Internet ya tiene lo que necesitan
La mayoría de las organizaciones —y la mayoría de las personas— publican mucho más de lo que creen. Un perfil de LinkedIn lista un cargo y una estructura de reporte. La web de una empresa nombra a quién lleva cada cuenta. Una nota de prensa anuncia una operación antes de que se cierre. Nada de eso es exactamente un fallo de seguridad: es cómo funciona el negocio moderno; pero también es una biblioteca completa de investigación para cualquiera que esté construyendo una suplantación convincente.
Qué buscan realmente los atacantes
Tres cosas importan más: quién tiene autoridad para aprobar o enviar un pago, cómo es una petición normal y plausible para esa organización, y qué está ocurriendo ahora mismo que haría creíble una petición urgente. Una fecha de cierre, una ronda de financiación, una relación con un proveedor: cualquiera de estas cosas le da al atacante el detalle concreto y oportuno que hace que un mensaje fraudulento parezca rutinario en lugar de sospechoso.
Los altos ejecutivos están especialmente expuestos
Los líderes senior son objetivos desproporcionados porque su autoridad hace difícil cuestionar peticiones que lleven su nombre, y porque su voz y su cara están ampliamente documentadas en escenarios públicos: llamadas de resultados, ponencias en conferencias, entrevistas, presentaciones a inversores. Esa misma documentación es la que hace posible clonar voz y vídeo con esfuerzo mínimo.
Por eso "el correo parecía correcto" no es tranquilizador
Cuando un atacante ha hecho investigación real, el correo va a parecer correcto. Los nombres, la línea de tiempo, el tono: todo se puede construir a partir de material público. Juzgar la legitimidad por lo exactos que sean los detalles se salta el punto; la exactitud es justo lo que produce un reconocimiento minucioso.
Qué resiste realmente este tipo de investigación
Ninguna cantidad de información pública le da a un atacante la identidad biométrica de alguien ni la capacidad de pasar por el titular real de una cuenta bancaria concreta. Esa es la diferencia entre información que puede reunirse e identidad que hay que verificar directamente, que es la capa que la investigación por sí sola no puede falsificar.
- ¿Puede realmente una empresa evitar este tipo de investigación?
- No del todo. Cierta información —nombres del personal, tiempos de las operaciones— es necesaria para el negocio normal. La defensa más fiable es asumir que los atacantes han hecho sus deberes y verificar la identidad de forma independiente igualmente.
- ¿Ayuda quitar información de LinkedIn o de una web?
- Puede reducir algo la superficie, pero no es una solución completa por sí sola, ya que los atacantes combinan varias fuentes públicas en lugar de depender de una sola.