Quienes están atacando mediante estafas de phishing (suplantación de identidad) a defensores y defensoras de derechos humanos en la región de Oriente Medio y Norte de África emplean técnicas cada vez más sofisticadas para infiltrarse en sus cuentas y esquivar mecanismos de seguridad digital, según una nueva investigación publicada por Amnesty Tech.
La organización señala tres tácticas clave con las que los agresores inducen a la víctima a tomar medidas adicionales para asegurar sus cuentas online: pedir al usuario que resetee la contraseña de sus cuentas de Google; engañarlo para que autorice aplicaciones con el supuesto fin de “asegurar” sus cuentas de Outlook, y abusar de las aplicaciones de autenticación legítimas para infiltrarse en cuentas.
“Defensores y defensoras de los derechos humanos en la región de Oriente Medio y Norte de África deben estar bien alertas. Aunque sus habilidades para usar herramientas digitales dirigidas a asegurar sus cuentas estén mejorando, estos agresores han desarrollado nuevos y sofisticados métodos con los que consiguen esquivarlas”, ha advertido Claudio Guarnieri, tecnólogo principal de Amnesty Tech.
“Las estafas de phishing pueden tener consecuencias catastróficas para defensores y defensoras de derechos humanos así como periodistas en la región de Oriente Medio y Norte de África. Y es mucho lo que se juegan: numerosos activistas corren peligro de sufrir detención y reclusión arbitrarias, o tortura y otros malos tratos, si sus cuentas online quedan expuestas.”
Amnesty Tech ha publicado un documento completo con información detallada sobre la nueva ola de ataques; contiene capturas de pantalla e instrucciones precisas sobre a qué se debe prestar atención.
En julio de 2019, varios defensores y defensoras de derechos humanos de la región de Oriente Medio y Norte de África compartieron con Amnistía Internacional nuevos correos electrónicos infectados que habían recibido, que revelan una nueva campaña selectiva de phishing que, en opinión de Amnistía Internacional, está organizada por los mismos agresores del grupo documentado por Amnesty Tech en diciembre de 2018 u otro grupo estrechamente relacionado con él. El carácter sofisticado de estos ataques significa que ni siquiera una buena defensa contra el phishing —como la autenticación de doble factor— es suficiente para proteger plenamente a defensores y defensoras de los derechos humanos.