Según datos de la plataforma internacional de pagos seguros Klik & Pay, las pequeñas y medianas empresas del sector retail son mucho más vulnerables a los hackeos que las grandes compañías.
Las tácticas más utilizadas en la ciberdelincuencia que ha detectado la plataforma son:
INGENIERÍA SOCIAL: se basa en técnicas de psicología y de hacking para conseguir que uno de los empleados de la pyme realice una acción que origine una vulnerabilidad en la empresa. Uno de los mejores ejemplos es el envío de un sms o un mensaje a través de mensajería instantánea en que el hacker se hace pasar por un proveedor habitual de la pyme y solicita al empleado que pinche en un enlace. Desde este enlace se descarga un troyano que infecta el teléfono del empleado, lo que permite al hacker acceder a la información contenida en el dispositivo.
FACTURA FALSA: es otra de las maneras más comunes para conocer las contraseñas que utiliza la pyme. Se basa en la instalación de un ‘keylogger’ en el ordenador de un empleado y la técnica más utilizada para ello suele ser la de indicar que ha recibido la factura adjunta. Al descargarla se instala el ‘keylogger’, que intercepta las contraseñas y otra información sensible que se teclee en el teclado de ese ordenador.
ACCESO VÍA WIFI: el hacker se sitúa fuera de las oficinas o comercio de la pyme y accede al sistema de la misma a través su red wifi. Una vez dentro, puede acceder a la información de la empresa, incluyendo datos sensibles de empleados y clientes o información financiera. Es un ataque muy sencillo de ejecutar cuando la red wifi de la pyme no está securizada o lo está pero de manera simple.
DRIVE-BY WEB DOWNLOAD: los ciberdelincuentes buscan una vulnerabilidad en la web de la pyme e instalarán un código para que todos aquellos que visiten esa web queden infectados.
ROBO DE CONTRASEÑAS: el hacker intentará acceder al email del empleado de la pyme y cambiar la contraseña, cuando el sistema presente las usuales preguntas de seguridad (por ejemplo “en qué ciudad naciste”, “cómo se llama tu mascota”, etc.), el delincuente utilizará la información extraída de las redes sociales para contestar las preguntas de seguridad, solicitar la creación de una nueva contraseña y obtener el acceso y control del email.
