Hace unos días volví a tener el placer de charlar con Ana Siles, periodista de Consumidor Global, para una de esas entrevistas que ponen sobre la mesa temas tan inquietantes como actuales: Pegasus, sextorsión digital y la ya habitual oleada de ciberdelincuencia basada en el miedo.
Y digo «volver», porque ya han sido varias las ocasiones en las que Ana ha contado conmigo para contextualizar algunos de los casos más mediáticos en el terreno de la ciberseguridad y la reputación online. Esta vez, sin embargo, el foco no estaba tanto en una amenaza real, sino en una estafa que se disfraza de espionaje de Estado.
Así que aprovecho esta publicación para ir más allá de la entrevista y compartir contigo no solo lo que comentamos allí, sino también qué debes hacer si recibes un email así, cómo identificar que es una estafa y cómo podemos ayudarte desde CyberBrainers si alguna vez caes en una de estas trampas digitales.
Qué es Pegasus y por qué no deberías obsesionarte (a no ser que seas una figura pública)
Pegasus no es un mito.
Imagínate recibir de manera totalmente gratuita este tipo de historias directamente en tu correo.
Te envío cada lunes a las 7am un email con toda la actualidad sobre tecnología, seguridad y negocios digitales.Como ya expliqué hace años, es un spyware de nivel militar desarrollado por la empresa israelí NSO Group, usado por algunos gobiernos (y en ocasiones mal utilizado por otros) para espiar móviles de periodistas, activistas, políticos y personas en el punto de mira.
Este software malicioso puede infectar tu móvil sin que hagas clic en nada. Basta con recibir un mensaje por WhatsApp o una llamada perdida para que Pegasus aproveche vulnerabilidades del sistema y empiece a recopilar absolutamente todo: conversaciones, contraseñas, ubicación, archivos privados…
De hecho, y por ponerte un ejemplo, es con lo que hackearon hace años el iPhone de Jezz Bezos, dueño de Amazon y una de las personas más ricas del mundo.
Ese es el nivel.
¿Puedes detectarlo? Técnicamente sí, pero necesitas herramientas forenses muy avanzadas. De hecho, ni siquiera Apple o Google consiguen frenarlo siempre a tiempo.
En CyberBrainers, hemos tenido casos de clientes —figuras públicas, directivos, incluso influencers con cientos de miles de seguidores— que temían estar espiados, y ahí entra nuestro trabajo: análisis de dispositivos, revisión de logs, búsqueda de comportamientos sospechosos…
Pero seamos sinceros: la mayoría de nosotros no somos objetivos reales de Pegasus.
De hecho, hay una razón de peso que evita que prácticamente cualquiera de nosotros pueda ser víctima de Pegasus, y es que cada infección le cuesta a los cibercriminales decenas de miles de dólares.
Por este mismo motivo, no es un spyware que se use masivamente. Para eso existen otros mucho menos avanzados, y también menos efectivos.
Ejemplo de un email que analicé hace años con un fraude semejante
Cuando el miedo es la estafa: así funciona el falso “mail de pegasus”
Y aquí es donde entra la trampa.
Miles de personas están recibiendo correos electrónicos con este mensaje (o uno parecido):
“Te hemos infectado con Pegasus.
Tenemos vídeos tuyos comprometedores.
Si no pagas, los enviaremos a tus contactos”.
A veces, el correo incluso aparece como si fuera enviado desde tu propia dirección. Y eso asusta.
A eso se le llama email spoofing.
Una técnica vieja como el correo electrónico, que permite modificar el campo del remitente para que parezca que el mensaje lo has enviado tú mismo.
Pero no: no te han hackeado, no tienen tus vídeos, y en el 99,9% de los casos, es simplemente un ejercicio de ingeniería social.
Este tipo de timo tiene nombre: sextorsión digital.
El delincuente sabe que si logra hacerte dudar durante 10 segundos, quizá reacciones con miedo y pagues.
Y si no tú, lo hará otro.
Cómo saber si tu correo ha sido hackeado de verdad (o si es puro teatro)
Una de las preguntas que Ana me lanzó en la entrevista fue: ¿Cómo puede una persona saber si realmente han accedido a su cuenta de email?
La respuesta rápida: comprobando si sus credenciales han sido filtradas en alguna brecha de seguridad.
En CyberBrainers, esto lo hacemos casi a diario. Usamos herramientas de ciberinteligencia para detectar si tu dirección de correo (y las contraseñas asociadas) han aparecido en filtraciones masivas.
A veces, ese dato es el que usan los atacantes para hacer más creíble su amenaza: incluyen en el mensaje una contraseña antigua tuya, y eso ya basta para sembrar el miedo.
