El phishing en los cuestionarios de autoevaluación

Kaspersky descubrió recientemente una campaña de correos de suplantación de identidad que ataca a empleados a través de un correo falso del departamento de Recursos Humanos (RR.HH.) que solicita una “autoevaluación” a los colaboradores. El objetivo: robar información confidencial.

Usualmente, las grandes empresas piden evaluaciones de desempeño, al menos una vez al año, a sus empleados, y muchos de ellos buscan comunicarse con la dirección del correo electrónico que informa de estos procesos, algo que es aprovechado por los ciberdelincuentes.

En cualquier momento del año, los estafadores envían correos falsos en los que invitan a los empleados a participar en una evaluación obligatoria por parte de la empresa en la que laboran. Los mensajes son diseñados de forma convincente y aparentemente provienen del departamento de RR.HH. Estos despliegan un formulario que permite a los trabajadores interactuar con sus superiores, pero hay detalles que levantan sospechas y deben ponernos en alerta.

Por ejemplo, la dirección de correo electrónico del remitente nunca coincide con la de la empresa y se pide que el formulario se complete antes del fin de la jornada laboral. Éste incluye preguntas que, en principio, son neutras e inofensivas, sin embargo, existen otras que piden la dirección de correo empresarial, la contraseña y confirmación de ésta. Información muy sensible que se solicita con la intención de tomar desprevenida a la víctima.

“Los empleados deben tener cuidado al recibir correos electrónicos, especialmente aquellos que parecen provenir del departamento de Recursos Humanos. Para mantener los datos a salvo, es crucial verificar la autenticidad de las solicitudes de autoevaluación que no hayan sido informadas por el propio departamento de RR.HH. previamente”, explica Roman Dedenok, experto en seguridad de Kaspersky.

Para estar protegido ante ataques de phishing y brechas de datos, los expertos de Kaspersky recomiendan:

• Tener cuidado con los mensajes de remitentes desconocidos. Los ataques de phishing generalmente provienen de correos extraños. Nunca hacer clic en los enlaces recibidos en esos mensajes ni facilitar datos personales.
• Usar claves seguras y únicas para cada caso, evitando usar la misma en varias cuentas. Considerar el uso de administradores de contraseñas que gestionan y generan credenciales complejas y seguras, como Kaspersky Password Manager.
• Verificar siempre que los enlaces sean legítimos antes de hacer clic sobre ellos. Los ciberdelincuentes generan páginas webs falsas que buscan ser idénticas a las originales. Por ello, es importante revisar bien las direcciones URL para comprobar si son legítimas antes de facilitar cualquier información.
• Activar la autenticación de doble factor siempre que sea posible. Esto añade una capa adicional de seguridad y bloquea los accesos no autorizados.
• Usar un software de seguridad de confianza. Kaspersky Premiumprotege frente a estafas tanto conocidas como desconocidas. Analizar regularmente los dispositivos en búsqueda de amenazas y mantener actualizados los programas de seguridad en todo momento.

Si quieres saber más acerca de esta campaña de phishing, visita el blog de Kaspersky.

Kaspersky