Parece imposible que pase un día sin que se oiga una palabra sobre un nuevo fraude mediante estafa electrónica o “phishing”.

Estos sofisticados ataques utilizan mensajes de correo electrónico “engañosos” y sitios Web fraudulentos diseñados para confundir a los destinatarios para que divulguen información financiera personal como números de tarjetas de crédito, nombres de usuario, contraseñas de cuentas, así como números de identificación personal. Además, el número de estos ataques continúa aumentando.

Según las cifras más recientes del Grupo de trabajo Anti-Phishing, se informó sobre 1.197 nuevos ataques en mayo, lo que representó un aumento del 6% con respecto al número de ataques en abril. El grupo atribuyó el aumento relativamente leve a un descenso en la actividad en el ciberespacio durante el festivo Día de los caídos en la guerra (Memorial Day en los Estados Unidos).
En comparación, los 1.125 ataques que se descubrieron en abril, representaron un aumento del 178% en relación con el mes anterior.

El grupo también señaló que en los siete meses que ha recibido informes de estafa electrónica, el número de “objetivos” de ataque se ha reducido significativamente. El grupo admitió que “es evidente que los estafadores han centrado sus esfuerzos en Citibank, eBay y Paypal”. Además, un análisis de los ataques de mayo, realizado por el grupo, reveló que un 95% de ellos utilizaron direcciones de correo electrónico “suplantadas” o falsificadas.

La nueva ley
No sorprende que la proliferación de estos ataques haya llamado la atención de los legisladores de los Estados Unidos.

Aunque el proyecto de ley de robo de identidad firmado por el presidente Bush a comienzos de julio contempla estipulaciones obligatorias de cárcel para aquellas personas que utilicen una identidad robada para cometer un delito grave, la nueva ley no penaliza el fraude electrónico. El senador norteamericano, Patrick Leahy, quiere cambiar esta situación.

La Ley Anti-Phishing de Leahy de 2004, presentada en julio, abarca el fraude en su totalidad desde el envío de correo electrónico hasta la creación de sitios fraudulentos. Estos actos se convertirán en delitos graves y estarán sujetos a cinco años en prisión y a una multa máxima de $250.000.

“Algunos estafadores pueden ser procesados de acuerdo a las leyes del Congreso contra el fraude electrónico o robo de identidad, aunque con frecuencia estas acusaciones tienen lugar únicamente después de que alguien ha sido defraudado” dijo Leahy cuando presentó el proyecto de ley, según un informe publicado en internetnews.com. "Cuando las personas no pueden confiar en lo que los sitios Web dicen ser, no utilizarán Internet para realizar transacciones seguras. Por lo tanto, las leyes tradicionales del Congreso antifraude electrónico y antirrobo de identidad no son suficientes para responder a la estafa electrónica. [Esta legislación se encargará de] declarar ilegal el envío deliberado de enlaces de correo electrónico suplantados para fingir sitios Web con la intención de cometer un delito. En segundo lugar, esta ley penaliza los sitios Web falsos que sean un verdadero escenario del delito”.

Sin embargo, la resolución de este asunto se pospondrá probablemente hasta que el Congreso vuelva a reunirse después del receso de verano.

El compromiso de detectar estafas en tiempo real Los legisladores no son los únicos que están trabajando. En junio, MasterCard International aunó esfuerzos con un especialista en detección de fraudes digitales para lanzar una nueva iniciativa antirrobo de identidad. Como parte de esta iniciativa, MasterCard se compromete a “detectar las estafas en línea que ocurran en tiempo real dada su proliferación en Internet.”

“Estamos haciendo frente al robo de identidad al ir directamente al lugar donde las estafas con tarjetas de pago se reproducen y propagan” declaró en un comunicado, Sergio Piñòn, vicepresidente senior de MasterCard en Global Security & Risk Services. “Si identificamos estas redes ilegales que alteran el número de las tarjetas de crédito y trabajamos para acabar con los 'mercados negros de tarjetas de pago' en Internet, así como con los sitios que están dedicados exclusivamente a robar información personal, podremos erradicar la actividad ilegal antes de que las cuentas de las personas se vean comprometidas”.

