No, los hacker no piratearon tu cuenta. Se trata de un nuevo timo que se está difundiendo últimamente por email e intenta hacer creer a la victima que tienen acceso completo a su cuenta Si has recibido un email de este tipo, puedes estar tranquilo. Tu cuenta no ha sido pirateada, se trata de una estafa que intenta que pagues una cantidad de dinero. Puedes borrar el email.
Un equipo de investigadores de seguridad ha detectado una nueva estafa de sextorsión en la que los atacantes simulan haber hackeado el correo electrónico de la víctima para conseguir cobrar un rescate.
Por si no tienes muy claro qué es sextorsión, se trata de una forma de chantaje en la que el atacante tiene en su poder fotografías o videos privados de índole sexual de la víctima, y amenaza con hacer público el contenido en caso de no recibir un pago económico.
Para hacerse con este material privado, los ciberdelincuentes suelen recurrir a la instalación de malware en el ordenador o teléfono móvil de la víctima, mediante técnicas de phishing, ingeniería social u otro tipo de estrategia.
No obstante, en ocasiones los criminales engañan a los usuarios haciéndoles pensar que tienen en su poder contenidos privados, pero en realidad es un farol para conseguir que la víctima haga el pago del rescate. Este tipo de estafas se han convertido en algo muy rentable, y en algunos casos permiten que los hackers ganen 50.000 dólares a la semana.
Este es el caso de la nueva campaña que ha sido detectada, en la que los atacantes simulan haber hackeado la cuenta de correo del destinatario. El investigador de seguridad Daniël Verlaan ha sido el primero en detectar esta nueva variante de estafa de sextorsión.
Para ello, lo que hacen los ciberdelincuentes es enviar a la víctima un email supuestamente remitido por su propia dirección de correo electrónico. El texto le dice al usuario que su cuenta ha sido hackeada gracias a un virus, y que por eso le está enviado el mensaje desde su propia dirección.
Además, advierte que ha estado grabando vídeo a través de la webcam mientras visitaba sitios web pornográficos, y que conoce otros secretos que compartirá con sus amigos y compañeros si no efectúa un pago en bitcoins equivalente a unos 2.000 euros.
Por este motivo, ten precaución y no te asustes si recibes un correo electrónico remitido por tu propia cuenta, ya que puede tratarse de esta estafa. Los expertos de seguridad recomiendan que nunca efectúes el pago del chantaje.
Suplantación de cuentas de correo mediante spoofing
La clave de la campaña se encuentra en la dirección desde la cual está siendo enviado el correo. Mediante una técnica conocida como spoofing, el atacante hace creer a la víctima que el correo ha sido enviado desde su propia cuenta de correo, buscando que este realmente crea que la misma ha sido comprometida y se encuentra en poder del atacante.
La técnica de suplantación es utilizada en el protocolo de correo SMTP, dado que éste no incluye un mecanismo de autenticación. Por lo tanto, si no se toman las medidas de precaución adecuadas a la hora de configurar los servicios de correo electrónico, cualquiera puede enviar correos falsificados, que a simple vista parecieran provenir de una dirección o un dominio legítimo, pero que en realidad no corresponden con el emisor.
Para analizar esta problemática se revisan los registros SPF (Sender Policy Framework), ya que sirven para identificar uno o varios servidores autorizados para el envío de correos de un determinado dominio; dado que el objetivo de este registro es identificar correos electrónicos que han sido enviados desde servidores de correo no autorizados.
En el caso de estos correos fraudulentos recibidos por los usuarios, el análisis de la cabecera de los mensajes recibidos muestra que el correo fue enviado desde un servidor no autorizado para enviar correos del dominio de la víctima. Es decir, que se trata de un claro caso de suplantación.
Si bien hoy en día la mayoría de los servicios de correo utilizan los registros SPF para identificar correos fraudulentos, de spam o para marcarlos como peligrosos o no deseados, lo cierto es que una buena práctica consiste en verificar las cabeceras de los correos para corroborar que la dirección del remitente es legítima.
Campañas de extorsión utilizando Ingeniería Social
Después de revisar el modo de operación de la campaña de extorsión, corroboramos que se trata de una campaña de Ingeniería Social mediante la cual se busca engañar a los usuarios para que realicen un pago. Desde el Laboratorio de Investigación de ESET, recomendamos no responder los correos de este estilo y entender que se trata de un engaño; por supuesto, tampoco se debe pagar a los atacantes.
Además, es conveniente hacer caso omiso de este tipo de mensajes y aplicar las buenas prácticas en el uso del correo electrónico junto a otras recomendaciones, como cambiar las contraseñas de manera regular, utilizar soluciones de seguridad en los equipos, así como habilitar las opciones de doble autenticación disponibles en los diferentes servicios de Internet.
Tomado de https://www.welivesecurity.com