¿De dónde obtienen los ciberdelincuentes nuestros datos?

Cada día compartimos información personal casi sin darnos cuenta: al comprar online, al registrarnos en una app, al publicar una foto o incluso al aceptar las cookies de una web. Recuerda que tu nombre, correo electrónico, teléfono, dirección o datos bancarios forman parte de tu identidad digital.

Es probable que al facilitar alguno de estos datos te hayas preguntado: si nosotros no entregamos nuestros datos directamente a los ciberdelincuentes, ¿cómo los consiguen?

La respuesta es más amplia de lo que parece. Los ciberdelincuentes combinan tecnología, engaño y análisis de la información pública para recopilar nuestros datos. Entender cómo lo hacen es el primer paso para protegernos. Sigue leyendo y te contamos cuáles son todas sus armas.

Brechas de seguridad en empresas y servicios online

Una de las principales fuentes de datos robados son las filtraciones de información.

Cuando una empresa o entidad sufre un ciberataque o tiene una mala configuración de seguridad, sus bases de datos pueden quedar expuestas. En esos repositorios suele haber datos de los usuarios registrados como: correos electrónicos, contraseñas, direcciones postales, números de teléfono, datos de facturación, etc.

Aunque tú hayas actuado correctamente, si una plataforma donde tienes cuenta es vulnerada, tus datos pueden acabar en manos de los ciberdelincuentes.

Este tipo de incidentes son especialmente peligrosos porque permiten ataques posteriores, como intentos automatizados de acceso a otras cuentas donde hayas reutilizado la misma contraseña. Una única contraseña comprometida puede abrir múltiples puertas.

No siempre perdemos nuestros datos por un error propio, a veces es consecuencia de la seguridad de terceros, pero siempre podemos realizar acciones para reforzar nuestra seguridad. 

En este caso es fundamental el uso del doble factor de autenticación, ya que tendrían tu contraseña, pero no podrían acceder al servicio sin ese segundo factor (un código enviado por mensaje de texto o correo electrónico, un código enviado a una app de autenticación como Google o Microsoft Authenticator, etc.).
Por suerte, también existen herramientas como Have i Been Pwned que nos permiten comprobar si nuestro correo ha sido expuesto en alguna filtración de datos. Además, puedes crear una alerta que te avisa automáticamente si tu dirección de correo aparece en futuras filtraciones.

Ingeniería social: cuando el objetivo somos nosotros

No todos los ataques requieren técnicas sofisticadas. La ingeniería social consiste en manipular psicológicamente a la víctima para que facilite sus datos voluntariamente. Algunas técnicas habituales son el phishing, el smishing y el vishing en las que se reciben correos, mensajes de texto, o llamadas de los estafadores con el fin de que facilites datos, hagas un movimiento bancario o instales software malicioso. En muchos casos, el eslabón más débil es el propio usuario así que si todavía no estás familiarizado con estos términos te aconsejamos que visites nuestra Temática – Ingeniería social y fraudes online.

En estas comunicaciones suelen crear sensación de urgencia o miedo: “tu cuenta será bloqueada”, “tienes un cargo pendiente”, etcétera, ya que, bajo presión, es más fácil que actuemos sin pararnos a pensar.

Aquí el ciberdelincuente no “roba” la información, técnicamente, sino que consigue que se la demos nosotros, víctimas del engaño.

Conocer cómo funciona la ingeniería social es fundamental para saber identificar cuándo recibimos un correo, un mensaje de texto, o una llamada, cuyo principal fin es obtener nuestros datos o un beneficio económico.

Malware: el robo silencioso

Otra vía habitual es la instalación de software malicioso en nuestros dispositivos. 

Puede ocurrir al:

• Descargar programas desde páginas o repositorios no oficiales.
• Abrir archivos adjuntos sospechosos.
• Instalar extensiones dudosas en el navegador.

Algunos tipos de malware están diseñados específicamente para extraer credenciales almacenadas en el navegador, cookies de sesión o datos financieros, entre otros. Funcionan de forma silenciosa, sin que el usuario perciba nada extraño.

Como siempre recordamos, el riesgo aumenta si no mantenemos el sistema operativo y las aplicaciones actualizadas, ya que las vulnerabilidades conocidas pueden ser explotadas fácilmente. Además, es importante tener el dispositivo protegido con un antivirus que también esté actualizado, lo que servirá de escudo ante esta clase de software. 

Otra de las cuestiones que siempre recomendamos para no ser víctimas de las infecciones por malware es nunca descargar programas o aplicaciones a través de mensajes de texto o correos de dudosa procedencia, así como de enlaces enviados por redes sociales.

Nuestra propia huella digital.

No todos nuestros datos proceden de ataques técnicos o ingeniería social. Gran parte de la información que utilizan los ciberdelincuentes está disponible públicamente. Por ejemplo: tu fecha de nacimiento visible en redes sociales, fotografías donde se ve tu dirección o la matrícula del coche, o comentarios que revelan rutinas, viajes o relaciones personales...

Con estos datos pueden construir perfiles detallados y lanzar ataques personalizados mucho más creíbles. A veces, no buscan tu número de tarjeta, buscan suficiente contexto para engañarte mejor.

Sé consciente de tu huella digital practicando egosurfing, y solicita el borrado de datos cuando no estés conforme con lo que hay publicado sobre ti en internet.

Compra y venta de datos en el mercado negro

Una vez obtenida la información por los ciberdelincuentes, esta no siempre se usa directamente. Con frecuencia se vende en el mercado negro y se comercia con: bases de datos completas filtradas, accesos a cuentas verificadas, documentos de identidad escaneados, etc.

Para que tu información no acabe siendo el lucro de nadie, cambia tus contraseñas periódicamente, no facilites los códigos de verificación que llegan a tus dispositivos ni compartas documentación sensible.

Como hemos visto, los ciberdelincuentes obtienen nuestros datos a través de múltiples vías: brechas de seguridad, engaños directos, malware o análisis de la información pública que compartimos. 

La buena noticia es, que entendiendo cómo operan, podemos anticiparnos.

Recuerda que siempre puedes contactar con la Línea de Ayuda en Ciberseguridad de INCIBE, donde recibirás orientación especializada y confidencial sobre esta o cualquier otra cuestión en materia de ciberseguridad. Llama al 017 o escribe por WhatsApp (900 116 117) o Telegram (@INCIBE017).