CIBERSEGURIDAD

"Ya lo decía mi abuela. Cuando la limosna es grande…” Todos conocen cómo termina el dicho que recordó Gerardo Canedo, gerente de seguridad en Genexus Consulting, y que resulta apropiado al hablar de que uno de cada cuatro fraudes en internet proviene de ofertas falsas de empleo.

Las estafas laborales, al igual que todos los tipos de estafas, buscan atraer a sus víctimas valiéndose de cualquier tipo de falsas promesas que puedan resultar atractivas: muy buenas condiciones de trabajo, mínimos requisitos de formación, múltiples beneficios adicionales bajo la forma de bonos, viajes y más. Adicionalmente, suelen no dejar totalmente claro cuál será el trabajo a realizar. Muchos de estos anuncios tienen frases llamativas como “trabajo instantáneo”, “cientos de empresas te están buscando” o “gana dinero en pijamas”.

Según el Instituto Nacional de Ciberseguridad de España (Incibe), uno de cada cuatro fraudes en internet proviene de ofertas de empleo falsas y buscan tres cosas: dinero, información financiera o información personal del candidato que luego será vendida a un tercero.

En el último mes han aparecido ofertas en el Gallito (en el portal trabajo.gallito.com.uy) y en otros sitios de búsqueda laboral como LinkedIn o Buscojobs que, a simple vista, parecen avisos como cualquier otro.

Algunos buscan chofer, secretaria recepcionista o peón para mudanzas. En todos aparece un nombre de una empresa y un número de RUT que, si se busca en Google, es real; pero luego aparecen elementos dudosos. Por ejemplo, se promociona un buen sueldo con poca carga horaria. O figura un correo electrónico de un proveedor gratuito.Pero la alerta se enciende una vez que la supuesta empresa contesta la solicitud del postulante. Y aquí es donde aparece la “novedad”.

El candidato recibe un correo –bastante mal redactado en una señal de que se recurrió a un traductor automático– en el que se pide una “foto clara del documento de identidad” con nitidez y sin tachaduras por ambos lados.
El pedido es explícito: “Debe verse los cuatro bordes de todo el documento. Evitar tomar la foto que se vean los dedos (no debe ser escaneado)”. Y esto no queda aquí. Para acceder a la “entrevista final” so pena de ser descartado “automáticamente”, el candidato también debe “tomarse una foto selfie centrado a nivel de los hombros hacia arriba sin cortar la cabeza, sosteniendo un cartel blanco, hoja, que tenga escrito (en marcador negro) el siguiente código de la entrevista, que será el día 19/08/2019 y deberá escribirlo así: SKRILL 08/19/2019. Abstenerse a computarizar el código, solo en marcador negro”. Sospechoso, ¿no? Mucho.

El aviso en cuestión no es otra cosa que una nueva versión de un “cuento del tío”. Su objetivo es el robo o suplantación de identidad del candidato con un fin que se desconoce pero del que se tiene alguna pista. La foto, el código y el documento de identidad son solicitados por una página que crea una billetera electrónica. “Pide todo eso como mecanismo de verificación. Parecería que lo que están intentando es usar esa identidad para asociarla, vaya uno a saber uno con qué fin pero es para que (alguien) no aparezca como dueña de esa transacción”, explicó Canedo.

Ninguna empresa que convoca a una entrevista personal va a requerir este tipo de intercambio. Pero la persona (u organización) detrás de la estafa buscará pescar “algún desprevenido que por vulnerabilidad o por necesidad puede caer”.

Hasta ahora, lo común era que los ciberdelincuentes enfocados en fraudes laborales buscaran captar datos personales para sumarlos a listas de spam o venderlos a terceros. Un procedimiento habitual era pedirle que accediera a un link que lo conduciría a una página maliciosa –visualmente muy similar a uno legítimo– en la que descargaría un virus capaz de recolectar información para el robo de identidad como, por ejemplo, el número de una tarjeta de crédito.

La elección del portal del Gallito, LinkedIn o Buscojobs no es antojadiza. Publicar un aviso fraudulento en un sitio reconocido da más visibilidad y confiabilidad a la oferta. “El nivel de confianza (de un volante) en la parada de ómnibus es baja; (publicar el aviso) en el Gallito tiene mayor tasa de éxito”, analizó el experto en seguridad de Genexus Consulting. Y apuntó: “Buscan grandes números”.

Caer en cualquier fraude en internet tiene múltiples riesgos. Hugo Köncke, gerente regional de consultoría de Security Advisor, explicó que lo más inmediato es la exposición de los datos personales a personas inescrupulosas. “Suelen pedir el envío de imágenes, fotografías de rostro y de cuerpo entero (esto último particularmente a mujeres), las que para trabajos habituales de tipo administrativo o técnico deberían ser innecesarias”, apuntó.

En algunos casos se pide sumas de dinero (de pequeñas a moderadas) para supuestos gastos administrativos o se habla de la necesidad de llamar a números telefónicos de cobro adicional, en general en el exterior. Ningún empleador real “y honesto” –agregó Köncke– va a solicitar un pago para participar de un proceso de selección.

“Estos riesgos son los menos peligrosos; si bien el perjuicio económico no es deseable ni tampoco la exposición de los datos personales es algo recomendable, en principio ninguno de ellos representa riesgos físicos o de integridad”, señaló Köncke. Pero también ha habido casos de fraudes laborales que enmascaran trata de personas.

Los dos expertos en seguridad informática coincidieron que antes de contestar un aviso de aspecto dudoso es recomendable buscar en internet sobre la propuesta para verificar que no haya sido usada en otro engaño. En el caso del ejemplo del inicio, se podría buscar el texto del correo que le envían al candidato. “Estas situaciones suelen publicarse rápidamente. Salvo que se esté ante una situación de ‘día 0’ (término que se utiliza en informática para señalar que es el primer día de una vulnerabilidad o ataque registrado), es probable que a alguien ya haya sucedido algo similar en otro lugar y lo haya compartido”, añadió Köncke.

Por otra parte, Canedo apuntó que, si de verdad el proceso de selección necesita que se envíe la cédula de identidad al reclutador, hay mecanismos “muy seguros”, en concreto, la cédula de identidad digital, un documento identificatorio uruguayo que proporciona Dirección Nacional de Identificación Civil y cuya falsificación virtual se considera imposible.
Las recomendaciones de los expertos ante estas ofertas de empleo son claras: dudar siempre.