Página principal
ASUN BERENGUER CUADRADO
.
Artículo sobre la seguridad en Internet
Introducción
Aunque en los Estado Unidos la legislación reciente ha incrementado las
multas legales asociadas al envío de correo no deseado, los creadores de spam
continúan adaptándose e inundando las bandejas de entrada de las compañías.
Para ganarles la batalla a los remitentes del correo no deseado, las empresas
necesitan una solución más eficaz y multidimensional que compense el
creciente volumen de correo no deseado.
Sin tregua a la vista
Todos sabemos del impacto negativo del correo no deseado en la empresa: mina
la productividad del usuario, introduce una potencial responsabilidad jurídica
y aumenta la carga de trabajo del personal, la infraestructura y el
presupuesto de TI.
¿Cuál es la verdadera dimensión del problema? Durante los primeros seis meses de 2004, Symantec percibió un aumento marcado en la cantidad de correo no deseado que se distribuía en Internet. De hecho, el correo no deseado, generalmente definido como correo electrónico no solicitado o correo basura que proviene de terceros, constituyó más del 60% de todo el tráfico de correo electrónico durante este periodo, según la última edición del Informe sobre las amenazas a la seguridad en Internet de Symantec.
Tenga en cuenta las siguientes cifras: Nucleus Research concluyó que a comienzos de este año el costo promedio del correo no deseado por empleado en los Estados Unidos aumentó de $874 dólares americanos en Julio de 2003 a la asombrosa cifra de $1.934 en mayo de 2004 (“El correo no deseado: El asesino en serie del retorno de la inversión (ROI)”, junio de 2004.
Los creadores de spam también están diseñando nuevas formas de secuestrar computadoras para enviar correo no deseado, como lo demostraron recientes gusanos informáticos de correo electrónico masivo, como Sasser, Netsky y SoBig. Los análisis iniciales sugieren que aunque los gusanos no tenían una carga útil especialmente nociva, instalaban un programa de correo en las computadoras de las víctimas que creaba las condiciones para implementar una red inmensa de conductos de identidades ocultas a través de los cuales el correo no deseado se podía retransmitir.
Además, se espera que el correo no deseado y las amenazas asociadas a él continúen aumentando en los próximos meses. En particular, Symantec ha pronosticado un aumento en el uso del correo no deseado como herramienta en los nuevos ataques sofisticados de estafa electrónica o “phishing”. Estos ataques utilizan direcciones de correo electrónico falsificadas y sitios Web fraudulentos diseñados para engañar a los destinatarios para que divulguen información financiera personal como números de tarjetas de crédito, nombres de usuario, contraseñas de cuentas, así como otros códigos de identificación personal.
Por ejemplo, a comienzos de este año el troyano de descarga (downloader) Mimail.B utilizó correo no deseado para propagar el gusano Mimail.P, que a su vez utilizó un ataque de estafa electrónica para inducir a los usuarios a que instalaran la carga útil en sus sistemas. Una vez instalada, a los usuarios les aparecían cuadros de diálogo falsos de PayPal que luego enviaban la información obtenida a los atacantes originales.
La ley Can-Spam
La ley Can-Spam que fue aprobada en los Estados Unidos el pasado diciembre
después de ser discutida ampliamente y se suponía ayudaría a evitar que el
correo no deseado llenara las bandejas de entrada. Entonces, ¿cómo le ha ido
hasta ahora? En la mayor parte de los casos, los resultados no han sido
concluyentes.
Como aspecto positivo, se destaca que un hombre del sur de California en septiembre se declaró culpable de enviar correos no deseados a través de puntos de acceso inalámbrico o “hot spots” no protegidos lo que constituyó el primer caso de condena de acuerdo con dicha ley.
Nicholas Tombros se declaró culpable de obtener acceso no autorizado a una computadora para distribuir múltiples mensajes comerciales de correo no deseado. Se espera que sea condenado el 6 de diciembre y podría recibir una condena máxima de tres años en prisión.