El fraude por estafa electrónica y otras formas de fraude son generalmente perpetrados por los criminales que compran y venden números de tarjetas de crédito y otra información personal a través de foros secretos en línea.

MasterCard monitoreará continuamente los nombres de dominio, las páginas Web, las discusiones en línea, el correo basura y otros formatos en línea para identificar las redes de tráfico en Internet, los ataques de estafa electrónica y otras formas de fraude en línea que se emprendan.

Por su parte, el socio de MasterCard de la iniciativa rastreará a los estafadores en Internet y los denunciará ante las autoridades de la ley, dijeron las compañías.

La nueva cara del delito en el ciberespacio.
Se conoce como la nueva cara del delito en el ciberespacio. Mientras que los hackers tenían anteriormente mala reputación por borrar o encriptar un sitio Web conocido, ahora les motiva un principio más mundano: el dinero. Y encuentran cada vez más los recursos económicos para cometer fraudes. Como ha señalado, Richard Clarke, el ex consultor principal de seguridad en el ciberespacio de la Casa Blanca, a propósito de los actuales “malos” de Internet:

“En la base del espectro están los que solamente quieren lucirse. Con bastante frecuencia se trata de adolescentes que buscan el equivalente a “dar un paseo divertido y delictivo” por el ciberespacio. El siguiente nivel superior lo conforman las personas dedicadas al fraude y la extorsión. Personas de todas partes del mundo hackean las instalaciones en otros países, buscan las listas de clientes y amenazan con dar los nombres de los clientes y de las tarjetas de crédito en sitios Web públicos si no les pagan una suma de dinero. Esto es chantaje y extorsión”.

Por otra parte, ha demostrado ser un negocio excepcionalmente lucrativo. Según un estudio reciente realizado por la firma de investigación Gartner Inc. en abril de 2004 (“Las víctimas de ataques de estafa electrónica son posibles blancos de robos de identidad”), los intentos falsos por obtener contraseñas, la información de las tarjetas de crédito y otra información personal ocasionó pérdidas de $1,2 mil millones a los bancos norteamericanos y expedidores de tarjetas de crédito el año pasado. Gartner sugiere que al menos 57 millones de adultos han sufrido un ataque de estafa electrónica y que 1,78 millones de adultos probablemente han sido víctimas de fraudes tras suministrar información confidencial personal.

Ahora parece que los estafadores están llevando la estafa electrónica a una nueva etapa. En lugar de confiar en la credibilidad de las víctimas, están siguiendo el ejemplo de los autores de virus, e incluso cooperan con ellos, para aprovechar las vulnerabilidades del software con el fin de introducir caballos de Troya en equipos que sean presa fácil.

En mayo, el periódico de tecnología, eWEEK, informó que un mensaje electrónico comenzó a circular recientemente con el propósito de introducir un caballo de Troya conocido como Sepuc. El correo electrónico no tiene línea de asunto, ni texto en el cuerpo del mensaje. Cuando el usuario abre el mensaje, el código oculto en el correo electrónico intenta aprovechar una vulnerabilidad conocida en el navegador Internet Explorer de Microsoft para forzar una descarga desde un equipo remoto. Este archivo luego descarga otras partes del código e instala finalmente un caballo de Troya capaz de reunir información de la PC y de enviarla a un equipo remoto.

“El aspecto más preocupante de este ataque”, concluyó eWEEK, “es que, a diferencia de los anteriores fraudes, las víctimas probablemente desconocían que habían hecho algo mal”.

Las medidas que puede tomar
Entonces, ¿qué pueden hacer los usuarios empresariales para que no sean víctimas de los fraudes mediante estafa electrónica? Como regla general, los expertos en seguridad están de acuerdo en que los usuarios deben ser especialmente cuidadosos al dar información financiera personal en Internet. De hecho, sospeche de todo correo electrónico que solicite de forma urgente este tipo de información. Para obtener más información, los usuarios deben consultar los siguientes recursos:

El Grupo de trabajo Anti-Phishing (APWG) ha compilado una lista de recomendaciones que usted puede utilizar para evitar ser víctima de fraudes (EEUU). El Grupo de trabajo Anti-Phishing también ofrece sugerencias si ha suministrado su información financiera personal (EEUU).  La Comisión Federal de Comercio brinda información para evitar los fraudes (EEUU).