Módulo 2 · Los ataques, contados en un caso: una semana en el Club Limbreda
Lunes · El correo del tesorero
Objetivo del módulo: reconocer los tipos de ataque más frecuentes (robo de credenciales, toma de control de una cuenta, fraude de cambio de cuenta, malware, vulnerabilidades sin parchear, relleno de credenciales, ransomware, ingeniería social por teléfono, error humano) viéndolos ocurrir uno detrás de otro en una organización pequeña, decidiendo en cada uno y entendiendo qué habría parado cada cosa.
El caso
El Club Limbreda (ficticio) es un club deportivo de barrio: unos 300 socios, una web hecha con un gestor de contenidos corriente, un ordenador compartido en la sede y una hoja de cálculo con los socios. Tú llevas la web y la lista de socios como voluntario. Aurelio es el tesorero; Carla, la presidenta; Teo ayuda con las redes sociales. No hace falta trabajar en ninguna empresa para estar aquí: le puede pasar a una asociación, a una peña, a una familia. En cada escena decides; después ves qué tipo de ataque era y qué lo habría parado.
Caso práctico · escena 1
Caso
Qué hacer: lee lo que pasa y elige. Cada elección tiene su consecuencia y puedes repetir el caso las veces que quieras.
Lunes, 09:15
Situación. Lunes, 09:15. Aurelio, el tesorero, recibe un correo de «la entidad bancaria del club»: «Hemos detectado un acceso inusual. Confirme su identidad en las próximas 24 horas para evitar el bloqueo de la cuenta.» Botón: «Confirmar ahora». Aurelio te reenvía el correo: «¿Esto es de verdad? Lo hago y ya, ¿no? Que no nos bloqueen la cuenta de las cuotas.»
Decisión 1 · ¿Qué le dices?
Ver todo el caso como texto
n0 · Lunes, 09:15
Situación. Lunes, 09:15. Aurelio, el tesorero, recibe un correo de «la entidad bancaria del club»: «Hemos detectado un acceso inusual. Confirme su identidad en las próximas 24 horas para evitar el bloqueo de la cuenta.» Botón: «Confirmar ahora». Aurelio te reenvía el correo: «¿Esto es de verdad? Lo hago y ya, ¿no? Que no nos bloqueen la cuenta de las cuotas.»
- A) «Hazlo rápido, que no nos bloqueen.» → f-0-A
- B) «No pulses nada. Entra en el banco como siempre, por la aplicación o escribiendo la dirección, y mira si hay algún aviso. Y manda el correo a la dirección de fraude del banco.» → f-0-B
- C) «Pásaselo a Carla, que lo decida ella.» → f-0-C
f-0-A · Final «Camino malo»
Aurelio entra en la página del botón, que es una copia de la del banco, y escribe su usuario y su contraseña. No pasa nada visible.
Lección: Acaba de dar las llaves.
f-0-B · Final «Camino bueno»
en el banco no hay ningún aviso. El correo era falso.
Lección: en el banco no hay ningún aviso. El correo era falso.
f-0-C · Final «Camino malo»
Carla, con prisa, le dice que lo haga.
Lección: Delegar no cambia el resultado si nadie comprueba.
Qué era: robo de credenciales por phishing
Es el ataque más frecuente y el que ya conoces de «Phishing», así que aquí solo lo situamos: un mensaje que suplanta a alguien de confianza (el banco, un proveedor, la nube) y que te lleva a una página falsa donde escribes tu contraseña. No hace falta ninguna técnica sofisticada: hace falta prisa, miedo y una copia razonable de una web.
Dos ideas para el resto de la semana:
- Lo que roba el phishing no es dinero directamente: roba credenciales. Lo que pasa después depende de para qué sirvan esas credenciales. En el caso del club, para la cuenta bancaria y, como Aurelio repite contraseña, para su correo.
- La defensa no es «ser listo»: es no entrar nunca desde un enlace, tener segundo factor y avisar. Si en el camino A Aurelio hubiera tenido segundo factor en el banco, la contraseña robada no habría bastado.
Cuando termines, sigues con «Martes · La cuenta robada».