Tema 41. Ciberdelincuencia y agentes de la amenaza

La ciberdelincuencia abarca los delitos en los que la tecnología es objetivo, instrumento o entorno esencial. El daño puede recaer en sistemas, datos, patrimonio, identidad, privacidad o servicios.

Dos familias: delitos dependientes de la tecnología (sin ordenadores o redes no existirían: una intrusión, una denegación de servicio) y delitos facilitados por la tecnología (delitos de siempre, como la estafa, la amenaza o la extorsión, que el medio digital multiplica).

Rasgos típicos: transnacionalidad, automatización, anonimización, rapidez, escalabilidad y distancia entre autor, infraestructura y víctima. Por eso la investigación suele exigir cooperación y preservación rápida de rastros.

Vocabulario base: amenaza = lo que puede causar daño (actor o circunstancia); vulnerabilidad = la debilidad aprovechable; riesgo = probabilidad × impacto sobre un activo; evento = algo observable; incidente = lo que compromete o pone en peligro confidencialidad, integridad o disponibilidad.

Es el ataque a la persona, no a la máquina: se manipula a alguien para que cuente algo, haga algo o abra una puerta (física o digital).

Palancas psicológicas: confianza, autoridad, urgencia, miedo, curiosidad, reciprocidad y escasez. Si un mensaje combina prisa + autoridad + secreto, hay que sospechar.

Canales: correo, teléfono, mensajería, redes sociales o en persona. Variantes citadas: pretexting, baiting, quid pro quo, tailgating y falso soporte técnico.

Prevención: verificar por un canal independiente (colgar y llamar al número oficial), formación, procedimientos, mínimo privilegio y autenticación robusta. La tecnología por sí sola no neutraliza el engaño humano.

Phishing: el delincuente se hace pasar por una entidad o persona para que la víctima entregue credenciales, datos o dinero, o ejecute algo malicioso. Suele valerse de mensajes, webs o formularios falsos y puede ser masivo.

Cómo se reconoce: urgencia, petición fuera de lo normal, dominio parecido al real, enlaces que no cuadran, adjuntos inesperados y presión para saltarse el procedimiento.

Por canal: smishing = SMS o mensajería; vishing = llamada o voz. Finalidades: fraude, robo de cuentas o instalación de malware.

Spear phishing: phishing dirigido y personalizado contra una persona, cargo u organización concreta, usando información previa del objetivo. Al estar personalizado tiene menos fallos visibles y más éxito.

Whaling: spear phishing contra altos cargos o quienes deciden (la «ballena», el pez gordo).

Ante un caso: si el envío es indiscriminado → phishing; si el autor ha estudiado a la víctima → spear phishing; si la víctima es un directivo → whaling.

Spoofing = falsificar una identidad o un dato técnico: remitente de correo, dominio, IP, MAC, DNS, número de teléfono o nombre visible.

Que un correo aparezca enviado desde una dirección no prueba que se controle esa cuenta: el investigador debe mirar cabeceras, autenticación, infraestructura y contexto.

Spoofing y phishing van juntos a menudo pero no son sinónimos: el spoofing es la falsificación (el disfraz); el phishing es el engaño para que la víctima haga algo.

Pharming: la víctima escribe bien la dirección y aun así acaba en una web falsa, porque se ha manipulado el DNS, la configuración local, el router o la resolución de nombres. A diferencia del phishing clásico, no necesita que pulse un enlace engañoso.

Prevención del pharming: DNS seguro, equipos actualizados, router protegido, comprobar certificados y MFA.

Malware es software o código hecho para actuar maliciosamente: dañar, espiar, robar, cifrar, controlar, propagarse o esquivar defensas. Se clasifica por comportamiento, propagación y finalidad, y varios tipos pueden combinarse en una misma campaña.

No todo programa molesto es malware: las aplicaciones potencialmente no deseadas pueden ser invasivas sin tener la misma finalidad maliciosa.

