El año pasado, cuando mi esposa comenzó su programa de doctorado, empezó a recibir una serie de correos electrónicos de phishing relacionados con ayudas económicas. Aunque estaban dirigidos a un público amplio, intentaban parecer profesionales mediante el uso de una imagen de marca similar, un nombre de dominio parecido y una llamada a la acción; sin embargo, no los había solicitado y la llamada a la acción transmitía urgencia. Al examinarlos detenidamente, quedó claro que eran intentos de phishing. Aunque enseguida hizo clic en «Notificar como phishing» en Microsoft Outlook y eliminó los correos, aquello me hizo reflexionar sobre el impacto de las estafas relacionadas con las ayudas económicas.
En Estados Unidos, aproximadamente 43 millones de personas tienen un saldo mediano de préstamos estudiantiles de unos 37.000,00 $. Según el Centro Nacional de Estadísticas Educativas, casi el 80 % de los estudiantes recibe ayuda financiera. Dado el elevado número de personas que tienen préstamos estudiantiles y reciben ayuda financiera, los ciberdelincuentes ven este amplio mercado como un objetivo prioritario. Forbes informó de que las estafas relacionadas con préstamos estudiantiles superaron los 5.000 millones de dólares en 2022. Las cifras sobre el fraude no son solo estadísticas desalentadoras, sino que afectan a personas reales: recién graduados que ven alterados los cimientos de su incipiente carrera profesional al incorporarse al mercado laboral.
Riesgos para los administradores de préstamos y los prestatarios
Las entidades gestoras de préstamos estudiantiles suelen identificar cuatro tipos de riesgos asociados al fraude en préstamos estudiantiles y ayudas económicas:
- Fraude en la apertura de nuevas cuentas
- Secuestro de cuentas
- Robo de identidad
- Reclamaciones fraudulentas
Los cuatro riesgos tienen numerosas consecuencias comunes; sin embargo, las dos que tienen un mayor impacto empresarial son la pérdida de confianza de los clientes y los costes relacionados con los ataques. La confianza entre prestatarios y prestamistas se ve perjudicada cuando los prestatarios sufren actividades no autorizadas en sus cuentas, fraudes o robos de identidad asociados a una marca. Tras un incidente, recuperar la confianza resulta sumamente difícil y requiere mucho tiempo. Asimismo, si los ataques tienen éxito, las labores de recuperación suponen un coste enorme para la organización. Estas situaciones suelen convertirse en auténticas pesadillas.
Los prestatarios son uno de los principales objetivos de los delincuentes, que recurren a estafas relacionadas con préstamos estudiantiles, la consolidación de préstamos y el alivio de la deuda. Los ciberdelincuentes se aprovechan de los estudiantes mediante tácticas como los intentos de phishing que recibió mi esposa, confiando en que los confundan con servicios oficiales y autoricen el acceso a sus cuentas o faciliten información de identificación personal. En un aviso emitido por el FBI en octubre de 2022, la agencia advirtió a los prestatarios de que los ciberdelincuentes estaban ofreciendo a los graduados asistencia fraudulenta para solicitar el Plan de Alivio de la Deuda de Préstamos Estudiantiles de Estados Unidos.
Convertimos lo abrumador en algo increíblemente fácil
En 2022, una entidad gubernamental canadiense se enfrentó a una serie alarmante de problemas relacionados con ataques distribuidos de denegación de servicio (DDoS), bots y fraude en las ayudas económicas para estudiantes y las ayudas por la pandemia de COVID-19. Cuando esta organización se puso en contacto con F5 para solicitar ayuda a fin de mitigar estos ataques, iniciamos una exhaustiva prueba de concepto de los servicios de F5 Distributed Cloud. La prueba de concepto les permitió comprobar la importancia de contar con una visibilidad completa de la seguridad en todas sus aplicaciones y mostró señales avanzadas para detectar tráfico fraudulento en las aplicaciones.
Durante la prueba de concepto, detectamos irregularidades en los datos que apuntaban a un volumen considerable de solicitudes fraudulentas y a comportamientos anómalos en las cuentas. Ante estos resultados alarmantes, avisamos de inmediato a su equipo de operaciones contra la ciberdelincuencia para que presentara las conclusiones al CISO y a otros responsables clave de la organización de seguridad. Tras esta sesión informativa, el CISO envió un correo electrónico a F5 en el que elogió la investigación con las siguientes palabras:
"La forma en que presentan este tipo de datos es la más clara y concisa que he visto en mis 33 años de carrera profesional."
