Lo que publicas en Instagram lo están usando para lanzar campañas de phishing

El phishing es un problema importante, ya que puede comprometer contraseñas y servir para robar información personal. Es un clásico en los ataques en Internet, pero que ha ido mejorando con el paso del tiempo y adaptándose a nuevas estrategias. Estar preparados y no dar facilidades a los atacantes es fundamental. Te daremos también algunas recomendaciones sobre qué debes hacer.

Usan publicaciones de Instagram para mejorar los ataques phishing

Este hallazgo muestra un problema que está en aumento y es que los piratas informáticos ya no necesitan robar bases de datos, ni tampoco realizar tareas complejas y largas. Gracias a la IA y modelos de aprendizaje automáticos, pueden analizar fotos públicas, información de estas imágenes, detalles que los usuarios hagan públicos, información como la ubicación, aficiones o intereses, etc.

Todo esto lo pueden utilizar para crear correos electrónicos personalizados y que se adapten mejor a cada usuario. Básicamente, aprenden más de la posible víctima y así generan mensajes que sea más probable que puedan llegar a abrir o interactuar. Por ejemplo, si una persona realiza muchas publicaciones hablando sobre ciclismo, sube imágenes montado en bici y similares, podrían generar correos electrónicos relacionados con esta temática, por lo que la víctima no sospecharía tanto al recibir un e-mail de este tipo.

Estos investigadores, en sus pruebas, fueron capaces de generar unos 8.000 correos electrónicos de phishing utilizando cinco modelos de aprendizaje automático (LLM), como son GPT-4, Claude 3 Haiku, Gemini 1.5 Flash, Gemma 7B y Llama 3.3. Utilizaron únicamente la información pública disponible en Instagram.

Si pensamos en un ataque phishing de hace unos años, podemos mencionar un correo electrónico básico y que utilizan como plantilla para intentar atacar a miles de personas. En cambio, actualmente esto ha cambiado y se ha convertido en algo más personalizado, por lo que la probabilidad de éxito aumenta. Si utilizan las redes sociales, como es el caso de Instagram, los atacantes pueden obtener mucha información.

Cómo protegerte

Ten en cuenta que ahora no solo escriben mejor, de forma más realista, sino que pueden generar miles de correos en poco tiempo, lanzar ataques adaptados a móvil u ordenador mejor que antes, crear páginas prácticamente iguales que las originales o usar campañas multicanal y así atacar por SMS, e-mail, redes sociales o incluso llamadas.

Esto nos obliga a estar más preparados y lo principal siempre va a ser el sentido común. Ya no es tan sencillo de detectar el phishing como antes, ya que no utilizan faltas de ortografía o errores gramaticales que antes sí eran comunes, ni direcciones que son claramente falsas o mensajes sin mucho sentido. El contexto ahora mejora. No obstante, la mejor protección sigue siendo desconfiar de cualquier mensaje que recibas, aunque parezca que lo envía una empresa legítima.

En cuanto al caso de Instagram y el uso que están dando a las publicaciones, es clave limitar la exposición. Puedes convertir tu perfil en privado para que solo tus contactos puedan ver lo que publicas. Además, debes evitar poner información sensible o que puedan usar en tu contra, como podría ser el lugar de trabajo, aficiones concretas o sitios por donde te muevas para realizar dichas aficiones, etc. Todo lo que puedan usar para crear mensajes phishing, debes evitar exponerlo.

Debes evitar cosas como compartir tu itinerario de viaje en tiempo real, dar información exacta de tu trabajo o quiénes son tus compañeros, eliminar información antigua que pueda comprometerte o cuidar cualquier detalle como hábitos, tiempos, etc.

Igualmente, es fundamental proteger tus cuentas al máximo. Asegúrate de usar una buena contraseña y de habilitar la autenticación en dos pasos. Esto te ayudará a evitar que otros puedan entrar.