Correos denunció este martes el hackeo de su cuenta de Twitter @CorreosAtiende. A primera hora de la mañana en este perfil de la empresa estatal comenzaron a aparecer mensajes de contenido inapropiado: “Si necesitas enviar droga en tus paquetes, no dudes en usar nuestro servicio”, afirmaba uno de los primeros. Aún no se ha identificado al autor de los hechos y la cuenta cambió de nick a @CorreosAtiende_ .
Nuestro servicio es una basura, pero somos expertos en el transporte de droga.
— CorreosAtiende (@CorreosAtiende_) October 15, 2019
Mientras tanto, desde la cuenta principal de Correos en esta red social se enviaron mensajes alertando del hackeo y se pidió a todos los usuarios que ignorasen cualquier contenido que pueda haber aparecido en el perfil robado y que no respondan a ningún mensaje directo. Según informaron fuentes de la compañía, la misma mañana del martes se habían puesto en contacto con los responsables de Twitter en España para abordar el problema y mientras estaban trabajando para recuperar el perfil.
La cuenta @CorreosAtiende (ahora @CorreosAtiende_) es el perfil oficial del servicio de atención al cliente de la compañía, en la que se responde a las dudas y reclamaciones de los usuarios y que antes del incidente contaba con más de 18.000 seguidores. Algunos medios citaron fuentes cercanas a la empresa para señalar que los equipos de seguridad informática de Correos no creen posible que los atacantes hayan accedido a información de ningún cliente a través de los mensajes directos de Twitter, ya que Correos Atiende nunca pide los datos sino simplemente la información de pedido.
Antecedentes
El hackeo ha ocurrido sólo unos días después de que se detectase otro ciberataque que también afecta a Correos. En este caso se trataba de una estafa de phising por SMS en el que los delincuentes envían una notificación de entrega e invitan a hacer clic en un enlace para poder recibir un paquete. El texto que se envía es el siguiente: Estimado cliente, su paquete no se ha podido entregar porque no se han pagado las tasas de aduana (€ 1). Siga las instrucciones: http://f60.me/. Una vez en la página de este enlace se piden los datos bancarios. Aunque Correos ha advertido a sus clientes que extremen las precauciones y recuerda que nunca solicita este tipo de datos por SMS.
Por otro lado, no es tampoco el único caso reciente de robo de identidad de un organismo público. La Universidad Pública de Navarra y el Servicio de Empleo de Andalucía han sido víctimas de ataques similares en las últimas semanas. En el caso del segundo, al robo de identidad se sumó la difusión de mensajes y amenazas contra políticos.
Riesgo para las empresas
El phising y la ingeniería social suponen un problema para la seguridad de las empresas, ya que los cibercriminales sólo necesitan manipular a un empleado para entrar en la red o, como en este caso, robar perfiles. Hay algunas cosas que puedes hacer al respecto, aunque más allá de las buenas prácticas es recomendable disponer de una solución de ciberseguridad avanzada, que permite dar una respuesta continua e inmediata.
- La verificación en dos pasos no puede depender de un SMS. Si el mensaje es interceptado los hackers tendrían acceso directo a tus cuentas o perfiles.
- Utiliza contraseñas (dinámicas) de un solo uso. Puedes recurrir a la tecnología One-Time Password Algorithm, que proporciona una contraseña solo válida para la autenticación.
- Duda, pregunta y confirma. Ante cualquier duda o comportamiento inusual conviene ponerse en contacto los responsables de ciberseguridad.
- Establece un protocolo de comunicación. Se debe formar a todos los empleados para que sean conscientes de que hay información que nunca se debe compartir por mail o SMS, incluso si parece que ha sido solicitada por un compañero.