4.1.4 Seguridad en Correo Electrónico

Riesgos más comunes de la seguridad del correo electrónico

Estos son algunos de los riesgos asociados al uso del correo electrónico:

1. ·         La Inundación (tipo de ataque de denegación de servicio) se produce cuando un sistema queda sobrecargado con múltiples mensajes de correo electrónico. Para un atacante es relativamente fácil crear un programa sencillo que envíe millones de mensajes de correo electrónico (incluso mensajes vacíos) a un único servidor de correo electrónico para intentar inundarlo. Sin la seguridad correcta, el servidor de destino puede experimentar una denegación de servicio porque el disco de almacenamiento del servidor queda lleno de mensajes inútiles. El sistema también puede dejar de responder porque todos sus recursos están ocupados en procesar el correo del ataque.
2. ·         Correo masivo (spam) (correo basura) es otro tipo de ataque común dirigido al correo electrónico. Con el aumento del número de empresas que practican el comercio electrónico en Internet, se ha producido una invasión de mensajes comerciales de correo electrónico no deseados o no solicitados. Este es el correo basura, que se envía a una amplia lista de distribución de usuarios de correo electrónico, llenando el buzón de correo de todos los usuarios.
3. ·         La Confidencialidad es un riesgo asociado al envío de correo electrónico a otra persona a través de Internet. El mensaje de correo electrónico pasa a través de numerosos sistemas antes de llegar al destinatario. Si el mensaje no está cifrado, cualquier pirata informático podría hacerse con él y leerlo en cualquier punto de la ruta de entrega.

Opciones de seguridad del correo electrónico

Para prevenir los riesgos de inundaciones y el correo masivo (spam), debe configurar el servidor de correo electrónico correctamente. La mayoría de las aplicaciones de servidor proporcionan métodos para combatir este tipo de ataques. Asimismo, puede colaborar con el proveedor de servicios de Internet (IPS) para asegurarse de que aporta algún tipo de protección adicional contra estos ataques.

Las medidas de seguridad adicionales que necesite dependerán del nivel de confidencialidad que desee, así como de qué características de seguridad ofrezcan sus aplicaciones de correo electrónico. Por ejemplo, ¿basta con mantener la confidencialidad del contenido del mensaje de correo electrónico?, ¿o bien desea que sea confidencial toda la información asociada al correo electrónico (como las direcciones IP de origen y destino)?

Algunas aplicaciones tienen características de seguridad integradas que tal vez ofrezcan la protección que necesita. Por ejemplo, Lotus Notes Domino proporciona varias características de seguridad integradas, como la capacidad de cifrado de un documento completo o de campos individuales de un documento.

Para cifrar el correo, Lotus Notes Domino crea una clave pública y una clave privada exclusivas para cada usuario. La clave privada se utiliza para cifrar el mensaje, de forma que solo lo podrán leer aquellos usuarios que tengan su clave pública. Debe enviar la clave pública a los destinatarios que desee, para que puedan utilizarla para descifrar la nota cifrada. Si alguien le envía correo cifrado, Lotus Notes Domino utiliza la clave pública del remitente para descifrar automáticamente la nota.

Puede encontrar más información sobre el uso de las características de cifrado de Notes en los archivos de ayuda en línea del programa.

Si desea proporcionar más confidencialidad para el correo electrónico o para otro tipo de información que fluya entre las sucursales, clientes remotos o socios comerciales, tiene dos opciones. Si SSL está soportado por la aplicación del servidor de correo electrónico, puede utilizar la capa de sockets segura (SSL) para crear una sesión de comunicaciones seguras entre el servidor y los clientes de correo electrónico. SSL también proporciona soporte a la autenticación opcional del lado del cliente, si la aplicación de cliente está escrita para este uso. Como la sesión completa está cifrada, SSL también garantiza la integridad de los datos mientras se estén transmitiendo.

Otra posible opción es configurar una conexión de red privada virtual (VPN). Puede utilizar el sistema para configurar diversas conexiones VPN, incluso entre clientes remotos y su sistema. Cuando se utiliza una conexión VPN, todo el tráfico que fluye entre los extremos de la comunicación está cifrado, lo que garantiza la confidencialidad y la integridad de los datos.

Cada vez existen más amenazas informáticas a las cuales estamos vulnerables de cualquier ataque o infección por la gran demanda de usuarios que hay actualmente en Internet. El correo electrónico (o e-mail) es un blanco estratégico para propagar todas esas amenazas informáticas a través de Internet.

Técnicas como el spam, phishing y hoax, son frecuentemente implementadas para aprovecharse de la inocencia o desconocimiento de algunos.

Un correo electrónico (o e-mail) es un servicio de Internet que permite a los usuarios enviar y recibir mensajes por medio de los mismos. El correo electrónico es potencialmente inseguro y vulnerable a cualquier ataque informático mediante diversas técnicas.

– Spam

El spam es la principal técnica de ataques que recibe nuestro correo electrónico. Básicamente, el concepto del spam se enfoca aquellos mensajes electrónicos no deseados que recibimos en nuestro buzón.

Si bien, el spam trata de un correo electrónico comercial que se envía con fines de lucro para publicitar un producto específico. Ésto se deb a la facilidad que existe en los correos electrónicos, entonces los spammers pueden enviar a miles de millones de correos un mensaje a su buzón.

