Centro Criptológico Nacional  Mercenarios del cibercrimen: ataques de 'pishing' a 40 euros en la «dark web»

El cibercrimen se ha consolidado como un negocio en expansión. Esta es una realidad innegable, que viene siendo constatada por las principales instituciones responsables de velar por la ciberseguridad en España. Es el caso del Centro Criptológico Nacional (CCN-CERT), que lanza una clara alerta en su último informe de riesgos. Una alerta que el Centro también constata en el «Observatorio de riesgos de ciberseguridad». Una de las «especializaciones» que se ha detectado en este oscuro ámbito es la de los cibercriminales «a la carta». En este sentido, se está consolidando el concepto de cibercrimen como servicio (CaaS por su sigla en inglés: Cybercrime-as-a-Service): determinados cibercriminales prestan sus habilidades a otros delincuentes.

Esto significa que un grupo criminal sin conocimientos tecnológicos pueden lograr realizar ciberataques a través del uso de software de terceros y la contratación externa de grupos especializados. Entidades como el MIT5 han subrayado que la facilidad de contratar estos servicios «elimina barreras que anteriormente marcaban un freno a la expansión del cibercrimen». Igualmente, diversos estudios recogidos por ENISA entre 2022 y 2023 destacan que en la dark web pueden adquirirse paquetes para ejecutar ataques de phishing por tan solo 40 euros, según indica el informe del Observatorio.

¿Qué es el phishing? El Instituto Nacional de Ciberseguridad (Incive) lo define como «una técnica que consiste en el envío de un correo electrónico por parte de un ciberdelincuente a un usuario simulando ser una entidad legítima (red social, banco, institución pública, etc.) con el objetivo de robarle información privada, realizarle un cargo económico o infectar el dispositivo. Para ello, adjuntan archivos infectados o enlaces a páginas fraudulentas en el correo electrónico». Las Fuerzas de Seguridad han detectado un incremento progresivo de este tipo de campañas, que incluso han tratado de suplantar a la propia Policía Nacional.

Europol ha detectado que los ciberdelincuentes emplean además redes de lavado de dinero cada vez más complejas, herramientas de phishing más verosímiles y softwares con mayor capacidad para penetrar en los sistemas de las víctimas. Una de las asignaturas pendientes para numerosas empresas y Administraciones es, precisamente, que no han incrementado su nivel de protección al ritmo de evolución del cibercrimen, y por lo tanto, son vulnerables.

Uno de los problemas más serios a la hora de detectar estas prácticas es la dificultad para localizar a los cibercriminales, que emplean herramientas como el cifrado de datos, las redes privadas virtuales (VPN) o direcciones IP dinámicas para operar de forma anónima. «La dificultad para salvar estas barreras por parte de los instrumentos de persecución penal actúa como un mecanismo de protección que permite a los criminales ejercer su actividad al margen de la ley», concluye el Observatorio. En este sentido, hay que remarcar que algunos estados, como Rusia o China, han sido acusados por el gobierno de Estados Unidos de proteger a los cibercriminales que actúan sobre terceros países. De este modo, se obstaculiza llevar a cabo acciones judiciales contra determinados grupos criminales, favoreciendo que operen sin limitaciones.