Qué es el robo de identidad digital

El robo de identidad digital (Digital Identity Theft) es un acto delictivo que consiste en obtener ilegalmente la información personal o las credenciales de cuentas en línea de otra persona para actuar suplantando su identidad. La información robada incluye direcciones de correo electrónico, contraseñas, números de tarjetas de crédito, números de identificación personal y cuentas de redes sociales.

Los atacantes utilizan la información robada para realizar fraude financiero, compras no autorizadas, apertura de nuevas cuentas e incluso solicitudes de préstamos a nombre de la víctima. La existencia de la dark web, donde circula gran cantidad de información personal obtenida mediante phishing y filtraciones de datos, se ha convertido en el caldo de cultivo del robo de identidad digital.

Principales métodos y vías de ataque

El robo de identidad digital se ejecuta combinando múltiples métodos.

Phishing: Dirigir a sitios falsos mediante correos o SMS que suplantan a bancos o proveedores de servicios para que ingresen información de inicio de sesión o datos de tarjetas. El método más común.
Credential stuffing: Utilizar credenciales filtradas en filtraciones de datos anteriores para acceder de forma no autorizada a cuentas donde se reutilizan contraseñas.
Ingeniería social: Contactar al servicio de atención al cliente haciéndose pasar por la víctima y explotar los procedimientos de recuperación de cuenta para tomar el control.
Malware: Infectar con malware llamado keylogger o infostealer para robar contraseñas ingresadas y credenciales almacenadas en el navegador.
SIM swapping: Contactar a la compañía telefónica haciéndose pasar por la víctima para transferir el número de teléfono a la tarjeta SIM del atacante. Evadir la autenticación SMS para tomar el control de cuentas.

Es importante notar que estos métodos no se utilizan de forma aislada, sino combinados. Se obtiene información mediante phishing, luego se realiza ingeniería social basándose en esa información, expandiendo gradualmente los privilegios de acceso.

Qué hacer si eres víctima

Si detectas que eres víctima de robo de identidad digital, una respuesta rápida previene la expansión del daño.

Cambio inmediato de contraseñas: Cambiar las contraseñas no solo de la cuenta comprometida, sino de todas las cuentas donde se utilizaba la misma contraseña.
Contactar a instituciones financieras: Si se sospecha uso fraudulento de tarjetas de crédito, contactar a la compañía de la tarjeta para solicitar la suspensión y reemisión.
Recuperación de cuentas: Contactar al soporte de cada servicio para las cuentas secuestradas y realizar los procedimientos de recuperación.
Presentar denuncia: Denunciar ante la ventanilla de delitos cibernéticos de la policía. La denuncia es necesaria para reclamaciones de seguros y procedimientos legales.
Monitoreo de información crediticia: Consultar con las agencias de información crediticia si se han creado préstamos o tarjetas de crédito fraudulentas a tu nombre.

Medidas preventivas y hábitos cotidianos

Para minimizar el riesgo de robo de identidad digital, establecer hábitos de seguridad cotidianos es lo más efectivo.

Activar la autenticación de dos factores: Configurar la autenticación de dos factores en todas las cuentas importantes. Las aplicaciones de autenticación o llaves de hardware son más resistentes al SIM swapping que la autenticación por SMS.
Usar un gestor de contraseñas: Generar y gestionar contraseñas únicas y complejas para cada servicio, eliminando la reutilización.
Limitar el alcance de publicación de información personal: Revisar el alcance de publicación de la información del perfil, publicaciones y lista de amigos en redes sociales. La fecha de nacimiento, escuela de origen y nombre de mascotas se utilizan fácilmente como respuestas a preguntas de seguridad.
Precaución ante el phishing: No hacer clic en enlaces de correos o mensajes sospechosos. Acceder a los servicios legítimos escribiendo la URL directamente o desde marcadores.
Monitoreo de filtraciones de datos: Verificar periódicamente si tu dirección de correo electrónico está incluida en listas de filtraciones usando servicios como Have I Been Pwned.

El robo de identidad digital puede requerir de meses a años para la recuperación una vez que se es víctima. El tiempo invertido en prevención es mucho menor comparado con la respuesta posterior al daño.

Conceptos erróneos comunes

No soy famoso, así que no seré objetivo de robo de identidad: El robo de identidad digital se realiza de forma indiscriminada. Los atacantes utilizan herramientas automatizadas para probar en masa millones de credenciales filtradas en filtraciones de datos, por lo que cualquier persona puede ser víctima independientemente de su notoriedad o patrimonio.
Si me roban la identidad, basta con cambiar la contraseña: El cambio de contraseña es solo el primer paso. La información personal robada (nombre, dirección, fecha de nacimiento, número de identificación, etc.) no se puede cambiar como una contraseña y puede ser utilizada maliciosamente durante largo tiempo. Se necesita una respuesta integral que incluya monitoreo de información crediticia y notificación a instituciones financieras.

Robo de identidad digital