{{item.videoDuration}}
{{item.title}}
{{item.text}}
{{item.videoDuration}}
{{item.text}}
Aunque el metaverso y la web3 están en constante evolución, su impacto en las formas de trabajar, jugar e interactuar es indiscutible. En el ámbito empresarial, se identifican cuatro áreas clave de oportunidad: la experiencia del colaborador, la experiencia del cliente, la mejora de procesos y la creación de nuevos productos y servicios. Sin embargo, a pesar de la innovación que está ocurriendo en estas áreas, la ciberseguridad y las estrategias antifraude no han avanzado al mismo ritmo que el crecimiento y desarrollo del metaverso.
El metaverso abre nuevas oportunidades para que los delincuentes se aprovechen de aquellos inexpertos y poco familiarizados con esta tecnología, mediante ciberataques como el phishing y las estafas. Además de las pérdidas económicas directas, se presentan riesgos evidentes para la reputación de la marca porque dependiendo de la materialidad y frecuencia de los ataques podrían ocasionar demandas por parte de consumidores, grupos de protección al consumidor, agencias de investigación y reguladores.
Un metaverso en el que no se pueda confiar también podría estancar los diferentes procesos empresariales. De hecho, según la Encuesta sobre el Metaverso 2022 de PwC, en la que participaron más de 1.000 ejecutivos y 5.000 consumidores, evidencia que la ciberseguridad y la privacidad eran las principales preocupaciones que les impedían adoptarlo. El metaverso podría potenciar la ciberdelincuencia existente y dar lugar a nuevos tipos de amenazas cibernéticas.
Te puede interesar: Gestión de los riesgos de la IA generativa
Sin embargo, el metaverso respaldado por una infraestructura web3 basada en blockchain podría convertirse en el lugar propicio para encontrar soluciones como la mejora de la protección cibernética y los protocolos, la posibilidad de que los usuarios controlen qué datos se comparten y una mejor verificación de los usuarios.
¿A qué te enfrentas?
Aunque existen muchos tipos de estafas relacionadas con el metaverso y el mundo web3, las más frecuentes son el phishing y la ingeniería social, técnica diseñada para persuadir a un individuo con el objetivo de obtener información específica o inducirlo a realizar una acción determinada, pero con motivaciones ilegítimas.
A pesar de que los delitos en sí son los mismos, el metaverso se presenta como un terreno fértil para el desarrollo de formas novedosas y poco conocidas de abordar a las víctimas con el objetivo de sustraer sus activos. A continuación, se presentan cuatro ataques comunes utilizados actualmente por los ciberdelincuentes.
- Mensajes fraudulentos
- Airdrops y regalos maliciosos
- Phishing
- Ice phishing
Mensajes fraudulentos
Los mensajes fraudulentos adoptan diversas formas, desde sitios web, cuentas de redes sociales falsas hasta correos electrónicos engañosos, soporte técnico ficticio y mensajería automatizada en plataformas destinadas a facilitar la comunicación entre consumidores y administradores. Aunque los espacios de metaverso se centran principalmente en comunicaciones de voz en tiempo real, también incorporan funciones de chat y mensajes instantáneos basados en texto. Estas tácticas fraudulentas han demostrado ser eficaces para engañar a las víctimas, incitándolas a hacer clic en enlaces o archivos adjuntos maliciosos, interactuar con formularios web o contratos inteligentes falsificados, para así adquirir información confidencial.
Además, el metaverso ha introducido la "ingeniería social 3D", en la cual los estafadores se acercan a las víctimas mediante la imitación de dominios conocidos y adoptan la forma de avatares 3D diseñados para parecerse a empresas reconocidas. El objetivo es inducir a las personas a compartir información y accesos confidenciales.
A principios de 2022, un servidor en un entorno metaverso respaldado por blockchain sufrió una vulneración, enviando mensajes fraudulentos a los miembros sobre un "sorteo exclusivo". Cientos de miles de activos digitales fueron sustraídos debido a las personas desprevenidas que visitaron el sitio web falso e interactuaron con el contrato inteligente fraudulento del atacante.