Virus: se aloja en un fichero o medio que le hace de anfitrión y se extiende cada vez que ese anfitrión llega a ejecutarse. Gusano: hace copias de sí mismo y viaja por las redes por su cuenta, sin necesitar que nadie lance un programa anfitrión.

Troyano: se disfraza de programa legítimo o útil para que lo ejecutes y esconde funciones dañinas. No se define por replicarse, sino por el engaño.

Spyware: recopila información sin consentimiento (actividad, credenciales, comunicaciones, ubicación, hábitos). Keylogger: registra pulsaciones. RAT: control remoto amplio del equipo.

Rootkit: oculta la presencia del intruso y mantiene privilegios o persistencia alterando componentes del sistema (usuario, kernel, arranque o firmware).

Adware: publicidad, a veces intrusiva (no siempre es malware). Scareware: alertas falsas que asustan para que pagues o instales. Wiper: destruye datos; puede disfrazarse de ransomware sin que exista forma real de recuperar.

Clave de examen: troyano = cómo se presenta; spyware = para qué sirve. Y lo que diferencia extorsión, espionaje y destrucción es la intención.

Ransomware: impide o restringe que la víctima use sus datos o sus equipos y pide un pago (rescate) para devolverle el acceso. Variante criptográfica = cifra los ficheros; variante bloqueadora = deja el dispositivo inutilizable.

Doble extorsión: además de cifrar, roba datos y amenaza con publicarlos; puede sumar presión a clientes, DDoS o contacto con terceros.

Pagar no garantiza ni recuperar los datos ni que se borren. Prevención: copias desconectadas y verificadas, segmentación, actualizaciones, MFA, mínimo privilegio y un plan de respuesta.

Cryptojacking: uso no autorizado de la CPU/GPU de un dispositivo para minar criptomonedas, mediante malware o código abusivo en servicios y navegadores. Síntomas: equipo lento, caliente, más consumo eléctrico y costes. No cifra ni pide rescate: roba capacidad de cálculo.

Botnet: red de dispositivos comprometidos que un botmaster controla de forma coordinada; cada equipo infectado es un bot o zombi.

Para qué se usan: denegaciones de servicio distribuidas (DDoS), envío masivo de spam, fraudes, robo de credenciales, reparto de malware, minado ilícito de criptomonedas o aprovechar los equipos como proxy. El mando y control (C2) puede estar en un único punto, repartido entre muchos nodos o esconderse tras servicios legítimos de los que se abusa.

Objetivo frecuente: dispositivos IoT (cámaras, routers) con contraseñas débiles, servicios expuestos o firmware sin actualizar.

DoS: dejar un servicio lento o fuera de juego consumiendo sus recursos (ancho de banda, conexiones, CPU, memoria o recursos de la propia aplicación). DDoS: el mismo efecto, pero lanzado desde muchos orígenes a la vez.

Modalidades: volumétrico, de protocolo o de capa de aplicación. La amplificación abusa de servicios que responden con más datos de los que reciben, a menudo con suplantación del origen.

Un DoS no exige intrusión ni robo de datos: ataca la disponibilidad.

Inyección SQL (SQLi): una aplicación mete lo que escribe el usuario dentro de una consulta a la base de datos sin separar datos de órdenes. Puede permitir leer, modificar o borrar información o alterar la autenticación; su alcance real varía según cómo esté construida la consulta y qué permisos tenga la cuenta con la que la aplicación entra en la base de datos.

Defensa principal: consultas parametrizadas, más validación, mínimo privilegio, errores controlados y pruebas. Solo «escapar caracteres» es una protección frágil.

XSS (Cross-Site Scripting): contenido no confiable acaba ejecutándose como script en el navegador dentro de una web legítima. Tipos: almacenado, reflejado o basado en DOM. Puede robar datos accesibles, alterar la página, actuar en la sesión o redirigir.

