Estafa de nóminas: ciberdelincuentes usan la rutina empresarial para robar datos
Un nuevo método de phishing, impulsado por la manipulación de la rutina laboral, está desatando el pánico en empresas de España. Los ciberdelincuentes, aprovechando el verano y el descuido inherente a los empleados, están utilizando documentos falsificados que simulan las nóminas para acceder a información sensible.
El señuelo de la paga: una estrategia clásica, pero devastadora
Los investigadores de Ontinet han desentrañado una campaña que, paradójicamente, se basa en una práctica común: el envío de la nómina. Pero en lugar de ofrecer una comunicación legítima, el correo electrónico inicial, a menudo sin remitente claro, contiene un documento adjunto con un enlace que parece ser la información salarial. Sin embargo, al hacer clic, el usuario es redirigido a una página web que imita a Adobe Acrobat Reader, generando una falsa sensación de seguridad.
Esta es la clave del éxito: la familiaridad. Los usuarios, acostumbrados a recibir documentos similares, son más propensos a ignorar las señales de alerta y a confiar en el enlace, descargando un archivo malicioso que, tras ejecutarse, compromete la seguridad del sistema.
El payload: más allá de la descarga
Una vez completada la descarga, el archivo infecta el sistema, ejecutando un script que modifica las claves de acceso del navegador y debilita las protecciones de seguridad. El objetivo final es extraer información confidencial, incluyendo datos de tarjetas de crédito y credenciales bancarias. Como señala Josep Albors, director de investigación y concienciación de ESET España, “esta es una manifestación muy clara de cómo operan las campañas de phishing, aprovechando una rutina real dentro de las empresas”.
La Guardia Civil ha lanzado una alerta urgente por esta estafa, que se ha propagado rápidamente por todo el territorio nacional. La facilidad con la que se puede llevar a cabo el ataque, combinada con la naturaleza confidencial de la información que se busca robar, la convierte en una amenaza real y presente.
El riesgo es palpable. No se trata de una vulnerabilidad técnica compleja, sino de una manipulación psicológica que explota la confianza y la rutina de los empleados. Un error de un solo clic puede tener consecuencias devastadoras.