¿Cómo podríamos evitar el spam? 

Se ha dicho anteriormente, el spam es un correos electrónico masivo no deseado, generalmente con un fines lucrativos promoviendo productos o servicios, sitios webs, comercios, entre otros.

1. ·         Bajo ninguna circunstancia no responda ningún spam, aunque le digan que lo removerán, eso les confirma que su dirección de correo electrónico existe, y así seguirán enviándole correos no deseados.
2. ·         No ingrese su dirección de correo electrónico en cualquier fomulario que vea por Internet, sea prudente a la hora de ingresarlo y sepa en dónde lo hará.
3. ·         Si necesita ingresar un correo electrónico para poder seguir con el proceso de cualquier registro, pero no necesita respuesta, escriba la dirección escribacualquiercosa@example.com, la mism está reservada para pruebas por lo que no llega a nadie.
4. ·         No envíe cadenas de correo electrónico con montones de direcciones de sus contactos en el campo “Cc:”, en cambio use “Bcc:” (Blind carbon copy, copia oculta o CCO) para que no se muestren y no puedan ser usadas por otros (o por lo spammers).
5. ·         Use algún servicio que filtre correos electrónicos no deseados o algún webmail que le permita recibir el email de otras cuentas filtrarlo y bajarlo por POP o redireccionarlo a su casilla (los hay gratis, Gmail o Yahoo!).
6. ·         Sepa que la mayoría de las listas de discusión por correo electrónico crean archivos los cuales son accesibles vía Web. Verifique si la lista es archivada, si los archivos son públicos (en cuyo caso pueden ser accesibles a robots que extraen emails) o para suscriptos (lo cual requeriría que el spammer se suscriba). Vea la política de privacidad de los sitios que alojan listas de discusión o foros y todo servicio.
7. ·         No dé crédito a las cadenas de correo electrónico, son casi todas (por no decir todas) falsas. Verifique si su programa de correo electrónico le permite usar filtros para enviar automáticamente los email que son spam a una carpeta temporal y luego borrarlos. Hotmail, Yahoo! y Gmail (los más comunes) lo hacen. 

– Phishing

Otra técnica más peligrosa es el phishing que no es más que el uso de la ingeniería social haciéndose pasar por una persona o empresa de larga trayectoria para ganarse la confianza de la víctima, y así obtener datos confidenciales, en éste caso: correos electrónicos, contraseñas, entre otros.

¿Cómo evitar el phishing? 

Existen varios métodos o técnicas que permiten evitar y/o combatir el phishing.

1. ·         La primera técnica es conocida como una respuesta social, es decir, “pagarle con la misma moneda al phisher“. Si bien, las empresas han adoptado diversos adiestramientos específicos para que sus empleados puedan reconocer ataques de phishing y así evitarlos.
2. ·         La segunda técnica es conocida como una respuesta técnica, es decir, un programa o software que puede ser fácilmente adaptado a un correo electrónico o programa de mensajería instantánea que tiene en su base de datos una serie de identificaciones de posibles ataques de phishing.
3. ·         La tercera técnica es conocida como respuestas legislativas y judiciales, ésto se creó el 1 de marzo de 2005 nombrado como “Acta Anti-Phishing del 2005” que es una ley que establece que aquellos phishers detectados en la red podrán ser multados con cifras que superan los 250,000 dólares americanos. 

– Hoax (engaño)

El hoax consiste en hacer creer a las víctimas que algo existe o es verídico cuando no es real. La palabra se popularizó por los fraudes que existían en Internet hace algunos años. Dentro de un correo electrónico, un hoax es un mensaje engañoso o con contenido falso distribuido habitualmente mediante cadenas de correo electrónico.

Los objetivos del hoax más fundamentales podrían ser: recopilar direcciones de correo para mandar spam, virus, mensajes con phising o más hoax a gran escala, intentar engañar al destinatario para que revele datos confidenciales como su contraseña, incrementar el tráfico a un sitio web específico pudiendo llegar a saturar servidores.

¿Cómo evitar el hoax?

1. ·         Si recibimos un correo que trate de algo que ignoramos, lo mejor es consultar en buscadores para así verificar que lo que nos han enviado no se trata de un intento de hoax.
2. ·         Si al revisar el correo conocemos de qué trata, y si pensamos que es importante de ser conocido por nuestros contactos lo reenviaremos, teniendo cuidado de poner las direcciones de correo electrónico de los destinatarios en la casilla CCO.

Los riesgos de usar correos electrónicos

El correo electrónico es conveniente, pero a su vez posee riesgos. Miremos de forma más detallada dos de las principales amenazas a las que se enfrentan la organización y los usuarios finales.

Pérdida de la información.

El correo electrónico es una herramienta de la cual dependemos diariamente. A su vez es muy fácil enviar información confidencial a otra persona, poniendo en riesgo que esta información caiga en las manos equivocadas.

Los costos de la perdida de la información son asombrosos, sin mencionar el daño que esto le hace a la reputación de la compañía y las repercusiones legales por violar las regulaciones relacionadas a la transmisión y el almacenamiento de la información sensitiva (Por ejemplo HIPPA, FIPPA, PCI).