Cómo se previene el XSS: Content Security Policy, cookies protegidas, validación de entradas, plantillas seguras y codificar la salida de acuerdo con el contexto en que se muestra.

Regla: SQLi ataca a la base de datos (servidor); XSS ataca al navegador (usuario).

Zero-day: fallo desconocido para quien debe corregirlo o sin parche disponible cuando empieza a explotarse o a divulgarse.

El exploit zero-day es lo que aprovecha ese fallo; pero no todo zero-day está siendo explotado.

Cuando sale el parche deja de ser, en sentido estricto, un fallo sin corrección, aunque el riesgo sigue hasta que se actualiza.

Trampa: zero-day no es una técnica de ataque, describe una situación (de conocimiento y corrección).

BEC (Business Email Compromise): estafa que usa un correo de empresa auténtico (comprometido) o falsificado para que la víctima ordene transferencias, modifique la cuenta de un proveedor, remita datos o abone facturas falsas. Se hace pasar por directivos, proveedores o asesores y explota procesos reales, la jerarquía, la urgencia y la confidencialidad.

Prevención BEC: verificar cualquier cambio de cuenta por un canal ya conocido, doble autorización, MFA, protección del dominio y procedimientos que la urgencia no pueda saltarse.

Cartas nigerianas (fraude 419): estafa de pago anticipado. Prometen herencias, premios o fondos extraordinarios a cambio de tasas, datos o colaboración; tras el primer pago surgen nuevos gastos. Puede derivar en robo de identidad, blanqueo o captación como mula de dinero. El nombre es histórico: no implica origen geográfico.

Skimming: robo de datos de tarjetas de pago. Físico: dispositivos superpuestos o internos en cajeros y terminales, más captura del PIN. Web skimming / e-skimming: código malicioso en la página de pago de una tienda que copia los datos del cliente.

Prevención skimming: revisar terminales, tapar el teclado, alertas bancarias, comercio actualizado y control de scripts de terceros.

Las credenciales se roban por phishing, malware, filtraciones, interceptación o engaño.

Credential stuffing: reutilizar pares usuario-contraseña filtrados en otros servicios. Fuerza bruta: probar muchísimas combinaciones. Password spraying: probar pocas contraseñas comunes contra muchas cuentas para no provocar bloqueos.

Prevención: contraseñas únicas, gestor de contraseñas, MFA resistente al phishing, límite de intentos y detección de anomalías.

Una campaña suele encadenar estas etapas: 1) vector inicial, 2) ejecución, 3) persistencia, 4) elevación de privilegios, 5) evasión, 6) descubrimiento, 7) movimiento lateral, 8) mando y control y 9) acción final. Romper cualquiera de los eslabones limita el daño; por eso la defensa debe vigilar comportamientos, no solo firmas.

Fases de respuesta: preparación → detección y análisis → contención → erradicación → recuperación → lecciones aprendidas (se solapan y se adaptan).

Contener frena la propagación, pero desconectar a lo loco puede destruir visibilidad. Erradicar elimina la causa y la persistencia; recuperar restablece servicios de forma vigilada.

Para el policía: preservar evidencias, mantener la trazabilidad, coordinar comunicaciones y cumplir las obligaciones de notificación.

Defensa en profundidad, en tres grupos: conocer y mantener (inventario, actualizaciones, configuración segura), limitar (segmentación, mínimo privilegio, MFA, filtrado) y vigilar y prepararse (monitorización, copias de seguridad y formación). Las copias deben ser varias, aisladas y probadas. Ninguna herramienta garantiza una seguridad total: la resiliencia consiste en prevenir, detectar, responder y recuperar.

Agente de la amenaza: persona, grupo u organización con capacidad e intención de causar daño. Se valora por motivación, recursos, oportunidad, acceso y nivel técnico. La atribución es compleja: herramientas, infraestructura o idioma pueden compartirse, venderse o usarse como pista falsa.

