Edgardo Fuentes Cáceres – Director Ingeniería en Ciberseguridad UNAB
Hay pocas cosas más humanas que la expectativa de un nuevo trabajo. Detrás de cada postulación hay un cálculo silencioso, un arriendo que se paga más tranquilo, una deuda que se salda, un proyecto personal que por fin arranca. Es justamente esa mezcla de esperanza y urgencia la que los ciberdelincuentes aprendieron a leer con precisión quirúrgica. Y la usan como el primer paso de un engaño cuidadosamente diseñado.
Una reciente investigación de la firma de seguridad ESET documentó una campaña de correos falsos que suplantan a marcas conocidas para ofrecer supuestas vacantes en Latinoamérica. Conviene mirar el fraude no como un correo aislado, sino como lo que realmente es: una operación planificada por etapas, donde nada queda librado al azar.
Primero viene la investigación. Los atacantes recopilan información pública desde las redes donde la gente exhibe su vida profesional, nombres reales de empleados, cargos, jerarquías, incluso el estilo con que una empresa redacta sus comunicaciones. Con ese material construyen un señuelo verosímil y, en varios casos, usurpan la identidad de reclutadores que existen de verdad. No es un correo genérico enviado al azar a millones de direcciones, es un engaño hecho a medida, personalizado para que bajes la guardia.
Luego viene el envío. El mensaje llega desde una dirección que imita a la de la marca o desde una casilla gratuita disfrazada con el nombre de un «reclutador». Aquí aparece una señal que casi nadie revisa: muchos de estos fraudes prosperan porque las direcciones usadas no cuentan con las protecciones que permiten confirmar que un remitente es realmente quien dice ser. Cuando esas protecciones no están activas, cualquiera puede colgarse del nombre de una empresa con relativa facilidad.
Después, la trampa. El enlace conduce a un formulario de apariencia impecable y, al final del recorrido, a una página que reproduce el inicio de sesión de tu correo. No es una simple copia, estas páginas capturan tus datos en el momento mismo en que los escribes. Y aquí hay una advertencia que conviene subrayar, porque desmonta un consejo que damos con demasiada ligereza. Algunas de estas páginas son tan sofisticadas que pueden llegar a interceptar incluso el código de verificación en dos pasos, ese código adicional que crees que te protege del todo. Activar la verificación en dos pasos sigue siendo indispensable, pero ya no es infalible por sí solo.
¿Y para qué tanto esfuerzo? Porque el objetivo final no es tu currículum. Es la contraseña de tu correo, esa llave maestra que gobierna el resto de tu vida digital. Con acceso a tu casilla, el atacante puede activar el botón de «recuperar contraseña» de tus otros servicios el banco, las redes sociales, las plataformas de trabajo, e ir tomando cuenta tras cuenta usando los propios mecanismos pensados para ayudarte. Una sola casilla comprometida se convierte en un efecto dominó.
Todo esto revela algo a destacar: estos ataques no aprovechan una falla de la tecnología, aprovechan una falla del momento. Eligen el instante en que una persona está más dispuesta a creer, porque necesita que la oferta sea verdad. En una región donde el desempleo sigue siendo una herida abierta, esa disposición no es un descuido, es una condición humana perfectamente predecible, y por eso es tan explotable. No estamos ante gente «distraída». Estamos ante personas atacadas en su punto más esperanzado.
Frente a esto, el consejo habitual es correcto pero insuficiente: verifica el remitente, revisa la dirección del enlace, nunca entregues la contraseña de tu correo en un formulario, confirma la vacante por los canales oficiales de la empresa. Todo cierto, y hay que repetirlo. Pero recae, una vez más, casi por completo sobre el individuo. Vale la pena mover parte del problema hacia donde puede resolverse mejor.
Del lado de quienes buscamos empleo, ayuda mantener activadas las protecciones más robustas que ofrezca cada servicio y desconfiar de cualquier proceso que, en algún momento, nos pida la contraseña del correo. Del lado de las organizaciones, vale la pena recordar que proteger la propia marca es también una forma de cuidar a las personas que confían en ella. Hay medidas concretas que ayudan mucho, entre ellas, activar las protecciones que permiten a los servidores de correo bloquear los mensajes que falsifican su dominio antes de que lleguen a la víctima, vigilar el registro de direcciones parecidas a la suya, esas variaciones sutiles pensadas para confundir a simple vista, y avisar de forma proactiva a los candidatos sobre cómo son, y cómo no son, sus procesos de selección reales. Del lado de las plataformas de correo y de reclutamiento, el aporte pasa por seguir elevando las barreras que dificultan montar estas imitaciones. La idea de fondo es simple: la seguridad digital dejó de ser una responsabilidad exclusivamente personal y hoy funciona como una cadena, donde cada actor, persona, empresa y plataforma, tiene un tramo que reforzar.
Mientras tanto, la defensa más honesta que podemos ofrecernos sigue siendo la más simple: ninguna empresa seria te pedirá la contraseña de tu correo para avanzar en un proceso de selección. Nunca. Si eso ocurre, no importa cuán pulida sea la página ni cuán prestigiosa la marca, cierra la pestaña y verifica por otro lado.
La ilusión de un nuevo comienzo es legítima y vale la pena protegerla. Pero en internet, la puerta que se abre demasiado fácil rara vez lleva a donde promete.
Equipo Prensa
Portal Innova
