Cuestiones Previas

• ¿Qué es la criptografía?

• ¿Qué utilidad tiene?

• ¿Cómo ha evolucionado la criptografía a lo largo del tiempo?

1. Introducción

En esta situación de aprendizaje, nos convertiremos en unos expertos en ciberseguridad que hemos sido contratados por una Pyme:

• Identificar las causas de un ciberataque analizando el funcionamiento de la empresa y el trabajo de sus empleados.

• Tomar medidas de seguridad tanto pasivas como activas para lograr que no este problema no vuelva a suceder.

2. Situación de aprendizaje

1.1 Pilares de la seguridad informática

Parece lógico pensar que lo primero que debas tener claro en ciberseguridad sea, precisamente, qué es la seguridad en Internet y cómo se puede conseguir.

Puedes considerar la seguridad en internet como el conjunto de precauciones que se toman para proteger todos los elementos que forman parte de la red, tanto su infraestructura como la información.

En clara relación con lo anterior está el concepto de seguridad informática, entendida como el conjunto de métodos, normas, procedimientos y herramientas para tratar de eliminar los riesgos a los que están sometidos los sistemas informáticos y en particular la información que gestionan.

Los pilares que soportan la seguridad de la información son básicamente tres: 

La  ciberseguridad en la seguridad de la información lógica o digital. 

1.2 Confidencialidad y contraseñas

La  confidencialidad consiste en hacer accesible la información solo y exclusivamente a las personas autorizadas. Como puedes comprender, hay una relación clara y directa de este principio con las contraseñas (o passwords en inglés).

Según el Instituto Nacional de Ciberseguridad (Incibe) -dependiente del Ministerio de Asuntos Económicos y Transformación Digital- uno de los errores más habituales que cometen los usuarios en la gestión de las contraseñas es utilizar una clave "débil" y emplear además la misma en varios servicios y aplicaciones y en diferentes dispositivos. 

Hazte las siguientes preguntas pensando en tus contraseñas: 

• ¿Cuántas utilizan o han utilizado la fecha de su cumpleaños?

• ¿Cuántas utilizan o han utilizado su nombre, apellidos o combinación de ellos (las iniciales por ejemplo)?

• ¿Cuántas personas utilizan una única contraseña para todo o casi todo?

• ¿Cuántas personas creen que tienen unas contraseñas realmente imposibles de adivinar?

En el siguiente enlace encontrarás una herramienta que te permitirá conocer el nivel de seguridad de tu contraseña. Ciberprotector.

1.2.1 ¿Cómo crear y gestionar contraseñas seguras?

Vamos a explicar cómo proteger tus cuentas online y de tu PC frente a ataques informáticos.

1. Primero vamos a dar algunos consejos para crear unas contraseñas que sean lo más seguras posible.

2. Seguiremos con una serie de recomendaciones para gestionarlas después y reforzar la seguridad de tus cuentas .

Puedes crear contraseñas seguras siguiendo estos consejos:

• Nunca tienes que utilizar contraseñas cortas que puedan obtenerse mediante ingeniería social, como el nombre de tu mascota, fechas importantes para ti o códigos postales. 

• Tampoco hagas sustituciones clásicas como cambiar una e por un 3 o una o por un 0, ya que son trucos que los cibercriminales se conocen. 

• No te centres en criterios y fórmulas predefinidas por las páginas en las que te registras (determinados caracteres alfanuméricos, que uno de ellos tiene que ser en mayúscula y que otro sea un símbolo...)

• Es útil que utilices contraseñas fáciles de recordar pero difíciles de adivinar. 

Pasos que es importantes para gestionar las contraseñas para mantener tus cuentas seguras: 

• No reutilizar las contraseñas en más de un lugar y mucho menos la misma para todo. 

• Intenta no compartir tus contraseñas con nadie más, ya que al hacerlo aumentas considerablemente las posibilidades de que caigan en malas manos. 

• Es importante cambiar tus contraseñas cada cierto tiempo ya que puede haber filtraciones que las expongan online. 

• Utiliza siempre que puedas el doble factor de autenticación.

En este enlace tenemos una serie de recomendaciones para poder tener contraseñas fuertes.

Si hacemos más seguras nuestras contraseñas, evitaremos intrusismo o suplantación de identidad digital u otros problemas de acceso a los datos por parte de terceros.  Internet puede ser una grieta para acceder a los datos del usuario. En ocasiones, la despreocupación por parte del usuario, puede ser un problema de fácil prevención.

1.2.2 Autentificación de dos factores

Una forma de aumentar la seguridad de forma complementaria al uso de contraseñas es lo que se conoce como "two factor authentication" (2FA), también conocido en español como autenticación (verificación o identificación) de dos factores o dos pasos.

Básicamente es acceder a una cuenta de usuario mediante una identificación adicional al nombre de usuario y la contraseña. Puede ser, entre otros métodos, añadiendo un código, datos biométricos (como huella dactilar o reconocimiento facial) o una pregunta de seguridad de la que solo tú conoces la respuesta.

1.3 Malware

Con la gran cantidad de información importante que va de ordenador a ordenador en todo el mundo, ha aumentado el riesgo de troyanos, virus, ransomware, spyware y otras amenazas digitales. Normalmente a todos se les califica de forma genérica como virus pero no son lo mismo. El termino correcto es Malware. 

1.3.1 Virus

• Un virus informático se adhiere a un programa o archivo para poder propagarse de un equipo a otro e infectarlos a medida que se desplaza.

