Microsoft ha identificado estos días una nueva campaña de phishing [suplantación de identidad], dirigida a autónomos y asesorías, gestorías o bufetes de abogados, que emplea una táctica innovadora: el uso de documentos Word para evadir los sistemas de seguridad informática, incluidos los antivirus. Lo cual demuestra que las amenazas cibernéticas evolucionan constantemente, y por ello son una fuente de preocupación cada vez más importante para los pequeños negocios, que se encuentran en el punto de mira de los ciberdelincuentes.
Precisamente, la propia empresa alerta de que, a diferencia de las grandes compañías, en las que la seguridad informática es mayor, para los trabajadores autónomos el panorama es más complicado. En este sentido, y como contó este diario, en caso de ser víctima de esta o de cualquier otra ciberestafa, el Fisco permite deducir las pérdidas en la declaración de RENTA del año siguiente, siempre que esté perfectamente documentado el daño causado.
El fraude afecta directamente al pago de nóminas que los gestores realizan en nombre de los negocios
En esta ocasión, según explica Microsoft, la técnica empleada por los atacantes en esta campaña de phishing comienza con un correo electrónico que aparenta ser enviado por un asunto relacionado con la gestión contable, como los pagos de nóminas, procedente de algún departamento de administración o de recursos humanos. Así, los mensajes utilizan claves atractivas para captar la atención de los destinatarios –asesores fiscales, bufetes especializados en Derecho laboral, gestorías contables, graduados sociales..–, e incluyen en los archivos adjuntos un documento de Word que está diseñado para parecer corrupto. Por lo que, además de la habitual extensión .docx, también puede presentar la extensión .docx.bin.
La estrategia de esta campaña sigue el patrón habitual de las técnicas de phishing. Sin embargo, lo que hace más peligroso es el uso del programa de Microsoft es que, según el propio gigante informático, estos archivos corruptos no contienen en sí mismos ningún código malicioso, lo que hace que sean interpretados como inofensivos por la mayoría de programas de seguridad y antivirus tradicionales.
Tanto es así que, según explicaron “aunque estos archivos funcionan correctamente dentro del sistema operativo, la mayoría de las soluciones de ciberseguridad no los detectan debido a que no se aplican los procedimientos adecuados para sus extensiones”.
De hecho, en una prueba con uno de estos documentos de Word realizada a través de la herramienta de análisis VirusTotal, que es capaz de escanear un archivo mediante los antivirus de múltiples desarrolladores, ninguna de las soluciones detectó problema alguno, bien por identificarlo como “limpio” o bien porque directamente no fueron capaces de analizar este tipo de archivo correctamente.
¿Qué riesgos implica esta amenaza para los autónomos y los pequeños negocios?
Al abrir uno de estos archivos, Microsoft Word indica que contiene “contenido ilegible” y ofrece la opción de intentar recuperarlo con la herramienta propia de la aplicación. Una vez “recuperado”, el documento muestra un mensaje, diseñado para suplantar la identidad de alguna firma conocida por el receptor del correo, que le incita a escanear un código QR para acceder al supuesto contenido legítimo.
Al escanear dicho código, la víctima es redirigida a un sitio web falso que imita una página de inicio de sesión de Microsoft. El objetivo final de esta maniobra es obtener las credenciales de acceso del usuario, algo que representa un peligro considerable, especialmente para los autónomos y los negocios que trabajan con datos sensibles de sus clientes. Toda vez que estas cuentas, de llegar a ser robadas, pueden permitir el acceso a información clave, como datos bancarios o de sistemas internos.
Frente a esta amenaza, la prevención es clave, y las principales recomendaciones de los expertos para estar seguro y evitar caer en este tipo de campañas se resumen en las siguientes:
- Desconfiar de los correos electrónicos sospechosos. Si se recibe un mensaje que resulta sospechoso, por recibirse de un remitente inesperado o directamente desconocido, en especial si incluye archivos adjuntos, lo más seguro es eliminarlo inmediatamente. Como alternativa, siempre puede tratarse de verificar el contenido de forma “analógica”; esto es, comprobar la legitimidad del archivo antes de abrirlo contactando con la fuente original.
- Evitar escanear códigos QR de fuentes que no sean de confianza. Aunque estos códigos pueden ser herramientas útiles, lo cierto es que también son un recurso común en tácticas fraudulentas. Si no se tiene plena seguridad sobre su procedencia, nunca deben escanearse.
- Formación en ciberseguridad. Tanto los autónomos como los pequeños negocios deberían invertir en formación básica para reconocer intentos de phishing y otras amenazas cibernéticas.
- Actualizar y reforzar los sistemas de seguridad. Aunque para este caso específico contar con un antivirus actualizado no influye en el reconocimiento del archivo de Word, existen opciones como la configuración de filtros de seguridad en el correo electrónico.
Los autónomos que sean víctimas de una ciberestafa pueden deducir estas pérdidas en la RENTA
Si pese a todas estas precauciones un autónomo cae víctima de un engaño como el basado en los documentos de la herramienta de Microsoft, sufriendo pérdidas económicas como consecuencia, una novedad tributaria podría ofrecerle un respiro.
En particular, la Dirección General de Tributos (DGT) confirmó recientemente, como ya contó este diario, a través de la consulta vinculante V2616-23, que los autónomos que caigan en ciberestafas podrán deducir las pérdidas ocasionadas por estos fraudes en la declaración de la RENTA. Este reconocimiento, incluido en la normativa del Impuesto sobre la Renta de las Personas Físicas (IRPF), permite que las pérdidas patrimoniales derivadas de timos o estafas puedan considerarse desgravables, siempre que estén debidamente justificadas.
Esto significa que, si un autónomo llega a caer en el ciberfraude en una campaña de phishing, como la de los documentos Word corruptos, y sufre la sustracción de dinero o información que derive en un perjuicio económico, podrá reflejar dicha pérdida en su declaración fiscal.
Ahora bien, la Agencia Tributaria ha especificado que estas pérdidas deben estar documentadas mediante pruebas, como denuncias presentadas ante las autoridades, movimientos bancarios que acrediten la transacción fraudulenta, o cualquier otro medio aceptado por la legislación vigente. Además, la deducción solo será válida si se cumplen ciertos requisitos:
- Registro en la base imponible general. Al no tratarse de una transmisión de elementos patrimoniales, las pérdidas se integrarán en la base imponible general de la declaración de la RENTA.
- Exclusión de pérdidas no justificadas o derivadas de consumo. Sólo se aceptan como deducibles las pérdidas que no estén relacionadas con consumos habituales o transmisiones lucrativas.
De nuevo, y si bien la deducción de estas pérdidas puede ser un alivio, no sustituye la importancia de prevenir este tipo de fraudes. Además, los autónomos y las pymes deben estar preparados para actuar rápidamente en caso de ser víctimas de una estafa. Denunciar el incidente y recopilar pruebas es, gracias a esta medida, más esencial para mitigar el impacto económico.
