Un nuevo análisis revela que la inmensa mayoría de los sistemas de correo de la administración pública es vulnerable a la suplantación de identidad, lo que facilita las estafas a los ciudadanos y los ciberataques a las instituciones. La carencia de las protecciones básicas del correo electrónico como SPF, DMARC y DKIM facilitan enormemente ser víctimas de Phishing.

Correos y Hacienda en España tienen un serio problema con el phishing y la suplantación de identidad

PucelaBits. Grupo hacktivista mantiene el Observatorio de Seguridad web, a través del que ha analizado la ciberseguridad de algunas herramientas digitales de la administración española

Solo un 3% de las direcciones de email que utilizan los organismos públicos españoles está protegido ante la posibilidad de que un ciberdelincuente se haga pasar por el funcionario o trabajador público real que lo utiliza.

El análisis de la protección de los sistemas de correo electrónico, publicado este jueves, no ha arrojado resultados mejores: de 772 emails públicos comprobados, solo 25 cuentan con medidas de seguridad que impiden la suplantación de identidad.     

• https://websegura.pucelabits.org/analisis-email/

Sistemas de correo tan críticos como el de la Policía (nombre@policia.es), Hacienda (nombre@agenciatributaria.es), la Guardia Civil (nombre@guardiacivil.es) o los que utilizan varios organismos judiciales (nombre@poderjudicial.es) no cuentan con la protección básica informática frente al robo de identidad

Por ejemplo, herramienta de validación de Google:

• https://toolbox.googleapps.com/apps/checkmx/check?domain=guardiacivil.es&dkim_selector=
• https://toolbox.googleapps.com/apps/checkmx/check?domain=policia.es&dkim_selector=

Búsqueda: dominios que contengan: -ayuntamiento* -ayto* -ajuntament* -concello* -udaletxea* - resultado: 1.057, divididos entre 8 extensiones, 85 proveedores de hosting, 61 ciudades, 18 países y 3 continentes.

Simplemente para impedirlo, el Convenio de Remitentes (SPF, por sus siglas en inglés) y la Autenticación de Mensajes Basada en Dominios, Informes y Conformidad (DMARC).

¿Cómo prevenir la suplantación de identidad?

SPF es el acrónimo de Sender Policy Framework. En castellano, Convenio de Remitentes. Según explica Wikipedia, “es una protección contra la falsificación de direcciones en el envío de correo electrónico. Identifica, a través de los registros de nombres de dominio (DNS), a los servidores de correo SMTP autorizados para el transporte de los mensajes. Este convenio busca ayudar para disminuir abusos como el spam y otros males del correo electrónico”.

Otra medida de prevención contra el phishing o suplantación de identidad es DMARC. Es el acrónimo de Domain-based Message Authentication, Reporting and Conformance. En castellano, Autenticación de Mensajes Basada en Dominios, Informes y Conformidad. Volviendo a la Wikipedia, “es un mecanismo de autenticación de correo electrónico. Ha sido diseñado para otorgar a los propietarios de dominios de correo electrónico la capacidad de proteger su dominio frente a su uso no autorizado”.

• Configurar correo electrónico seguro con SPF, DMARC y DKIM

La desprotección de estos emails públicos ante los intentos de hacerse pasar por los funcionarios que los manejan es un problema que repercute en toda la sociedad. Por una parte, hace mucho más sencillo que los ciudadanos caigan en estafas de phishing, en lsa que los ciberdelincuentes utilizan la identidad de una administración como gancho para robar datos personales o bancarios o instalar código malicioso en el dispositivo de la víctima. Un email fraudulento desde un correo oficial facilita que la persona receptora no recele de sus intenciones y envíe la información requerida, descargue archivos perjudiciales o pinche en un link controlado por los atacantes.       

"Los ciudadanos pueden ser engañados si les llega un correo de nombre@policia.es, nombre@agenciatributaria.es o incluso de su sistema de salud regional. Las posibilidades de engaños, estafas y demás son infinitas", explica a elDiario.es Rubén Martín, portavoz de PucelaBits.

Martín, que fue desarrollador para Mozilla, trabaja actualmente como Líder de estrategia y estudios comunitarios en el Equipo Humanitario de OpenStreetMap

Phishing

Pero la amenaza de picar en un correo público falsificado no solo afecta a los ciudadanos. También puede tener consecuencias catastróficas para la Administración, ya que el engaño puede ejercerse hacia dentro, contra los propios funcionarios y trabajadores públicos. "Es extremadamente grave que cualquier funcionario pueda recibir un correo que parece venir de un superior, un compañero o el mismo departamento de informática, pidiéndole urgentemente que instale algo o visite una web o mande un determinado dato", denuncia Martín.     

Entre los correos públicos que no cuentan con los dos protocolos de autenticación de la identidad básicos se encuentra por ejemplo el del equipo de Presidencia del Gobierno, @lamoncloa.gob.es.     

Fuentes:
https://www.eldiario.es/tecnologia/97-emails-funcionarios-desprotegido-frente-robos-identidad_1_8160330.html

https://hipertextual.com/2021/07/phishing-suplantacion-identidad-correos-hacienda

https://twitter.com/cibernicola_es/status/1418479729989062657