Imagina que, como habitualmente, estás leyendo tu portal de noticias favorito y de pronto un anuncio publicitario de su web atrapa tu atención. Quieres más información porque parece interesante lo que ofrecen. Haces click en él confiando en que tan solo es un mensaje publicitario. De pronto, y sin previo aviso, el malvertising se ha infiltrado en tu dispositivo.
En ese momento no eres consciente, pero a los pocos días puede que te aparezca una pantalla en tu ordenador informándote que tus archivos están encriptados y que solo podrán recuperarse mediante el pago de un rescate en criptomonedas, por ejemplo. Sin apenas enterarte, te has convertido en una víctima de un ataque de ransomware, una técnica por la que piden a las víctimas dinero a cambio de información sensible, y todo desencadenado por ese inocente click en un anuncio en línea.
¿Qué es el malvertising?
El malvertising combina las palabras «malicious» (malicioso) y «advertising» (publicidad) y se define como una peligrosa práctica en la que se manipula publicidad en línea con el objetivo de conseguir infectar dispositivos. Para ello, se inserta un código malicioso en anuncios en línea con el objetivo de infectar dispositivos de usuarios. Estos anuncios, aparentemente inofensivos, pueden conducir a la descarga de malware, ransomware o la exposición a otras amenazas cibernéticas.
El malvertising no solo amenaza la integridad de los datos, sino que también puede tener consecuencias financieras y legales. Tal y como sostienen desde el Instituto Nacional de Ciberseguridad (INCIBE) una de las técnicas de ingeniería social que engloba el malvertising es el ya mencionado ransomware. A través de esta, los ciberdelincuentes solicitan a las víctimas una cantidad de dinero a cambio de la información sensible con la que se han hecho.
El malvertising también actúa sin hacer click
A pesar de que lo más frecuente es infectar el dispositivo a través del click de un usuario en un anuncio camuflado, también es posible infectarlo sin necesidad de interacción con dicha publicidad. Así lo detallada el servicio oficial de ciberseguridad de Euskadi, Cyberzaintza, en un artículo en su web, en el que ofrecen algunos ejemplos de este tipo de ataques como:
- Una «descarga automática» que aprovecha las vulnerabilidades del navegador para instalar archivos infectados en el sistema mientras el usuario ve el anuncio de forma pasiva.
- Una redirección forzada del navegador a un sitio malicioso.
- Ejecutar Javascript o Flash para mostrar publicidad no deseada o contenido malicioso.
Cómo protegerse del malvertising
Para evitar caer en un ataque de malvertising, Cyberzaintza recomienda seguir una serie de consejos. En primer lugar, es fundamental garantizar la actualización de todo el software y las extensiones, incluyendo los navegadores web. Además, se aconseja la instalación de software antivirus y bloqueadores de anuncios para disminuir el riesgo de ejecutar inadvertidamente un anuncio malicioso. Evitar el uso de Flash y Java, o configurar las herramientas de seguridad del navegador web tanto en la computadora como en el dispositivo móvil para prevenir la ejecución automática de estos programas al navegar por la web, son algunas de los consejos más útiles.
Del mismo modo, el Instituto Nacional de Ciberseguridad (INCIBE) también proporciona recursos educativos, herramientas de prevención y alertas de seguridad para empoderar a los usuarios y las empresas en la lucha contra esta amenaza. Entre ellos, mantener siempre al día los sistemas operativos, asegurándose de que estén actualizados para garantizar la seguridad, e instalar solo los complementos de navegadores necesarios para las actividades diarias y revisar los permisos solicitados por los complementos antes de instalarlo. Asimismo, no hay que olvidar que la seguridad digital también implica mantener actualizado el software de seguridad, que incluye antivirus, antimalware y antispyware y contar con la última versión del navegador instalada, como Java o Adobe, directamente desde sus sitios oficiales.
Para una capa adicional de seguridad, se sugiere habilitar la función «click-to-play», disponible en todos los navegadores. Esta función requiere que el usuario dé su autorización antes de ejecutar cualquier plugin, proporcionando un control adicional sobre la ejecución de contenido potencialmente riesgoso. Adoptar estas prácticas contribuye significativamente a fortalecer la seguridad en línea y minimizar la exposición a posibles amenazas.
Fuentes
“Cómo proteger tu empresa contra el malvertising”, en la web de INCIBE