si se sufre un incidente y sospecha de un acceso no autorizado, se debe trabajar metódicamente y con rapidez. Para ello, una guía de cómo actuar durante las primeras 24 a 48 horas con rapidez y minuciosidad, sin comprometer la precisión ni las pruebas:

1. Recopilar información y comprender el alcance: El primer paso es comprender exactamente qué sucedió, activar el plan de respuesta a incidentes preestablecido y notificarlo al equipo. Este grupo debe incluir a las partes interesadas de toda la empresa, incluidos las áreas de recursos humanos, de relaciones públicas y comunicación, el departamento jurídico y la dirección ejecutiva. Todos ellos tienen un importante papel que desempeñar tras el incidente.

A continuación, se calcula el radio de acción del ataque: ¿Cómo ha entrado el adversario en la red de la empresa? ¿Qué sistemas se han visto comprometidos? ¿Qué acciones maliciosas han realizado ya los atacantes?

Documentar cada paso y recopilar pruebas, tanto para evaluar el impacto del ataque, como para la etapa de investigación forense e, incluso para futuros procesos legales. Mantener la cadena de custodia garantiza la credibilidad en caso de que deban intervenir las fuerzas de seguridad o los tribunales.

2. Notificar a terceros: Una vez que se haya establecido qué sucedió, es necesario informar a las autoridades pertinentes.

Reguladores: Si se ha robado información de identificación personal (PII), hay que ponerse en contacto con las autoridades que correspondan en virtud de las leyes de protección de datos o específicas del sector. En los Estados Unidos, por ejemplo, debe actuarse de acuerdo a las normas de divulgación de ciberseguridad de la SEC o las leyes de violación a nivel estatal.

Aseguradoras: La mayoría de las pólizas de seguros estipularán que se informe a su proveedor de seguros tan pronto como se haya producido una violación.

Clientes, socios y empleados: La transparencia genera confianza y ayuda a evitar la desinformación. Es mejor que se enteren antes de que la información se difunda por redes sociales o medios de comunicación.

Fuerzas y cuerpos de seguridad: Informar de incidentes, especialmente de ransomware, puede ayudar a identificar campañas más grandes y, a veces, proporcionar herramientas de descifrado o apoyo de inteligencia.

Expertos externos: También puede ser necesario ponerse en contacto con especialistas legales e informáticos externos.

3. Aislar y contener: Mientras se mantiene el contacto con los terceros pertinentes, se debe trabajar con rapidez para evitar la propagación del ataque. Se recomienda aislar de internet los sistemas afectados sin apagar los dispositivos, para limitar el alcance del atacante sin comprometer posibles pruebas valiosas.

Todas las copias de seguridad deben estar fuera de línea y desconectadas para evitar que sean secuestradas o el ransomware pueda corromperlas. Desactivar todos los accesos remotos, restablecer las credenciales VPN y utilizar herramientas de seguridad para bloquear cualquier tráfico malicioso entrante y las conexiones de comando y control.

4. Eliminar y recuperar: Se debe realizar el análisis forense para comprender las tácticas, técnicas y procedimientos (TTP) del atacante, desde la entrada inicial hasta el movimiento lateral y (si procede) el cifrado o la extracción de datos. Y eliminar cualquier malware persistente, backdoors, cuentas fraudulentas y otros signos de peligro. Para recuperar y restaurar es clave eliminar el malware y las cuentas no autorizadas, verificar la integridad de los sistemas y datos críticos, restaurar copias de seguridad limpias (tras confirmar que no están comprometidas) y vigilar de cerca la aparición de indicios de un nuevo compromiso o de mecanismos de persistencia.

En esta fase puede aprovecharse la reconstrucción de los sistemas para reforzar los controles de privilegios, implementar una autenticación más estricta y reforzar la segmentación de la red. Para acelerar proceso puede recurrirse a ayuda de socios que ofrezcan herramientas como Ransomware Remediation de ESET.

5. Revisar y mejorar: Una vez pasado el peligro inmediato, es momento de revisar las obligaciones con los organismos reguladores, los clientes y otras partes interesadas (por ejemplo, socios y proveedores). Es necesario actualizar las comunicaciones una vez que se comprenda el alcance de la infracción, lo que podría incluir una presentación ante los organismos reguladores. Esta iniciativa debería impulsarse desde los asesores jurídicos y de relaciones públicas.

