El mensaje llegó un martes por la tarde.
Una marca de cosmética, un logo impecable, un tono simpático y una propuesta de colaboración con una cifra que haría sonreír a cualquiera.
Solo había que descargar el dosier de la campaña.
Veinte minutos después, la influencer ya no podía entrar en su propia cuenta.
Imagínate recibir de manera totalmente gratuita este tipo de historias directamente en tu correo.
Te envío cada lunes a las 7am un email con toda la actualidad sobre tecnología, seguridad y negocios digitales.¿Te suena la historia?
Si me sigues desde hace tiempo, seguro que sí. En este nuevo artículo quiero responderte a una pregunta que me llega cada semana: ¿cómo es posible que hackeen a gente con cientos de miles de seguidores?
Y de paso, darte una noticia.
El 5 de noviembre abro el OSINTOMÁTICO
Este año vuelvo a estar en el Osintomático (Osintomático + Osintomaticops), y además con el privilegio de abrir la jornada.
Un servidor sube el primero al escenario el próximo 5 de noviembre con una charla titulada, sin demasiados rodeos, cómo hackean a influencers.
Para mí, el Osintomático se ha convertido en uno de los eventos favoritos del año.
¿El por qué? Pues porque es un congreso dedicado a la inteligencia de fuentes abiertas y la ingeniería social, justo las dos disciplinas que mueven a los atacantes que voy a contarte.
Si quieres saber más sobre cómo nació, aquí tienes una reseña de la edición de 2023 (ES).
Y como ya hice en mi anterior paso por el Osintomático, donde conté cómo le robaron 500.000 dólares a una víctima, esta vez vuelvo con otro caso que me quita el sueño.
Así que, de nuevo, gracias de corazón a Jezer, Roberto y compañía por volver a invitarme. Sois unos cracks.
Y ojo, que hay más.
Presentaremos allí un proyecto de Ediciones PY que creo que va a encantar a toda la comunidad ciber. No puedo contarte más por ahora, pero te prometo que merece la pena que vengas a verlo en directo.
Pero espera, que esto no acaba aquí.
Antes de subir al escenario, toca entender cómo piensa quien te quiere robar la cuenta.
Por qué los influencers son el OBJETIVO perfecto
Lo primero que hay que asumir es que una cuenta grande es un activo con valor económico directo.
Tiene audiencia, tiene credibilidad y tiene capacidad de venta.
Un atacante que se hace con ella puede extorsionar a su dueño, estafar a sus seguidores o usarla como trampolín hacia marcas y agencias.
Vamos, que muchas veces el influencer es la puerta y su comunidad es el botín.
Ya lo analicé en detalle en cómo hackean a influencers y creadores de contenido, y lo llevé al escenario de RootedCon en Influencers bajo ataque: anatomía de un hackeo digital.
Acuérdate, si no, de lo que le pasó a ElXokas: demuestra que nadie está a salvo, tenga los seguidores que tenga.
¿Y por qué funciona tan bien?
Pues porque quien vive de su imagen responde rápido a mensajes de desconocidos, que es justo lo que hace falta para que el engaño prospere. Un creador que ignora los mensajes pierde oportunidades de negocio, y los atacantes lo saben.
Las técnicas que explicaré en el escenario
No voy a entrar aquí en cada detalle, porque para eso está la charla. Pero sí quiero darte el mapa general de lo que vamos a ver.
- Falsas colaboraciones. Marcas y agencias inventadas que ofrecen pagos desproporcionados por mencionar un producto en un vídeo.
- Archivos comprimidos y ejecutables disfrazados de contrato. Ninguna empresa seria te enviará un .exe para firmar un acuerdo, y sin embargo sigue funcionando.
- Robo de sesión. Cuando alguien ejecuta ese archivo, el atacante puede llevarse la sesión ya iniciada, y la verificación en dos pasos ni siquiera llega a entrar en juego.
- Dominios clonados. Direcciones de correo que se parecen a las de la marca real pero registradas por intermediarios que ocultan sus datos.
- Suplantación de soporte. Falsos avisos del “departamento legal” de una plataforma que alertan de cambios en las normas.
- SIM swapping. Cuando el segundo factor llega por SMS, se convierte en otro punto débil.
- Ingeniería social con investigación previa. Antes de escribir un solo mensaje, el atacante estudia a su víctima con técnicas OSINT: su nicho, sus marcas y su forma de hablar.
Y claro, esto es solo la parte técnica.
La parte humana es la que de verdad marca la diferencia. Por eso en la charla vamos a verlo con casos reales, capturas y análisis de dominios.
Los casos REALES que he analizado (y alguno vivido en mis carnes)
Te adelanto tres, todos documentados.
- El primero me ocurrió a mí. Intentaron hackearme con una falsa colaboración de Genshin Impact, con 1.500 dólares de cebo y un archivo comprimido que escondía algo bastante peor que un contrato.
