Estafadores usan información de los currículums para hackear a postulantes de empleo

Múltiples empresas de seguridad digital llevan tiempo alertando de un considerable aumento en el número de hackeos y ciberataques que se están produciendo en los últimos años, sobre todo a raíz de los primeros meses del confinamiento durante la pandemia de 2020. Sin embargo, lejos de menguar después de la pandemia, los hackeos continuaron en aumento, y siguen al alza en pleno 2024. En Argentina, algunos de estos hackeos llegaron a afectar a múltiples instituciones públicas. El hackeo más reciente –negado posteriormente desde fuentes oficiales– parece haber sido el del Renaper, que habría dejado expuestos los datos de más de 65 millones de personas. Este tipo de bases de datos son especialmente peligrosas, porque los ciberatacantes pueden usar luego esta información para vulnerar las cuentas digitales de las personas afectadas. Este es uno de los motivos por los que son muchos los hackers que publican ofertas de empleo falsas en los portales de búsqueda de trabajo de nuestro país. Estas ofertas fraudulentas tratan de robar los datos adjuntos en el currículum, o, peor aún, diseñan formularios de aplicación de empleo donde se formula todo tipo de preguntas que un ciberatacante puede aprovechar después para vulnerar las contraseñas de los postulantes.

El robo de identidad a través del 'SIM swapping'

De todos los posibles robos de identidad derivados de este tipo de ofertas de empleo falsas, el 'SIM swapping' es el más peligroso. Se trata de un tipo de estafa donde los hackers obtienen información crítica sobre sus víctimas, incluyendo su número de teléfono y documentos escaneados que acreditan su identidad. Resulta sencillo obtener estos escaneos como parte de un falso proceso de reclutamiento en una empresa. Seguidamente, los hackers se ponen en contacto con la compañía telefónica y se hacen pasar por la víctima. Comunican entonces el falso extravío de su tarjeta SIM, y solicitan un duplicado que será remitido a la dirección del hacker. En cuanto el estafador recibe la nueva tarjeta SIM, pasa a controlar la línea telefónica del aplicante, y procede a usarla para resetear las contraseñas de sus cuentas online. Entre las cuentas que puede empezar a controlar el hacker mediante esta suplantación de identidad destacan las cuentas bancarias. Si el hackeo tiene éxito, el hacker podría tener pleno control sobre la app de banca online de la víctima, apropiarse de sus tarjetas de débito o crédito, o incluso transferirse dinero de forma directa a una cuenta internacional. Cuando el dinero sale del país, ya es prácticamente imposible recuperarlo.

La IA juega a favor de los hackers

Muchos de estos ciberataques se producen desde países como China, Rusia o Myanmar, lo que hace que sea muy difícil trazar el recorrido del dinero robado hasta los estafadores. Con frecuencia, los fondos se transfieren a billeteras de criptomonedas como Monero, que no pueden rastrearse ni siquiera a través de las blockchain. Las autoridades argentinas no disponen de los medios ni la jurisdicción para dar con los atacantes. Además, la empresa de ciberseguridad ExpressVPN nos advierte que muchos estafadores están usando la IA para redactar estas ofertas, lo que facilita todavía más el proceso para los hackers que operan lejos de nuestro territorio. Incluso si no hablan español o no conocen la realidad del mercado laboral argentino, les basta con pedirle a ChatGPT que redacte la oferta en su lugar, y en apenas unos segundos tendrán la oferta lista para su publicación. Del mismo modo, la enorme diversidad de ofertas que ChatGPT es capaz de redactar en cuestión de minutos –con una gramática excelente, y siempre con términos variables– dificulta todavía más su identificación por parte de los portales de empleo. No existen parámetros claros que permitan determinar si una oferta es falsa o no, así que, en última instancia, la seguridad digital de los aplicantes queda en sus propias manos.

Los consejos de las compañías de seguridad digital

Las empresas de ciberseguridad ponen un gran énfasis en la prevención y la higiene digital a la hora de evitar este tipo de ciberataques. Los hackers aprovechan la información que les facilitamos a través de nuestra solicitud de empleo para tratar de vulnerar nuestras cuentas, con lo que debemos reducir al mínimo la información incluida en estas solicitudes. Esto se aplica especialmente a nuestros datos de contacto. Si le damos a un hacker un correo electrónico, va a intentar usarlo para acceder a las cuentas de Mercado Libre o de Instagram asociadas a ese correo. Si le damos un número de teléfono, va a intentar vulnerar las cuentas bancarias asociadas a ese número. Por eso es tan importante que el correo electrónico y el teléfono de nuestro currículum sean secundarios para nosotros, y no estén asociados a ninguna cuenta que pueda ponernos en riesgo. Además, también se recomienda contar con herramientas de seguridad digital básicas como sistemas antimalware, porque de este modo podemos recibir alertas si estamos a punto de visitar una página web de phishing. Los ciberatacantes a menudo usan este tipo de webs falsas para estafar a sus víctimas o robar sus claves de acceso, así que una alerta temprana puede ayudarnos a impedir lo que de otro modo podría ser un hackeo devastador.