La revisión posterior al incidente puede ser un catalizador para la resiliencia. Una vez que se ha calmado el ambiente, también es buena idea averiguar qué ocurrió y qué lecciones se pueden aprender para evitar que se produzca un incidente similar en el futuro. Un punto útil sería introducir ajustes en el plan de gestión de incidentes o recomendar nuevos controles de seguridad y consejos para la formación de los empleados.

Una cultura sólida tras un incidente trata cada brecha como un ejercicio de entrenamiento para la siguiente, mejorando las defensas y la toma de decisiones en situaciones de estrés.

“No siempre es posible evitar una brecha, pero sí minimizar los daños. Si su organización no dispone de recursos para vigilar las amenazas 24 horas al día, 7 días a la semana, considere la posibilidad de contratar un servicio de detección y respuesta gestionadas (MDR) de un tercero de confianza. Pase lo que pase, ponga a prueba su plan de IR, y luego vuelva a ponerlo a prueba. Porque el éxito de la respuesta a incidentes no es solo una cuestión de IT. Requiere que una serie de partes interesadas de toda la organización y externas trabajen juntas en armonía. El tipo de memoria muscular que todos necesitan suele requerir mucha práctica para desarrollarse”, concluye Gutiérrez Amaya de ESET Latinoamérica.

El trabajo remoto abre la puerta al espionaje digital.

En julio de 2024, el proveedor de ciberseguridad KnowBe4 comenzó a observar una actividad sospechosa relacionada con un nuevo empleado que comenzó a manipular y transferir archivos potencialmente dañinos, e intentó ejecutar software no autorizado. Posteriormente, se descubrió que era un trabajador norcoreano que había engañado al equipo de recursos humanos de la empresa para conseguir un empleo a distancia. En total, consiguió superar cuatro entrevistas por videoconferencia, así como una comprobación de antecedentes y previa a la contratación. ESET, compañía líder en detección proactiva de amenazas, analiza este engaño y advierte que ninguna organización es inmune al riesgo de contratar inadvertidamente a un saboteador. 

“Las amenazas basadas en la identidad no se limitan al robo de contraseñas o la apropiación de cuentas, sino que se extienden a las personas que se incorporan a la plantilla. A medida que la IA mejora en la falsificación de la realidad, es el momento de mejorar los procesos de contratación”, advierte Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica. 

Esta amenaza ha estado presente desde, al menos, abril de 2017, según una alerta de búsqueda del FBI y rastreado como WageMole por ESET Research. Según Microsoft, el gobierno estadounidense ha descubierto más de 300 empresas -algunas de ellas incluidas en la lista Fortune 500- que han sido víctimas de este tipo de ataques, entre 2020 y 2022. La empresa tecnológica se vio obligada en junio a suspender 3.000 cuentas de Outlook y Hotmail creadas por solicitantes de empleo norcoreanos.

Por otra parte, una acusación estadounidense imputa a dos norcoreanos y tres «facilitadores» por haber obtenido más de 860.000 dólares de 10 de las más de 60 empresas en las que trabajaron. El equipo de investigación de ESET advierte que el foco se ha desplazado recientemente a Europa, incluyendo Francia, Polonia y Ucrania. Por su parte, Google ha advertido de que las empresas británicas también están en el punto de mira.

Este tipo de engaños es posible ya que los estafadores crean o roban identidades que coinciden con la ubicación de la organización objetivo y, a continuación, abren cuentas de correo electrónico, perfiles en redes sociales y cuentas falsas en plataformas de desarrolladores como GitHub para añadir legitimidad. Durante el proceso de contratación, pueden utilizar imágenes y vídeos deepfake, o software de intercambio de caras y cambio de voz, para disfrazar su identidad o crear otras sintéticas.

Según los investigadores de ESET, el grupo WageMole está vinculado a otra campaña norcoreana que rastrea como DeceptiveDevelopment. Esta se centra en engañar a desarrolladores occidentales para que soliciten trabajos inexistentes. Los estafadores piden a sus víctimas que participen en un reto de codificación o en una tarea previa a una entrevista. Pero el proyecto que descargan para participar contiene en realidad código troyanizado. WageMole roba estas identidades de desarrolladores para utilizarlas en sus falsos esquemas de trabajadores.