Sin embargo, desde que Can-Spam se convirtió en ley, no ha podido generar litigios importantes, a pesar del aumento continuo de las campañas de marketing mediante correo no deseado. Unos pocos casos han sido noticia. En abril, el Departamento de Justicia de los Estados Unidos presentó una denuncia penal contra cuatro hombres de Detroit al amparo de esta ley, lo que se convirtió en el primer caso desencadenado por dicha legislación. En julio, la fiscalía general de Massachussets presentó una demanda contra un hombre del estado de Florida, sospechoso de enviar correos no deseados a miles de consumidores.
Se puede medir el efecto de la ley Can-Spam hasta el presente analizando los resultados de una encuesta reciente a los gerentes de TI, realizada por la compañía de investigación InsightExpress y patrocinada por Symantec. El ochenta por ciento de los gerentes dijo que el correo no deseado continúa siendo un problema, el 56,4% dijo que está bajo control y el 58,2% afirmó que el correo no deseado está aumentando. (“Encuesta determina que las pequeñas empresas están exasperadas con el correo no deseado y están dispuestas a tomar medidas”, diciembre de 2003).
El contraataque
Evidentemente el negocio del correo no deseado está en pleno desarrollo. No
volverá la época en que el correo no deseado se podía solucionar fácilmente
con métodos caseros y filtros estáticos de palabras clave. La última
generación de correo no deseado incorpora tácticas sofisticadas como
aleatoriedad extrema, ocultamiento del origen y evasión de filtros mediante
el uso de HTML. Y los creadores de spam continúan apostando fuerte al diseñar
formas de evadir los filtros y de lucrarse con sus actos.
Las organizaciones que usan el correo electrónico y que están ganando la guerra contra el correo no deseado utilizan tecnología eficaz de filtrado de correo no deseado y generalmente emplean diversas técnicas de detección. Las soluciones líderes ofrecen una combinación de tecnologías y liberan a los administradores de las tareas de instalación y mantenimiento continuo.
Symantec adopta el enfoque de multidimensional para el filtrado de correo no deseado y emplea una variedad de técnicas de filtrado para frenar a los creadores de spam. Unos filtros examinan el origen del correo electrónico, mientras que otros depuran el contenido del mensaje utilizando la información del correo no deseado en tiempo real y las técnicas proactivas como el filtrado heurístico. Puesto que el correo no deseado multilingüe se convierte en un problema mayor para las organizaciones, es también importante que las soluciones contra el correo no deseado tengan en cuenta el idioma en que están escritos los mensajes.
Las campañas educativas para el usuario sobre el correo no deseado también son esenciales. Los usuarios deben cumplir con las mejores prácticas aceptadas y seguir siendo cautelosos al abrir los correos electrónicos
Conclusiones
A pesar de los grandes esfuerzos que hacen las empresas y consumidores, el
correo no deseado continúa proliferando porque el aspecto económico de éste
sigue siendo muy atractivo. Como numerosos comentaristas han señalado, lo que
necesitan los creadores de spam para obtener ingresos mensuales de $1 millón
de dólares americanos, es que uno de cada 2.000 “víctimas del correo no
deseado” les compre $20 dólares, es decir que necesitan un promedio de
0,05% respuestas. El aspecto económico del correo no deseado sigue siendo difícil
de combatir, casi que imposible, puesto que los creadores de spam pueden
obtener casi gratis listas de millones de direcciones electrónicas
recopiladas. La única barrera para encontrar este tesoro son los filtros
contra correo no deseado.
Puede que el correo no deseado sigua proliferando, pero también se fortalecen nuestros esfuerzos por erradicarlo. Ésta fue la noticia destacada a comienzos de este mes cuando dos residentes de Carolina del Norte fueron las primeras personas del país en ser condenadas por el delito grave de enviar correo no deseado, después de que un jurado de Virginia descubrió que inundaron de correo no deseado decenas de miles de cuentas de correo electrónico de America Online. El jurado recomendó una condena de nueve años de prisión para uno de los convictos.
El juego del gato y el ratón entre los creadores de spam y los proveedores de soluciones contra correo no deseado ha perdurado por más de una década. Dado que las tácticas de los creadores de spam son más sofisticadas, es imperativo que las empresas actuales adapten continuamente sus técnicas de filtrado para hacer frente a los creadores de spam y eliminar los ataques.