Fraude en llamadas por Zoom

Incluso antes de la pandemia del COVID-19, Zoom ya se había establecido como una de las herramientas más importantes para realizar reuniones digitales y videollamadas, tanto en entornos profesionales como privados. Sin embargo, con el aumento de su popularidad, también se han incrementado considerablemente los intentos de fraude relacionados con las llamadas por Zoom. Los ciberdelincuentes utilizan diversos métodos para acceder, por ejemplo, a datos personales sensibles, robar identidades o estafar grandes cantidades de dinero.

En el contexto B2B, el fraude a través de Zoom también está adquiriendo una relevancia creciente, sobre todo porque los ataques están dirigidos específicamente a empresas, directivos y procesos y sistemas empresariales sensibles. Las consecuencias pueden ir desde pérdidas financieras y daños a la reputación hasta la paralización total de los procesos empresariales.

En este contexto, resulta aún más importante que las empresas implementen procesos eficientes de conoce a tu empleado (KYE, por sus siglas en inglés) y de conoce a tu cliente (KYC), prestando especial atención a las soluciones de verificación de identidad.

Los fraudes más comunes relacionados con Zoom

Las estafas en las que los delincuentes utilizan Zoom son, en su mayoría, similares a otros métodos de ingeniería social, como se muestra en los siguientes ejemplos:

Invitaciones falsas a Zoom y phishing

Los empleados, especialmente quienes toman decisiones, reciben correos electrónicos invitándolos a una supuesta reunión interna por Zoom. El mensaje parece provenir de colegas o superiores y, a menudo, incluye URLs personalizadas falsas (vanity URLs) que se asemejan mucho a los dominios oficiales de la empresa.

En estos casos, los enlaces llevan a páginas falsas de inicio de sesión de Zoom, donde se pueden robar las credenciales. Alternativamente, estas invitaciones contienen enlaces o archivos adjuntos que, al abrirse, instalan software malicioso.

Consecuencias posibles:
Los datos de acceso robados de este modo permiten a los ciberdelincuentes acceder a sistemas internos, cuentas de correo electrónico y datos empresariales sensibles. En el peor de los casos, los atacantes podrían tomar el control del sistema de correo electrónico y enviar facturas falsas a gran escala a los clientes de la empresa afectada.

Fraude del CEO a través de Zoom

Los atacantes se hacen pasar por superiores o socios comerciales y se aprovechan de la familiaridad con las videollamadas de Zoom para engañar a los empleados.

Mediante enlaces manipulados o invitaciones falsas, convencen a los empleados de proporcionar información confidencial o realizar transferencias bancarias en nombre de la empresa.

En el sector financiero ya se han documentado pérdidas millonarias provocadas por llamadas falsas de Zoom, en las que supuestos colegas o socios solicitaron la transferencia de grandes sumas de dinero.

Infiltración con malware y ransomware

Las consecuencias de una invitación falsa a Zoom pueden ser especialmente graves si se utiliza un sitio falso de Zoom para distribuir malware como Vidar Stealer, diseñado para robar datos bancarios, contraseñas y monederos de criptomonedas.

Incluso en empresas cuyos empleados participan regularmente en reuniones por Zoom, existe un alto riesgo de que, sin saberlo, introduzcan malware en los sistemas corporativos.

Consecuencias posibles:
Una vez que el software malicioso está instalado, los delincuentes pueden acceder a datos sensibles de la empresa y utilizarlos para extorsionar o vender la información.

Particularidades en el contexto empresarial

Como ya se mencionó, los criminales utilizan con frecuencia vanity URLs —es decir, enlaces de Zoom manipulados con apariencia corporativa— para engañar a los empleados. También se aprovechan del alto ritmo de reuniones que caracteriza a muchas empresas. Dado que los empleados están acostumbrados a recibir muchas invitaciones, aumentan las posibilidades de éxito de una invitación fraudulenta a una videollamada.

En el contexto corporativo o B2B, los daños financieros pueden ser especialmente elevados, ya que los criminales suelen apuntar directamente a procesos de pago o a la gestión de tesorería.

Cómo pueden protegerse las empresas del fraude por Zoom

Entre las medidas estándar para protegerse contra las distintas variantes de fraude por Zoom, se incluyen:

• Formaciones periódicas de concienciación sobre phishing e ingeniería social
• Procesos de aprobación en dos pasos y confirmaciones personales ante instrucciones de transacciones inusuales
• Medidas técnicas, como la autenticación multifactor, actualizaciones periódicas, el uso de antivirus y filtros web
• Protocolos claros para actuar ante incidentes de seguridad

Procedimientos de identificación digital para prevenir el fraude por Zoom

Dado el creciente peligro de las tecnologías de deepfake y la ingeniería social, las medidas de seguridad tradicionales —como contraseñas seguras o la autenticación en dos pasos— ya no son suficientes en muchos casos.

Los procedimientos de identificación digital avanzados, como los que ofrece WebID, están adquiriendo un papel central en la lucha contra el fraude por Zoom en el ámbito B2B:

• Prevención del robo de identidad:
  Las soluciones de verificación de identidad digital permiten a las empresas confirmar la identidad de los participantes antes de que accedan a reuniones internas sensibles por Zoom.
• Protección contra deepfakes:
  Los delincuentes que apuntan a empresas B2B ya utilizan deepfakes para engañar a los empleados. Las carteras digitales (wallets) con credenciales verificadas y protegidas criptográficamente garantizan que solo las personas autorizadas accedan a las reuniones por Zoom y a la información empresarial sensible.
• Verificación en tiempo real:
  Los métodos modernos de identificación digital permiten comprobar la identidad en tiempo real, por ejemplo, escaneando un código QR con una wallet digital.