La clave de la estafa reside en los facilitadores extranjeros:

crear cuentas en sitios web de trabajo autónomo

crear cuentas bancarias, o prestar al trabajador norcoreano la suya propia

comprar números de móvil, o tarjetas SIM

validar la identidad fraudulenta del trabajador durante la verificación del empleo, utilizando servicios de comprobación de antecedentes

Una vez contratado el falso trabajador, estos individuos reciben el portátil corporativo y lo instalan en una granja de portátiles situada en el país de la empresa contratante. A continuación, el trabajador informático norcoreano utiliza VPN, servicios proxy, supervisión y gestión remota (RMM) y/o servidores privados virtuales (VPS) para ocultar su verdadera ubicación.

“El impacto en las organizaciones engañadas podría ser enorme. No solo están pagando involuntariamente a trabajadores de un país fuertemente sancionado, sino que estos mismos empleados a menudo obtienen acceso privilegiado a sistemas críticos. Es una invitación abierta a robar datos confidenciales o incluso a pedir un rescate a la empresa”, resalta el investigador de ESET.

En términos de detección y protección, desde ESET advierten cómo evitar que una organización se convierta en víctima:

Identificar los falsos trabajadores durante el proceso de contratación:

Comprobar el perfil digital del candidato, incluidas las redes sociales y otras cuentas en línea, en busca de similitudes con otras personas cuya identidad puedan haber robado. También pueden crear varios perfiles falsos para solicitar puestos de trabajo con nombres diferentes.

Prestar atención a las discrepancias entre las actividades en línea y la experiencia declarada: un “desarrollador senior” con repositorios de código genéricos o cuentas creadas recientemente debería hacer saltar las alarmas.

Asegurarse de que tiene un número de teléfono legítimo y único, y comprobar que su currículum no presenta incoherencias. Comprobar que las empresas mencionadas existen realmente. Ponerse en contacto directamente con las referencias (teléfono/videollamada) y prestar especial atención a los empleados de las empresas de personal.

Dado que muchos solicitantes pueden utilizar audio, vídeo e imágenes falsificados, insistir en las entrevistas en vídeo y realizarlas varias veces durante la contratación.

Durante las entrevistas, considerar una advertencia importante cualquier afirmación de que la cámara funciona mal. Pedirle al candidato que apague los filtros de fondo para tener más posibilidades de identificar los deepfakes (los indicios podrían incluir fallos visuales, expresiones faciales que parecen rígidas y poco naturales y movimientos de los labios que no se sincronizan con el audio) Hacerles preguntas basadas en la ubicación y la cultura del lugar donde “viven” o “trabajan”, por ejemplo, sobre la comida o los deportes locales.

2. Vigilar a los empleados en busca de actividades potencialmente sospechosas:

Estar atento a señales de alarma como números de teléfono chinos, descarga inmediata de software RMM en un portátil recién entregado y trabajo realizado fuera del horario normal de oficina. Si el portátil se autentica desde direcciones IP chinas o rusas, también debe investigarse.

Vigilar el comportamiento de los empleados y los patrones de acceso al sistema, como inicios de sesión inusuales, transferencias de archivos de gran tamaño o cambios en el horario de trabajo. Centrase en el contexto, no solo en las alertas: la diferencia entre un error y una actividad maliciosa puede estar en la intención.

Utilizar herramientas contra amenazas internas para detectar actividades anómalas.

3. Contener la amenaza:

Si se cree haber identificado a un trabajador norcoreano en la organización, actuar con cautela al principio para no ponerle sobre aviso.

Limitar su acceso a recursos sensibles y revisar su actividad en la red, limitando este proyecto a un pequeño grupo de personas de confianza de los departamentos de seguridad informática, recursos humanos y jurídico.

Conservar las pruebas e informe del incidente a las fuerzas de seguridad, al tiempo que busca asesoramiento jurídico para la empresa.

“Además, es buena idea actualizar los programas de formación sobre ciberseguridad. Y asegurarse de que todos los empleados, especialmente los responsables de contratación de IT y el personal de recursos humanos, comprenden algunas de las señales de alarma a las que hay que prestar atención en el futuro. Las tácticas, técnicas y procedimientos (TTP) de los actores de amenazas evolucionan constantemente, por lo que estos consejos también deberán cambiar periódicamente. Los mejores métodos para evitar que los falsos candidatos se conviertan en informadores maliciosos combinan los conocimientos humanos y los controles técnicos. Asegurarse de cubrir todas las bases”, sugiere Gutiérrez Amaya de ESET.