El Instituto Nacional de Ciberseguridad (Incibe) ha emitido una advertencia urgente sobre una nueva campaña de suplantación de identidad (phishing) que está afectando a autónomos y pequeños negocios. Detectado a finales de la semana pasada, el ataque masivo busca la suplantación de la identidad de la Fábrica Nacional de Moneda y Timbre (FNMT), con el objetivo de engañar a los usuarios con su certificado de firma digital obligándoles a que descarguen un archivo infectado. El problema, en esta ocasión, es la enorme verosimilitud del engaño, así como la importancia de estos certificados, que los autónomos utilizan para realizar cientos de trámites con la Administración a través de Internet.
Según en Incibe, el impacto de esta campaña en el colectivo por cuenta propia podría llegar a ser devastador. Toda vez que la mayoría de los negocios de estos segmentos dependen de su firma electrónica para realizar todo tipo de trámites oficiales, y cualquier incidente de seguridad que comprometa sus dispositivos puede significar desde la pérdida de datos críticos hasta el robo de fondos, sin hablar del secuestro de información.
En concreto, la reciente campaña distribuye software malicioso a través de correos electrónicos fraudulentos, simulando una comunicación oficial de la FNMT, que es precisamente la institución responsable de emitir estos certificados digitales. Así, el mensaje que reciben los destinatarios les informa de la supuesta disponibilidad de su documento, invitándolos a descargar un archivo adjunto que, en realidad, esconde un ejecutable malicioso.
Como informó Incibe, un aspecto característico de este correo electrónico es su asunto, el cual generalmente utiliza el título “Disponibilidad del certificado FNMT-RCM”. Sin embargo, no se descarta que se utilicen otros textos similares, todos ellos con el fin de crear una apariencia de oficialidad y urgencia. El remitente también aparenta ser una dirección de la FNMT, con una cuenta bajo el dominio falso fnmt.es, y emplea técnicas de suplantación de correo (email spoofing), que hacen que el mensaje parezca más que legítimo. Lo que puede llevar a cualquier incauto a picar con este fraude ideado especialmente para autónomos.
El mensaje envía un archivo ejecutable infecta los dispositivos de los autónomos
Por su parte, el archivo adjunto tiene la terminación .iso, que está comúnmente asociada a imágenes de disco, pero que Windows es capaz de abrir de forma predeterminada como un documento comprimido. En realidad, se trata de un archivo ejecutable que, en el momento en el que el destinatario lo abre, infecta por completo el dispositivo en el que se haya recibido el mensaje.
Según el propio Incibe, al analizar este archivo en la plataforma VirusTotal, se detecta como un virus troyano altamente peligroso, que obtiene una puntuación de 10 sobre 10 en el análisis de peligrosidad de la herramienta Triage, evidenciando el alto riesgo que supone.
El software malicioso denominado keylogger, como ya explicó en su momento este diario, es un tipo de programa informático diseñado para registrar y almacenar cada pulsación de teclas que realiza el usuario en su ordenador, sin que este lo advierta. Esta clase de programas infectados resultan especialmente peligrosos para los pequeños negocios, ya que permiten a los ciberdelincuentes obtener datos sensibles, como credenciales de acceso a cuentas bancarias, plataformas de gestión o correos electrónicos, pasando desapercibido.
Recomendaciones para autónomos y negocios para evitar el robo de sus datos
El Incibe recomienda a quienes reciban un correo de estas características que no descarguen el archivo adjunto, ni accedan a ningún enlace contenido en el mensaje. En caso de haberlo descargado sin ejecutarlo, deben eliminarlo inmediatamente y vaciar la papelera de reciclaje. Para quienes ya hayan ejecutado el archivo, las instrucciones son:
- Desconectar el ordenador infectado de internet.
- Analizar el equipo con un antivirus.
- Si la infección persiste, considerar formatear el dispositivo o restaurarlo a su configuración de fábrica.
Además, el Incibe recomienda a las víctimas recopilar toda la evidencia posible, como capturas de pantalla y datos del correo electrónico, para que puedan presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado. También sugiere implementar medidas de protección adicionales, como el uso de copias de seguridad frecuentes, que pueden resultar vitales para minimizar el impacto de una infección en caso de ataque.
El Incibe ya detectó un caso similar hace un año
No es la primera vez que se detecta una campaña de suplantación de identidad dirigida a usuarios españoles suplantando la identidad de la FNMT. Hace un año, en octubre de 2023, el Incibe también alertó sobre una ofensiva similar, en la que los atacantes utilizaban tanto la identidad de la FNMT como la de la Agencia Tributaria (AEAT). Aquella campaña tenía por objetivo distribuir un software malicioso de tipo stealer, esto es, diseñado para capturar información personal y confidencial de los dispositivos infectados.
Los correos fraudulentos de 2023 presentaban ciertos detalles llamativos que, aunque parecían inofensivos, eran claras señales de alerta: errores de redacción, falta de logos oficiales y una estructura confusa en el mensaje. Los asuntos de estos correos incluían frases como “AEAT – Aviso de Notificación” y “Caducidad de tu Certificado FNMT”, apelando igualmente a la urgencia para captar la atención del receptor.
En esa ocasión, los atacantes –que no dejan de aprender– usaban archivos con extensión .zip, que ocultaban el malware que se activaba al abrirlos. Los correos instaban a los destinatarios a actuar de inmediato para evitar consecuencias negativas, una táctica de manipulación emocional común en este tipo de ciberataques. Esta campaña, como la actual, amenazaba directamente la seguridad de autónomos y pequeños negocios, especialmente vulnerables ante estas técnicas de ingeniería social que buscan obtener acceso a sus recursos digitales.