- El segundo llegó a CyberBrainers. Una youtuber perdió su canal tras descargar un supuesto documento legal de la plataforma. Y en el mismo caso, otro canal con cerca de 350.000 suscriptores nos llamó a primera hora de la mañana porque esa misma noche le habían cambiado la cuenta administradora.
- El tercero es el del streamer Atlas, que también cayó con la promesa de una colaboración de alto valor. Lo más inquietante es que los sistemas de defensa de los principales proveedores no detectaron la amenaza al principio.
Pero Pablo, esto es de manual, ¿cómo no se dieron cuenta?
Y sí, tienes razón. Con la perspectiva de después, todo parece evidente. Pero, recalco, en el momento, con la agenda llena y el mensaje llegando desde un contacto aparentemente legítimo, casi nadie lo detecta.
Por eso no me gusta hablar de “culpa” cuando analizo estos casos. Hablo de procesos que fallan.
El lado más CURIOSO: cuando los propios influencers lo cuentan con humor
Algo que me parece fascinante es que muchos creadores han tenido la valentía (y el humor) de contar públicamente cómo les hackearon.
Y esos vídeos tienen mucho más valor educativo del que parece.
A estas alturas decir esto ya debería sobrar, pero por si hay algún despistado en la sala: reírse del error ajeno sin aprender nada es el mejor modo de ser el siguiente.
En la charla voy a desmontar estos casos con calma, a ponerles nombre técnico a cada paso y a explicar qué se pudo haber hecho distinto. Y te adelanto algo: casi todos tenían solución antes de que ocurriera.
Si quieres ir calentando motores, te dejo mi episodio, «Cómo HACKEAN a INFLUENCERS: Análisis del FRAUDE y cómo BLINDAR tu REPUTACIÓN».
Escucha:
Qué puedes hacer HOY para no ser el próximo
No hace falta esperar al 5 de noviembre para empezar a protegerte.
Estas son las acciones que más impacto tienen y menos tiempo cuestan:
- Aplica mi Regla del 3. Revisa quién te contacta (y el dominio real desde el que escribe), analiza lo que te envían (nada de comprimidos ni ejecutables) y examina el contexto y la urgencia.
- Activa la verificación en dos pasos con una app de autenticación, no con SMS.
- Pide siempre el contrato en PDF y desconfía de cualquier archivo que venga con instrucciones para ejecutarlo “como administrador”.
- Comunica de inmediato a tu audiencia si sufres una brecha, con transparencia sobre lo ocurrido.
- Ten un protocolo escrito de qué hacer si pierdes una cuenta, y compártelo con tu equipo.
Parece básico, ¿verdad?
Pues lo básico, aplicado de forma constante, evita la inmensa mayoría de los casos que llegan a mi mesa.
Y ya te lo avisé cuando me tocó vivirlo a mí con una suplantación en Instagram: estamos a un solo clic de ser hackeados, tanto tú como yo. Si ya te ha pasado, así ayudamos desde CyberBrainers a quienes han sufrido un fraude o han perdido el control de su reputación online.
Servicio de asesoramiento a víctimas de fraude
Desde CyberBrainers ofrecemos un servicio de asesoramiento a víctimas de cualquier tipo de fraude cibernético.
Gracias a él, revisamos cada caso por separado, te explicamos qué opciones tienes, y te ofrecemos soporte en aquello que necesites (ayuda legal, asesoramiento técnico para evitar problemas futuros…).
Además, si hay posibilidad de recuperar el dinero robado, te ayudamos con la recuperación.
Si has sido víctima de alguno de estos timos, ponte en contacto con nosotros y revisaremos el caso.
Un problema de DIFÍCIL SOLUCIÓN (y una cita en directo)
La conclusión que voy a defender en el escenario es incómoda: no existe una cuenta inhackeable, y menos cuando tu trabajo exige estar expuesto al público.
Lo que sí existe es la diferencia entre ser un objetivo fácil y ser un objetivo caro de atacar.
Y esa diferencia se construye con hábitos, con procesos y con información.
Por eso me hace tanta ilusión el Osintomático.
Es la mejor forma de que esta información llegue a quienes la necesitan, cara a cara y con tiempo para preguntar.
Así que ya sabes:
- 5 de noviembre.
- Osintomático.
- Charla de apertura: cómo hackean a influencers.
- Sorpresa de Ediciones PY para toda la comunidad ciber.
Si trabajas en ciberseguridad, si eres creador de contenido, si te dedicas al OSINT o simplemente te pica la curiosidad, te espero allí.
¿Has sufrido o conoces algún caso de una cuenta hackeada en tu entorno?
¿Qué técnica te gustaría que explicara con más detalle en la charla?
Te leo en comentarios, y abramos debate.