Cibercriminales: buscan lucro (fraude, extorsión, venta de datos, ransomware, malware bancario). Pueden ser individuos, grupos o ecosistemas especializados. Las mulas de dinero reciben y mueven fondos, sabiéndolo o engañadas.

Hacktivistas: medios digitales al servicio de una causa política, social o ideológica (protesta, filtraciones, desfiguración de webs, DDoS). La causa no exime de responsabilidad penal.

Insider threat (amenaza interna): alguien con acceso autorizado o conocimiento interno (empleado, ex empleado, contratista, socio). Tres perfiles: malicioso (roba, sabotea), negligente (incumple controles) y comprometido (engañado o con la cuenta tomada).

Actores estatales o patrocinados: espionaje, influencia, preparación del entorno, obtención tecnológica o efectos disruptivos, con muchos recursos y tiempo. Objetivos: administraciones, defensa, infraestructuras críticas, telecomunicaciones, investigación y cadenas de suministro.

APT (Advanced Persistent Threat): amenaza avanzada (capacidades y adaptación), persistente (continuidad y objetivo) y amenaza (intención y recursos). Busca mantenerse dentro, aprender del entorno y cumplir una misión sin ser detectada. Puede designar la actividad o el grupo. No implica usar siempre fallos inéditos.

Crime-as-a-Service (CaaS): capacidades delictivas vendidas o alquiladas como productos o servicios (malware, phishing, botnets, accesos, datos robados, DDoS, blanqueo). Baja la barrera técnica y reparte el trabajo entre especialistas que ni se conocen.

Ransomware-as-a-Service: afiliados lanzan campañas con la infraestructura y el malware de los operadores, repartiendo beneficios. Initial Access Broker (IAB): consigue y vende accesos a organizaciones comprometidas.

TTP = tácticas, técnicas y procedimientos: más estables y útiles que una IP suelta. IOC = indicador observable de posible compromiso (hash, dominio, IP, archivo, patrón). Un IOC abre una investigación, no prueba autoría.

Modelo que divide una intrusión en siete fases: 1 reconocimiento, 2 armamento, 3 entrega, 4 explotación, 5 instalación, 6 mando y control (C2), 7 acciones sobre los objetivos.

Sirve para encontrar puntos de detección y ruptura antes del golpe final. Es analítico, no rígido: una campaña real puede omitir, repetir o reordenar fases.

Reconocimiento: recoger información de personas, sistemas, proveedores y exposición. Armamento: preparar el medio de entrega con el componente malicioso, a menudo fuera de la vista de la víctima. Entrega: hacerlo llegar (correo, web, soporte, servicio expuesto, cadena de suministro).

Explotación: activar una vulnerabilidad técnica o humana (también vale usar credenciales válidas). Instalación: dejar malware, persistencia o herramientas (no siempre archivos permanentes). C2: canal para dar órdenes y recibir datos.

Acciones sobre los objetivos: exfiltrar, cifrar, alterar, destruir, espiar, defraudar o interrumpir. La recuperación debe cerrar el vector inicial, eliminar persistencia y renovar credenciales.

Te escriben o llaman fingiendo ser alguien para sacarte datos → phishing (SMS: smishing; voz: vishing). Si conocen tu vida o tu cargo → spear phishing; si eres directivo → whaling.

Escribes bien la web y llegas a una falsa → pharming. El remitente o el número mostrado es falso → spoofing.

Correo del «proveedor» o del «jefe» con cambio de cuenta o transferencia urgente → BEC. Herencia o premio a cambio de pagar antes → cartas nigerianas.

Archivos cifrados y nota de rescate → ransomware. Equipo lento y caliente sin rescate → cryptojacking. Lector pegado al cajero → skimming.

Web caída por avalancha de tráfico → DoS/DDoS. Muchos equipos zombis coordinados → botnet.

Cibercriminal = lucro; hacktivista = causa; insider = acceso desde dentro; APT = capacidad y persistencia; CaaS = el delito como servicio.