Hoy, esta organización gubernamental está protegida y siempre va varios pasos por delante de los atacantes. Gracias a F5 Distributed Cloud Bot Defense, detuvo reclamaciones fraudulentas por valor de más de 3 millones de dólares. La principal conclusión fue que pudo implementar de forma rápida y fluida un servicio sólido para resolver el fraude y prevenir futuros casos. Uno de los mejores resultados fue una mayor protección y tranquilidad para el equipo de seguridad y los consumidores.
La plataforma F5 Distributed Cloud Platform protege las aplicaciones frente a bots y ataques automatizados en entornos multinube, locales y perimetrales, todo ello gestionado desde un único portal. Los profesionales de la seguridad pueden implementar medidas de mitigación de DDoS contra ataques volumétricos, neutralizar bots en tiempo real y proteger las cuentas mediante una potente IA para prevenir el fraude y obtener información de autenticación, al tiempo que eliminan las fricciones de inicio de sesión para los clientes legítimos que regresan.
Comparta estos consejos para ayudar a proteger a sus prestatarios de préstamos estudiantiles
Los estudiantes y graduados deben mantener unos hábitos sólidos de seguridad digital en sus cuentas en línea. Dado que los atacantes suelen recurrir al relleno de credenciales y a los ataques de fuerza bruta, los prestatarios y beneficiarios de ayudas económicas pueden tomar medidas para reducir la probabilidad de accesos no autorizados a sus cuentas, prestando especial atención a las contraseñas, la autenticación multifactor y la actualización de la información de contacto.
- Resista al phishing: La mayoría de los ataques comienzan con un simple correo electrónico de phishing. Es fundamental concienciar a los prestatarios para que desconfíen de las ofertas de condonación de préstamos o de quienes se hagan pasar por personal de su universidad y les soliciten información como su identificador y contraseña de la FSA.
- Contraseñas: Por ahora, las contraseñas no van a desaparecer. Así que, si tiene que utilizarlas, use contraseñas seguras y únicas, cámbielas periódicamente y considere la posibilidad de utilizar un gestor de contraseñas. Según Security.org, un algoritmo informático podría tardar alrededor de un día en descifrar una contraseña sencilla como mycollege1; sin embargo, podría tardar más de una vida en descifrar una contraseña aleatoria como dwf19g-3Y&es-cBE@!s . Los gestores de contraseñas cifrados evitan tener que recordar contraseñas largas y aleatorias. Gestores de contraseñas como Llavero de iCloud de Apple y 1Password pueden sugerir y rellenar automáticamente las contraseñas, lo que facilita un poco la vida de todos.
- Autenticación multifactor (MFA): Si una contraseña se filtra y se utiliza en un ataque de relleno de credenciales, la MFA se convierte en una segunda línea de defensa fundamental. La MFA exige un segundo código de un solo uso para completar un intento de inicio de sesión. Hay varias aplicaciones de autenticación multifactor disponibles, entre ellas las que ofrecen Apple (integrada en macOS e iOS con el llavero de iCloud), Microsoft (Microsoft Authenticator) y 1Password.
- Información de contacto: Con el ajetreo de la vida diaria, es fácil olvidar quién tiene una dirección postal, un número de teléfono, una dirección de correo electrónico o un nombre antiguos. Mantener actualizada la información de contacto puede ayudar a evitar que los avisos pasen desapercibidos y que agentes malintencionados utilicen información obsoleta para acceder a una cuenta sin autorización.
Adaptarse más rápido que un delincuente que cambia de estrategia
El compromiso compartido con la ciberseguridad entre el administrador del préstamo y el prestatario es imprescindible. La seguridad debe ser un pilar fundamental para generar confianza y minimizar la probabilidad de futuros ataques. Protejamos mutuamente nuestra vida digital mediante la implementación proactiva de medidas de seguridad. Para prestamistas y administradores de préstamos, F5 Distributed Cloud Bot Defense impide que los delincuentes adapten sus herramientas para eludir las defensas, al tiempo que mantiene a su organización por delante de los bots, con eficacia a largo plazo y sin fricciones para los clientes. Descubra cómo F5 Distributed Cloud Bot Defense puede reducir la creación fraudulenta de cuentas.
Sobre el autor
Hunter Smit es director sénior de marketing de producto para soluciones y estrategia en F5. Lidera el marketing de soluciones de toda la cartera de F5, incluidas la infraestructura de IA y la seguridad de aplicaciones, e impulsa la entrada de F5 en el mercado emergente de la entrega de datos para IA. Hunter es miembro del Consejo Asesor de la Escuela de Negocios de la Universidad Whitworth y ha ejercido como profesor adjunto de marketing de producto. Obtuvo un MBA y un grado en Administración y Dirección de Empresas, con especialización en gestión, por la Universidad Whitworth.
Más artículos de Hunter SmitArtículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.