Uso de redes sociales en empresas o emprendimientos
Recomendaciones
¿Qué riesgos existen?
Suplantación de identidad en redes sociales
En los últimos años, este tipo de actividades han aumentado considerablemente junto con el incremento en el uso de las redes sociales, las cuales se han convertido en una herramienta para diferentes actores maliciosos. Se puede suplantar una identidad sin necesidad de tener acceso a credenciales de un usuario. Alcanza con tomar información de perfiles (imágenes y datos), que hoy personas o empresas comparten en redes sociales de forma pública.
Algunos métodos utilizados en la obtención de datos:
- Recolección de datos obtenidos a partir de fuentes públicas.
- Recolección de datos personales mediante la instalación de aplicaciones de terceros en redes sociales. Esta información es utilizada para diferentes fines, que van desde la minería de datos hasta el uso malintencionado por parte de atacantes.
- Llamadas telefónicas y/o mensajes de Whatsapp suplantando la identidad de compañías establecidas (bancos, empresas proveedoras de servicios de TV para abonados, telefonía, electricidad, entre otros) que solicitan información sensible (datos de tarjetas, contraseñas de cuentas, entre otros).
- Descargas de malware a través de un archivo o enlace malicioso compartido por un contacto previamente comprometido.
- Phishing con o sin enlaces, que pueden ser recibidos por algún contacto de quien haya sido víctima de una suplantación de identidad en el que se solicitan distintos tipos de información como, por ejemplo, el código SMS de verificación de Whatsapp, que le permitiría tomar control de la cuenta.
Secuestro de cuenta
Un ejemplo en Whatsapp:
Es posible que un atacante acceda a tu sesión de Whatsapp, a través del mecanismo de verificación de la red, pudiendo acceder, leer y enviar mensajes y archivos a contactos y grupos.
Como Whatsapp solo permite una sesión en simultáneo, si un atacante registra tu número en otro teléfono y logra completar la autenticación, podrías perder el acceso a Whatsapp en tu teléfono.
Cuando tu número es registrado en otro teléfono, Whatsapp envía un SMS de verificación a tu número, incluyendo un código de 6 dígitos y un enlace al cual dirigirte para confirmar la autenticación. Simplemente haciendo clic en él, el atacante podría terminar el registro de tu cuenta en su teléfono. También podría complementar el ataque con un mensaje que envía simulando ser uno de tus contactos y solicitándote que le envíes el código que te mandó Whasapp.
Whatsapp, en su FAQ nos aclara que, en caso de no haber solicitado el código, se debe a que alguien "accidentalmente" introdujo nuestro número y que debemos ignorarlo.
Este consejo es válido también para cualquier otro servicio en el que, al momento del alta, se verifica mediante SMS, correo electrónico u otro medio. Si no nos hemos dado de alta recientemente, no hemos solicitado código de verificación y recibimos un mensaje con un código o enlace de verificación, nunca se debe compartir ese código con nadie ni acceder en ningún enlace, ya que de esta manera estaríamos completando el proceso de alta del atacante.
¿Cómo hacerlo de forma segura?
Correo electrónico:
- Generar una dirección de correo electrónica y solo usarla para las redes sociales de tu empresa.
- La dirección de correo electrónico debe ser diferente al correo personal.
- Establecer una contraseña segura y única para ese sitio.
Comprobar que la dirección correo electrónico, teléfono y/o contraseñas no se han visto comprometidas:
Buscar si existen cuentas “clones”:
Complementar la seguridad de los dispositivos:
 |  |  | |
Utilizar versiones empresariales y contraseñas seguras | Instagram-business | Facebook-business | Whatsapp-business |
| Configurar los parámetros de seguridad y privacidad | Instagram-business | Facebook-business | |
Mantener las apps siempre actualizadas | |||
| Habilitar el doble factor de autenticación |
¿Qué hacer ante un incidente con mi red social?
¿Qué hacer si otro sitio simula ser el de mi empresa?
- Denunciar a la red social la cuenta que te están suplantando
- Advertir a tus contactos del perfil ilegítimo
| | | |
Me hackearon la cuenta | |||
Me suplantaron la identidad | |||
Me robaron el teléfono |