El 98% de los ciberataques pueden basarse en la ingeniería social, pero el scareware depende totalmente de ella, ya que busca asustar a sus víctimas para que realicen una acción que resulte perjudicial.

¿Qué es el scareware?

En su forma más básica, el scareware es un tipo de malware. Como la palabra indica, utiliza tácticas de miedo para presionar al usuario para que descargue o compre software falso y potencialmente malicioso. Al manipular a los usuarios para que sientan ansiedad o pánico, los estafadores pueden conseguir dinero y datos confidenciales. 

El scareware suele adoptar la forma de un anuncio emergente que muestra señales de advertencia alarmantes sobre un virus que se ha infiltrado en una computadora o dispositivo móvil. Estas advertencias son falsas, pero incitan continuamente al usuario a tomar medidas, interactuando con el anuncio para deshacerse de la amenaza percibida en su dispositivo. 

Cuando el usuario hace esto, en realidad está instalando el malware, en lugar de deshacerse de él.

Hay sitios web enteros dedicados a este tipo de fraude. Algunos ganan dinero con el pago de los usuarios por una falsa línea de ayuda informática y otros quieren que se descargue su software para obtener información privada o acceder a cuentas bancarias y otros sistemas.

¿Qué les ocurre a las víctimas de scareware?

El scareware es muy amplio, y hay varias cosas diferentes que pueden resultar de él. 

El resultado menos dañino es que los usuarios desperdicien dinero comprando software inútil e innecesario, también conocido como bloatware. En el peor de los casos, los estafadores infectarán aún más el dispositivo y utilizarán los datos comprometidos para cometer fraude con tarjetas de crédito, robos de identidad o reclutar tu máquina en un ejército de botnets existente.

Puede ser difícil saber si has sido víctima de scareware, pero muy a menudo alguna forma de malware formará parte del paquete completo.

Este malware puede trabajar en conjunto con el scareware, controlando un navegador para hacer cosas como cambiar tu página de inicio, forzar al usuario a través de anuncios inyectados para esencialmente robar dinero de los afiliados, o incluso auto-ejecutar motores de búsqueda de afiliados para generar dinero por consulta.

Incluso si estas estafas no están presentes o son obvias, si tu sistema funciona con lentitud, es incapaz de ejecutar un software antivirus genuino o aparecen constantemente anuncios emergentes, tu computadora puede haber sido atacada. 

¿Cómo funciona el scareware?

En la mayoría de los casos, un esquema de scareware suele terminar con los estafadores robando el dinero y/o la información de los usuarios. Esto es lo que experimenta una víctima típica de scareware:

1. Un usuario visita un sitio web y de repente aparece una ventana emergente. En ella se indica que hay un virus en su dispositivo. Este anuncio también puede imitar los mensajes de un software de seguridad auténtico para persuadir a la víctima de que haga clic en él o realice otra acción.
2. El usuario hace clic en el enlace o intenta cerrar el anuncio, lo que a veces puede desencadenar la descarga de malware (normalmente a través de botones falsos).
3. Las ventanas emergentes siguen apareciendo, reiterando la urgencia de dicho virus. Esto presiona al usuario para que actúe rápidamente, a veces amenazando con el borrado del archivo.
4. El usuario puede pagar por el bloatware asociado, pensando que solucionará el problema, aunque el único objetivo de los estafadores era estafar al usuario.
5. Si el usuario ha sido persuadido para descargar el malware, hay varias vías a partir de ahí. Los estafadores pueden recopilar información confidencial, como los datos de la tarjeta de crédito, acosar al usuario con anuncios constantes, obligarlo a navegar por sitios web no deseados o presionarlo para que descargue más software.

Ejemplos de scareware

El scareware puede manifestarse de varias maneras, entre ellas:

1. Sitios web: Alrededor del 20% de los dominios maliciosos son muy nuevos y se utilizan durante aproximadamente una semana después de su registro. Estos sitios están construidos exclusivamente para infectar las computadoras de forma que, independientemente del lugar en el que los usuarios hagan clic en el sitio, el malware se descargue automáticamente en su dispositivo.
2. Popups y anuncios emergentes: Existe un espectro de aspecto e invasividad cuando se trata de ventanas emergentes, lo que significa que es importante sospechar de cualquier anuncio inesperado. Algunos anuncios ocupan toda la pantalla, impidiendo a los visitantes acceder al sitio en el que estaban. Como resultado, el usuario intentará cerrar la ventana a través de un falso botón de cierre, que en cambio desencadena una descarga. Otras ventanas emergentes pueden ser pequeños banners inactivos que se esconden en una esquina, pero no son menos maliciosos para el sistema. 
3. Sistema operativo: Para que la estafa sea creíble, las ventanas emergentes pueden imitar el aspecto de una ventana de notificación, como si procediera directamente de tu sistema operativo.

• Dado que el scareware y el malware pueden alterar la configuración interna de la computadora, como cambiar la imagen del fondo de pantalla, algunos usuarios pueden entrar en pánico y hacer clic en una ventana emergente en la que parece que el sistema operativo está ofreciendo soporte antivirus. 
• Estas notificaciones maliciosas estarán configuradas de forma que, aunque el usuario intente cerrar la ventana, lo dirigirán a un sitio web de estafa o provocarán la descarga de malware, lo que aumentará la infección. Esto se conoce como clickjacking.