Airdrops y regalos maliciosos
Las empresas utilizan los airdrops como una forma de recompensar a sus inversionistas y como una herramienta de marketing para incentivar a los usuarios a comprar productos y servicios disponibles en sus plataformas. Muchos propietarios de proyectos suelen dar sus token de criptomoneda nativos o un NFT a sus inversores permitiéndoles navegar por su sitio web, conectar sus carteras digitales y firmar un contrato inteligente.
Lamentablemente, los estafadores explotan este método para engañar a personas desprevenidas, llevándolas a hacer clic en enlaces maliciosos o firmar contratos inteligentes fraudulentos. Esto otorga a los ciberdelincuentes un acceso completo a los activos digitales de las víctimas, los cuales desaparecen en cuestión de instantes.
Phishing
Es la forma que proporciona a los usuarios acceso a sus claves privadas y, por ende, a sus activos digitales. Los estafadores buscan obtener esta información de los usuarios para tomar control de sus carteras digitales y los activos asociados, utilizándolos posteriormente para realizar transacciones fraudulentas en nombre de la víctima. Es importante destacar que, si la clave se almacena fuera de línea, la única forma en que un atacante puede obtenerla es si el usuario la comparte voluntariamente o si la roban del entorno físico donde se guarda.
Otra táctica común empleada por los estafadores para llevar a cabo este tipo de phishing es crear réplicas de sitios web legítimos, en el que le solicitan a las víctimas que creen una cuenta e iniciar sesión utilizando su clave. A finales de 2021, se identificaron sitios web falsos imitando a populares carteras digitales, donde los estafadores lograron robar medio millón de dólares mediante este método.
Ice phishing
Este esquema innovador engaña a las personas para que asignen o deleguen la aprobación de su dirección de criptomoneda al atacante. La manipulación ocurre cuando el atacante altera la dirección de la víctima por la suya propia mediante la inyección de un script malicioso en un contrato inteligente, a la espera de que la víctima autorice una transacción. Una vez que esto sucede, el contrato inteligente permite al atacante llevar a cabo transacciones en nombre de la víctima.
Dada la complejidad inherente al lenguaje de codificación de los contratos inteligentes, resulta difícil para un usuario inexperto percatarse de que el contrato ha sido manipulado. Esta dificultad se ve agravada por el hecho de que las interfaces de las ventanas que aparecen en la pantalla rara vez ofrecen una descripción clara y comprensible de las acciones que el contrato inteligente llevará a cabo una vez autorizada la transacción. Este factor incrementa la probabilidad de que una persona apruebe una transacción sin comprender completamente sus implicaciones.
En una ocasión, los estafadores desarrollaron sitios web falsos vinculados a un entorno metaverso específico. Utilizaron anuncios web y pagaron para que su sitio de imitación ocupará los primeros lugares en los resultados de búsqueda. Una vez dentro del sitio falso, los usuarios vinculaban sus monederos y firmaban lo que creían que era un acuerdo inofensivo para acceder a sus cuentas. Sin embargo, en realidad, estaban firmando un contrato que modificaba su estado y otorgaba a los estafadores acceso a sus activos.
Te puede interesar: El rol de la auditoría interna en el ámbito de ciberseguridad
¿Cómo proteger a tu empresa y clientes?
¡Cambia la manera en que ves el riesgo! Descubre los riesgos a los que se enfrentan las compañías colombianas y las principales acciones para gestionarlos.
Debido a lo novedoso que es la web3 y el metaverso, existe escasa o nula regulación que resguarde a los consumidores y pocos recursos están disponibles para las víctimas que han sufrido el robo de sus activos digitales. Además, las exigencias a las empresas operando en este espacio son limitadas. No obstante, a pesar de este panorama, existen medidas proactivas que las organizaciones pueden implementar para identificar y protegerse a sí mismas, así como a sus clientes, frente a este tipo de estafas.
Este artículo está basado en el artículo “Metaverse security: Emerging scams and phishing risks” de PwC US. Esta versión es organizada y revisada por PwC Colombia.
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{contentList.loadingText}}
Síguenos PwC Colombia
