CNP Escala Básica | Tema 41

Ciberdelincuencia y agentes de la amenaza: ataques, malware y actores

Este tema aparece con frecuencia en los exámenes de la oposición a Policía Nacional, escala básica. Exige conocer con precisión cada tipo de ciberataque, sus diferencias y la terminología técnica asociada. Dominar las definiciones y saber distinguir amenazas similares (phishing frente a pharming, spoofing frente a skimming) marca la diferencia en el test.

Tipos de hackers

Un hacker es un experto en tecnología que trata de superar los límites de los sistemas informáticos. No todos los hackers actúan con fines delictivos. La clasificación principal es:

• White Hat: hackers éticos que prueban la seguridad de redes con autorización para detectar y corregir vulnerabilidades.
• Black Hat: acceden sin autorización a sistemas para robar información, venderla o destruir infraestructuras.
• Gray Hat: actúan en una zona intermedia, sin intención clara de robar ni de ayudar a nadie en particular.
• Blue Hat o Script-kiddies: carecen de conocimientos profundos y usan herramientas ajenas de forma dañina, buscando notoriedad.

Existen también los hacktivistas, que atacan sitios gubernamentales con fines políticos o sociales, y los phreakers, especializados en telefonía fija y móvil.

Botnet y denegación de servicio

Botnet

Una botnet es una red de dispositivos infectados (llamados «ordenadores zombie») controlados por uno o varios ciberdelincuentes. La infección se produce a través de código malicioso en páginas web o correos electrónicos. La víctima no es consciente de que su dispositivo forma parte de la red. Las botnets se utilizan para propagar virus, enviar spam masivo y cometer fraudes.

Denegación de servicio (DDoS)

El ataque DDoS (Distributed Denial of Service) consiste en saturar un servidor web con peticiones simultáneas desde múltiples equipos hasta que deja de funcionar. Habitualmente se emplean los dispositivos de una botnet para multiplicar la potencia del ataque. El resultado es que las páginas web se caen y quedan inaccesibles para los usuarios legítimos.

Ingeniería social y phishing

La ingeniería social no ataca dispositivos, sino personas. Su objetivo es manipular a la víctima para que entregue información personal o permita el control de sus equipos. Las variantes principales son:

• Phishing: envío de mensajes que suplantan a entidades legítimas (bancos, redes sociales, empresas de paquetería), redactados con urgencia para que la víctima actúe sin pensar.
• Vishing: la misma técnica, pero ejecutada por llamada telefónica.
• Smishing: suplantación realizada mediante SMS.

Spear phishing

A diferencia del phishing genérico, el spear phishing selecciona víctimas concretas y previamente estudiadas, como altos directivos de empresas o cargos gubernamentales. El mensaje está personalizado para resultar creíble.

Malware: spyware, troyano y ransomware

Malware es cualquier programa malicioso que ejecuta acciones dañinas en un sistema informático. Los tres tipos más preguntados en examen son:

Spyware

Recopila información del usuario y supervisa toda su actividad para compartirla con un atacante remoto. También puede descargar software malicioso adicional.

Troyano

Se camufla como software legítimo. Una vez instalado, permite controlar el equipo, robar datos y propagarse a otros dispositivos.

Ransomware

Cifra el acceso al dispositivo, discos duros o archivos y exige un «rescate» económico para devolver el acceso. Una variante conocida es el Police ransomware, que simula ser un aviso policial para intimidar a la víctima.

Pharming y spoofing

Pharming

Combina los términos «phishing» y «farming». Manipula el DNS para redirigir al usuario a una web falsa sin que este lo advierta. Puede atacar el DNS local (archivo hosts del equipo) o directamente los servidores DNS. Su peligro radica en que no requiere que el dispositivo esté previamente infectado.

Spoofing

El spoofing es la suplantación de identidad, ya sea de una persona, una web o una entidad. Sus variantes son:

• IP spoofing: el atacante falsifica su dirección IP.
• Web spoofing: replica exacta de una página web legítima.
• Email spoofing: suplantación del correo de una persona o entidad.
• DNS spoofing: manipulación del DNS para redirigir tráfico, similar al pharming.