También analizamos el rastro digital que ha dejado tu cuenta: si ha habido inicios de sesión desde ubicaciones inusuales, si han usado tu correo para enviar spam, si tu nombre aparece asociado a servicios fraudulentos…
Y si el acceso ha sido real, pasamos a la acción para ayudarte a recuperar el control y limpiar tu imagen digital.
Qué debes hacer si recibes un mail así (spoiler: no pagar)
Recibir un correo que simula haber sido enviado por ti mismo, que asegura tener vídeos tuyos íntimos y que amenaza con compartirlos… no es agradable.
Pero antes de entrar en pánico, sigue estos pasos:
- No respondas al email. Ignora cualquier instrucción que te dé.
- No pagues nada, por mucha presión emocional que intente generar.
- Cambia tus contraseñas, empezando por las de mayor riesgo (correo, redes sociales, banca online).
- Activa la autenticación en dos pasos en todos los servicios que la ofrezcan.
- Haz una comprobación de filtraciones (puedes usar servicios como HaveIBeenPwned o acudir a un equipo profesional como el nuestro).
- Y si quieres quedarte tranquilo del todo, contáctanos. En CyberBrainers auditamos tu huella digital, evaluamos el riesgo real y, si lo necesitas, gestionamos incluso denuncias y desindexación de contenido dañino.
Una parte importante de mi trabajo como consultor en presencia digital no tiene que ver con eliminar contenido, sino con educar a las personas sobre cómo no caer en estas trampas.
La mayoría de los ciberdelincuentes no necesitan conocimientos técnicos avanzados. Lo que dominan es el arte de manipular emocionalmente. Y en una sociedad donde todos tenemos algo que temer (o que al menos no queremos que se haga público), un correo bien escrito puede bastar para hacer que mucha gente pague sin pensar.
Es el mismo mecanismo que está detrás del phishing, el vishing, el fraude del CEO o las estafas románticas. Y es también lo que nos empuja a actuar sin verificar, sin preguntar, sin analizar.
Cómo prevenir la próxima amenaza (porque habrá una próxima)
En seguridad digital no hay soluciones mágicas, pero sí buenas prácticas:
- Usa contraseñas únicas y robustas, y no repitas credenciales en distintos servicios.
- Mantén tus sistemas actualizados. Las vulnerabilidades sin parchear son puertas abiertas.
- Evita conectarte a redes Wi-Fi públicas sin protección.
- Sé escéptico con lo que te llega por correo o por mensajería: si algo suena urgente, alarmista o demasiado bueno para ser verdad, probablemente lo sea.
- Y sobre todo: invierte en tu reputación digital igual que lo haces con tu salud o tu negocio.
Y si pasa algo, no estás solo: así te ayudamos desde cyberbrainers
Cada semana llegan a nosotros personas que han sido víctimas de estafas digitales, amenazas reputacionales o simplemente no saben si lo que han recibido es real o no.
Y ahí es donde entra nuestra experiencia:
- Hacemos auditorías de exposición digital para saber qué datos tuyos están en la red.
- Detectamos vulnerabilidades en tu entorno digital y las corregimos.
- Eliminamos o desindexamos contenido dañino o potencialmente peligroso para tu imagen o la de tu empresa.
- Y te ayudamos a blindar tu presencia digital para que estés preparado ante la próxima ola de ataques, que llegará. Porque esto no va de si ocurrirá, sino de cuándo.
Que Pegasus exista no significa que estés en su punto de mira. Pero que alguien use su nombre para asustarte sí es muy probable.
Y ahí es donde la información marca la diferencia. Donde la educación digital, la prevención y la respuesta profesional pueden evitarte más de un susto… o de una pérdida económica seria.
Gracias de nuevo a Ana Siles y a Consumidor Global por dar espacio a estas conversaciones que tanta falta hacen. Y si tú, que estás leyendo esto, has recibido un correo así o simplemente quieres estar más protegido, sabes dónde encontrarme.
Servicio de asesoramiento a víctimas de fraude
Desde CyberBrainers ofrecemos un servicio de asesoramiento a víctimas de cualquier tipo de fraude cibernético.
Gracias a él, revisamos cada caso por separado, te explicamos qué opciones tienes, y te ofrecemos soporte en aquello que necesites (ayuda legal, asesoramiento técnico para evitar problemas futuros…).
Además, si hay posibilidad de recuperar el dinero robado, te ayudamos con la recuperación.
Si has sido víctima de alguno de estos timos, ponte en contacto con nosotros y revisaremos el caso.