4. Aplicaciones móviles: Al igual que el scareware funciona cuando se navega por internet en una computadora de escritorio o portátil, la navegación por la red en el móvil tiene la misma advertencia emergente inicial, pero con un resultado diferente: activa la descarga de una aplicación maliciosa. Estas descargas pueden volver a espiar al usuario y recopilar información sensible, lo que puede llevar a que te roben el número de teléfono y a que los hackers cometan fraude de SIM swapping o accedan a tus contraseñas OTP.
5. Correos electrónicos de scareware: Las cifras muestran que el 94% del malware se envía por correo electrónico. Los estafadores envían correos electrónicos falsos a los destinatarios, presionandolos para que descarguen programas «antivirus» o se suscriban a «servicios antivirus». La percepción de una amenaza para el sistema de los usuarios se suma a la coacción. Los datos que los estafadores obtienen en este proceso se utilizan para otras actividades delictivas, como el robo de identidad.

¿Cómo afecta el scareware a las empresas?

Es importante entender por qué el scareware no debe tomarse a la ligera, independientemente del tamaño de tu empresa: 

1. Interrumpe las operaciones: Los empleados deben dejar de trabajar para resolver los problemas de TI, lo que significa que se pierden horas cruciales. El trabajo incompleto probablemente tendrá un efecto en cadena en el resto de la empresa, y también en otros colegas.
2. Inhabilita servicios importantes: Si los empleados tienen que dejar de trabajar, existe el riesgo de que algunos servicios que presta tu empresa tengan que cesar temporalmente. Esto puede provocar importantes pérdidas en la empresa.
3. Hace que los clientes estén descontentos: Dependiendo de la naturaleza y la escala del ataque, podría afectar a la forma en que atiendes a tus clientes, haciéndoles perder su costumbre al buscar servicios o bienes similares en otros lugares.
4. Robo de información crucial: Si el scareware lleva a un empleado a instalar un programa espía en su sistema, los estafadores que están detrás pueden robar y utilizar los datos bancarios de la empresa y otra información sensible. También pueden robar información privada, como las contraseñas.
5. Provoca la pérdida de control del dispositivo: A veces el malware descargado a través de scareware puede permitir a los hackers controlar aplicaciones y dispositivos de forma remota. Esto les permite localizar fácilmente archivos sensibles y, de nuevo, impide que el empleado trabaje.
6. Conlleva riesgos de cumplimiento: Según las leyes de privacidad y otros mandatos, las empresas tienen que pagar multas si se filtra información sensible de los clientes o incluso de los empleados. Además, esto a menudo se hace público bajo la ley GDPR, trayendo daños a la reputación.
7. Puede permitir el fraude de afiliados: Algunos sitios web pagan una prima por clic a otros sitios web que dirigen el tráfico hacia ellos. Esta estructura puede ser abusada por el scareware y el malware asociado, forzando a los clientes a través de enlaces que parecen llevar a un sitio web pero que en realidad conectan primero con el enlace de afiliado, lo que desencadena el pago para el propietario del malware.

Cómo protegerse contra el scareware

La mitigación exitosa de las amenazas relacionadas con el scareware solo puede ser el resultado de una estrategia múltiple, sin importar si eres un individuo o un gerente que busca salvaguardar tu empresa. Echemos un vistazo más de cerca.

Protección contra scareware para particulares

Dado que la mayoría de los dominios maliciosos (alrededor del 60%) están asociados a campañas de spam, es importante mantenerse alerta cuando se navega en línea y ser capaz de reconocer los ataques de scareware. Esto significa evitar hacer clic en las ventanas emergentes y cerrar la pestaña del navegador.

Las personas pueden empezar utilizando un software antimalware (antivirus) que verifique la legitimidad de los archivos antes y después de su descarga, así como uno que tenga un escudo web, que bloquee las fuentes de algunos anuncios maliciosos. 

Los usuarios también pueden instalar bloqueadores de anuncios, muchos de los cuales pueden utilizarse como complemento del navegador para evitar y reducir el número de ventanas emergentes que aparecen. 

Cómo proteger tu empresa contra el scareware

Para las empresas, es clave invertir en la educación de los empleados sobre los riesgos y los pasos para evitarlos. Impartir formación sobre cómo identificar el scareware y reconocer los signos clásicos de estas amenazas disminuirá las posibilidades de que los hackers accedan a tu información privada. 

Además, existe un software de cortafuegos que bloquea las conexiones sospechosas y/o desconocidas, así como herramientas de seguridad que se ejecutan en tiempo real para proteger los sistemas de la empresa.

Mantener a tus equipos de marketing y seguridad al tanto del fraude de afiliados también será clave para minimizar las pérdidas por fraude.

Vigilar de cerca a los afiliados publicitarios para detectar tasas de conversación sospechosas -las tasas que dirigen el tráfico a tu sitio- evitará que los estafadores secuestren el tráfico orgánico como propio. Esto es clave en ciertas industrias; por ejemplo, el fraude de afiliados en iGaming es un punto de dolor para los operadores de juegos de azar.

Una plantilla educada, combinada con una pila de seguridad bien equipada desplegada en la red de la empresa, proporcionará una excelente protección contra el scareware, así como contra otros ataques fraudulentos.

Cómo denunciar el scareware

Es importante actuar rápidamente en cuanto creas que puede haber una brecha en tu sistema. Puedes denunciar una amenaza o infiltración de scareware a tu departamento de TI, dependiendo de los procedimientos de tu empresa.

Los particulares pueden notificar una denuncia de scareware al Centro de Denuncias de Delitos en Internet del FBI. 

Si te encuentras en el Reino Unido, puedes denunciar un sitio web sospechoso al Centro Nacional de Ciberseguridad, que lo investigará.

Siendo realistas, las personas que no se sienten tan cómodas con la tecnología pueden querer hablar con un experto en informática si se dan cuenta de que han sido víctimas de scareware. Un profesional podrá identificar el alcance del daño causado, así como limpiar tu sistema.

Fuentes

Estadísticas de ciberseguridad: La lista definitiva de datos estadísticos y tendencias para 2022

134 estadísticas y tendencias de ciberseguridad para 2021