Otros ciberataques relevantes

Business E-mail Compromise (BEC)

Estafa dirigida a empresas mediante correo electrónico. El atacante busca acceder a información comercial sensible o extraer dinero directamente.

Cartas nigerianas

Conocidas también como fraude 419 (por el artículo del código penal nigeriano). Consisten en engañar a la víctima prometiendo una fortuna inexistente para obtener acceso a su cuenta bancaria.

Cryptojacking

Utiliza los recursos del dispositivo de la víctima para minar criptomonedas sin su consentimiento. No roba datos; consume capacidad de procesamiento. Se clasifica como ataque de malware.

Skimming

Robo de información de tarjetas de crédito o débito mediante la copia de su banda magnética para clonarlas. Se ejecuta con dispositivos físicos instalados en cajeros automáticos o terminales de pago.

Inyección SQL

SQL es el lenguaje de las bases de datos. El atacante inyecta código malicioso en la base de datos de una aplicación web para acceder, monitorizar o destruir la información. Utiliza elementos input, cadenas de consulta, cookies y archivos como vectores de entrada.

XSS (Cross-Site Scripting)

Permite inyectar código (generalmente JavaScript) en aplicaciones web. El atacante puede robar cookies de sesión y acceder a cuentas de usuario. También afecta a aplicaciones de escritorio y navegadores.

Zero-day

Una vulnerabilidad zero-day (día cero) es un fallo de seguridad recién descubierto para el que aún no existe parche. Los atacantes la explotan antes de que el fabricante pueda corregirla. Suelen emplearse en ataques APT por su alto valor estratégico.

Cibercriminales, APTs y Cyber Kill Chain

Cibercrimen abarca toda actividad delictiva que implique ordenadores y redes informáticas. Dentro de este ecosistema destacan dos conceptos:

• Crime as a Service (CaaS): hackers experimentados que venden acceso a sus herramientas y conocimientos a terceros. El servicio más demandado es el phishing.
• Insider Threat: amenaza interna procedente de empleados, exempleados o socios comerciales que conocen los sistemas de seguridad de la organización.

APT (Amenaza Persistente Avanzada)

Ataque prolongado y sofisticado contra un objetivo concreto (empresa o Estado), ejecutado por múltiples frentes y usando frecuentemente vulnerabilidades zero-day. Los grupos APT más conocidos están vinculados a gobiernos (Estados Unidos, Rusia, China). Sus fines son el ciberespionaje, el sabotaje industrial o el beneficio económico.

Cyber Kill Chain

Metodología desarrollada por Lockheed Martin que descompone un ciberataque en siete fases: reconocimiento, preparación, distribución, explotación, instalación, comando y control, y acción sobre el activo. Permite a los equipos de defensa identificar en qué fase se encuentra un ataque y actuar en consecuencia.

¿Qué diferencia al pharming del phishing convencional?

El phishing engaña a la víctima mediante un mensaje falso para que pulse un enlace. El pharming manipula directamente el DNS (local o del servidor) para redirigir al usuario a una web fraudulenta sin necesidad de que este haga clic en ningún enlace ni de que su dispositivo esté previamente infectado.

¿En qué se distingue el spear phishing del phishing genérico?

El phishing se envía de forma masiva a miles de destinatarios sin discriminación. El spear phishing selecciona víctimas específicas, como altos directivos o cargos gubernamentales, y personaliza el mensaje tras un estudio previo del objetivo para hacerlo más creíble.

¿Cuántas fases tiene la Cyber Kill Chain y cuál es su función?

La Cyber Kill Chain tiene siete fases: reconocimiento, preparación, distribución, explotación, instalación, comando y control, y acción sobre el activo. Fue desarrollada por Lockheed Martin para dividir un ciberataque en etapas identificables y permitir a los defensores detectar y frenar la amenaza en cualquier punto de la cadena.

¿Qué es una vulnerabilidad zero-day y por qué se asocia a los ataques APT?

Es un fallo de seguridad descubierto recientemente para el que no existe aún parche ni solución. Los grupos APT las utilizan porque les permiten explotar sistemas sin que las defensas convencionales las detecten, lo que resulta esencial en operaciones de ciberespionaje prolongado contra Estados o grandes corporaciones.