Interceptar los correos electrónicos de un usuario, acceder a los datos de sus contactos, robar sus contraseñas bancarias, enviarle notificaciones falsas, acceder a su sesión en el ordenador, publicar mensajes en su nombre, derivarle a páginas fraudulentas o conseguir documentación confidencial son algunas de las prácticas utilizadas por los ciberdelincuentes a través del llamado Man in the Middle (“hombre en el medio” o “intermediario” en español).
Se trata de una forma de suplantación de identidad para conseguir información y usarla con fines lucrativos.
El Man in the Middle se introduce en los sistemas en los que operan varios grupos de usuarios en red e interceptan el canal de comunicación entre emisor y receptor, pasando totalmente desapercibidos. El cibercriminal logra posicionarse entre el ordenador del usuario y el servidor y accede a toda la información que se transmite entre ambos, sin ser detectado. Este tipo de ciberataque procede de personas ajenas a la empresa y puede poner en jaque la información sensible de clientes y proveedores que realizan sus operaciones online.
Algunas pistas pueden ayudarnos a saber si estamos siendo víctimas de este fraude: las páginas a las que nos remiten tienen una apariencia distinta a las originales, los mails contienen faltas de ortografía o concordancia y el correo del remitente suele tener un dominio distinto al de la empresa a la que está suplantando.
Para evitar estos fraudes, el próximo 14 de septiembre de 2019 entra en vigor la SCA (Strong Customer Authentication), la normativa europea de Autentificación Reforzada de Clientes, en el marco de la directiva europea PaymentServicesDirective PSD2. Esta norma está diseñada para aumentar la seguridad de las comunicaciones en el e-commerce y los negocios online y establece como obligatorio el uso de tres factores:
- Algo que posee el usuario, como su smartphone.
- Algo que conoce el usuario, como una contraseña.
- Algo inherente al usuario, como su huella digital.
De manera preventiva, CESCE recomienda adoptar siempre precauciones para evitar estos “ataques”: conectarse sólo a redes WiFi seguras, instalar sistemas de cortafuegos o de doble verificación en todos nuestros dispositivos, no guardar nuestras claves en webs o navegadores, exigir certificados de verificación digital que garanticen que la comunicación entre emisor y receptor está cifrada de extremo a extremo, usar aplicaciones para encriptar nuestras contraseñas y comprobar telefónicamente con nuestro interlocutor los detalles de una operación antes de validarla online. Proteger nuestros equipos de trabajo y dispositivos es imprescindible porque este tipo de ciberdelincuencia puede comprometer no sólo la reputación de la empresa sino, sobre todo, nuestros negocios y operaciones a escala nacional e internacional.
