Los comercios electrónicos se enfrentan a una variedad de amenazas que pueden comprometer su seguridad, afectar a su operatividad y dañar su reputación. Desde ataques de phishing hasta complejas inyecciones SQL, es importante que las empresas comprendan estas amenazas y tomen medidas proactivas para proteger sus sistemas y datos. Hoy te vamos a hablar sobre cinco tipos comunes de ataques cibernéticos que pueden afectar a tu negocio y estrategias para evitarlos.  

Tipos: 

Phishing 

Se trata de una técnica que tiene como objetivo obtener nuestros datos personales y bancarios a través de correos electrónicos, mensajes de texto o redes sociales, que parecen provenir de fuentes legítimas para generar confianza en la víctima, y una vez dentro pedirnos dicha información. 

La clave para evitar el phishing se centra en la correcta identificación de los correos sospechosos: 

• Mediante filtros de correo electrónico avanzados. 

• Comprueba bien el nombre y dirección de correo del remitente. Nos podemos encontrar un mail de nuestro banco, pero en la dirección de correo electrónico aparecer algo fuera de lo normal. 

• Fíjate si contiene faltas de ortografía o errores de redacción. Muchas veces, estas estafas vienen desde el extranjero, y usan traductores automáticos, lo que provoca que la redacción no sea perfecta. 

En este correo publicado por la Policía Nacional podemos ver un supuesto mensaje de Banco Popular donde dice que la tarjeta ha sido suspendida hasta validar los datos que posteriormente pide en el enlace inferior. Se puede identificar errores en las numerosas faltas de ortografía, además de que un banco nunca pide los datos a través de un enlace. 

Ransomware 

Es un malware que cifra los datos de la víctima y le niega el acceso a ellos, exigiendo el pago de un rescate para devolverle dicho acceso. Los atacantes suelen utilizar métodos de cifrado avanzados que hacen que sea casi imposible recuperar los datos sin la clave del descifrado. Los pagos suelen ser solicitados en criptomonedas, para dificultar el rastreo de los ciberdelincuentes. Existen varios métodos de infección, entre ellos el más común es el phising ya mencionado, archivos adjuntos, falsas actualizaciones de software o programas pirateados que contienen ransomware. 

Una vez hemos caído en la trampa ya sea por phising, por abrir un documento malicioso o cualquier otra vía, nos puede aparecer una imagen como a continuación, donde el atacante explica que todos los archivos han sido encriptados y la única manera de recuperarlos es mediante un pago en Bitcoin. 

Las mejores prácticas para reducir la exposición a este tipo de ataque y reducir sus impactos son: 

• Educación y concienciación: forma a los empleados sobre cómo identificar correos electrónicos y enlaces sospechosos, ya que el ransomware a menudo se propaga a través de phishing, por lo que es importante no caer en estos enlaces falsos. 

• Copia de seguridad regular: realiza copias de seguridad periódicas de todos los datos importantes y almacénalas en ubicaciones separadas del sistema principal, como en dispositivos de almacenamiento externo o en la nube. 

• Actualizaciones de software: mantén todos los sistemas operativos, software y aplicaciones actualizados con los últimos parches de seguridad. 

DDoS 

Los ataques de denegación de servicio (DDoS) buscan hacer que un servicio en línea sea inaccesible al inundarlo con una cantidad masiva de tráfico. Los atacantes utilizan los llamados ‘bots’ para generar este tráfico. Los ataques DDoS pueden durar desde unas pocas horas hasta varios días, causando interrupciones significativas en los servicios y pérdidas económicas. 

Las vías de actuación para evitar o mitigar estos ataques tenemos: 

• Implementa servicios especializados en mitigación de DDoS que pueden detectar y filtrar tráfico malicioso antes de que llegue a tus servidores. Este servicio lo podemos encontrar en Cloudflare o DDOS-GUARD. 

• Redes de Distribución de Contenido (CDN): Utiliza CDNs para distribuir el tráfico y reducir la carga en los servidores principales. Las CDNs pueden absorber y mitigar el impacto de ataques DDoS. 

• Firewall de Aplicaciones Web (WAF): Un WAF puede filtrar y bloquear tráfico malicioso dirigido a la capa de aplicación, como nos puede ofrecer AWS. 

Inyección de SQL 

Es una técnica en la que los atacantes insertan código SQL malicioso en nuestro sitio web con el objetivo de manipular la web o aplicación para obtener acceso no autorizado a datos, alterar la información de la base de datos o ejecutar comandos peligrosos en el servidor de la base de datos. 

Para reducir la posibilidad de recibir este tipo de ataque es recomendable mejorar las prácticas de ciberseguridad, como implementar mejores controles de acceso, monitoreo de bases de datos y revisar las políticas de manejo de datos. 

Casos de ataques: 

• El Hospital Clínic de Barcelona sufrió en marzo de 2023 un ataque de ransomware que les obligó a cancelar los servicios de urgencias, laboratorio y farmacia del centro. 

El hospital comunicó que el ataque procede de una organización especializada en la filtración de datos. 

• Una pyme de una compañía retail recibió un ataque de Denegación de Distribución de Servicios (DDoS), inundando la red de la compañía con un tráfico excesivo, provocando así seis horas de no funcionamiento, lo que supuso a la empresa unas pérdidas de ventas en ingresos por la inactividad de la web significativas. 

• Un caso explicado por Hiscox cuenta como un taller de reparación de vehículos alemán al abrir una factura adjunta a un email sufrieron un bloqueo de todos sus documentos, con la única posibilidad de acceder a ellos mediante un pago por rescate en Bitcoin. 

A partir de ahí, el propietario del taller incrementó la seguridad de los datos de sus clientes y se aseguró de mantener la información crítica bajo copias de seguridad. 

Mantenerse informado sobre las últimas amenazas y tendencias en ciberseguridad, y estar preparado para actuar rápidamente ante cualquier incidente, es esencial para proteger los activos digitales y asegurar la continuidad del negocio en el dinámico panorama del comercio electrónico.