• Al igual que los virus naturales, la gravedad de los virus informáticos puede variar: algunos solo causan leves molestias, mientras que otros pueden dañar hardware, software o archivos.

• Casi todos los virus se adjuntan a un archivo ejecutable, lo que significa que los virus pueden encontrarse en su equipo pero no pueden afectarle a menos que abra o ejecute el programa malicioso.

• Hay que destacar que los virus no se pueden propagar sin intervención humana, como cuando ejecutamos un programa infectado.

• Los usuarios propagan un virus informático, casi siempre de manera involuntaria, compartiendo archivos infectados o enviando mensajes de correo electrónico con virus en archivos adjuntos.

1.3.2 Gusanos

• Los gusanos se propagan de ordenador en ordenador pero, a diferencia de los virus, tienen la capacidad de desplazarse sin intervención humana.

• Un gusano se aprovecha de las funciones de transferencia de archivos o de información del sistema, que le permiten viajar por sus propios medios.

• El mayor peligro de un gusano es su capacidad de replicarse en su sistema. Es decir, en lugar de enviar un solo gusano, su equipo puede enviar centenares o miles de copias de sí mismo, lo que puede tener consecuencias devastadoras. Por ejemplo, un gusano envía una copia de sí mismo a todos los nombres que aparecen en su libreta de direcciones de correo electrónico. A continuación, el gusano se replica y se envía a todas las personas que figuran en la libreta de direcciones de cada uno de los destinatarios originales, y así sucesivamente.

• Debido a su facilidad innata de replicarse y a su capacidad para desplazarse por las redes, en la mayoría de los casos, el gusano consume demasiada memoria del sistema o ancho de banda de la red. Como consecuencia, los servidores de las redes, los servidores web y los equipos dejan de responder.

1.3.3 Troyanos

• Un troyano no es un virus, sino un programa destructivo que se hace pasar por una aplicación auténtica.

• A diferencia de los virus, los troyanos no se replican, pero pueden ser igual de dañinos.

• Además, los troyanos abren una puerta trasera en el equipo que facilita a usuarios y programas maliciosos el acceso a un sistema para robar información personal y confidencial.

1.4 Antivirus

Todos los antivirus protegen a nuestro sistema de las siguientes formas:

• Como cortafuegos: El antivirus hace de barrera entre nuestros dispositivos e Internet y controla quién accede a la información de éstos y qué información sale al exterior. Por ello, no permite que se abran ciertas ventanas emergentes y bloquea la publicidad.

• Analizando las direcciones web: El antivirus comprueba si una determinada dirección puede enlazar con otra que contenga un virus o si es segura.

• Protegiendo los correos electrónicos: El antivirus analiza los correos electrónicos que entran y salen de nuestros dispositivos para comprobar si son seguros o si contienen un virus. Suelen tener un filtro antispam y otro antiphishing, para detectar posibles intentos de suplantación de identidad.

• Realizando copias de seguridad: El antivirus realiza copias de seguridad de los archivos más relevantes de nuestros dispositivos para restaurarlos en caso necesario.

1.4.1 Características

Los antivirus son muy eficaces frente a: 

• Ataques de día cero . 

• Amenazas en la web y por correo electrónico. 

• Malware.

Y sus principales características son:

• Protección del navegador web.

• Protección contra suplantación de identidad.

• Redes privadas virtuales (VPN) para una navegación segura.

• Actualizaciones automáticas de las definiciones de virus para mantener el software al día.

• Análisis heurísticos para detectar nuevas amenazas antes de que exista una definición.

1.4.2 Consejos para elegir un buen antivirus

• Los antivirus gratuitos no tienen por qué ser peores ni inadecuados, ya que pueden proteger perfectamente nuestros dispositivos de los riesgos más habituales. Sin embargo, si queremos tener la opción de tener más funcionalidades y un servicio más completo, será mejor recurrir a un antivirus de pago.

• Como ya se ha mencionado, resulta importante también elegir un antivirus que no reduzca el rendimiento de nuestros dispositivos ni del sistema. Además, un buen antivirus debe tener una tasa de detección casi perfecta, debiendo asegurarnos de que nos protege frente al 95% de los virus, como mínimo.

• El antivirus se puede y debe personalizar según las necesidades de cada usuario, lo más recomendable es que tenga una configuración intuitiva.

• Considerar la reputación de la marca del antivirus es importante, ya que puede ser una apuesta más segura que comprar un antivirus de una empresa desconocida. Esto se debe a que las buenas soluciones de seguridad suelen seguir siéndolo, por norma general, a medida que pasa el tiempo.

• En cuanto a las funcionalidades, es importante escoger un buen antivirus las opciones que ofrece y si queremos ampliarlas con una suite de seguridad integral que facilite también protección frente a la suplantación de identidad, control parental o una mayor gama de protección.

• Un buen antivirus debería actualizarse cada día e, incluso, varias veces al día. Si los virus evolucionan, a la par debe hacerlo el sistema que nos protege frente a ellos.

•  Asegurarse de que el antivirus que queremos instalar no pierda funcionalidades y sea compatible con el sistema operativo de nuestros dispositivos. 

1.5.Hacker vs Ciberdelincuente

En el mundo existen diferentes tipos de hackers que pueden tener unas motivaciones e intereses diferentes que van desde los que buscan obtener dinero aunque sea por medios ilícitos, a los que persiguen la emoción que les produce entrar en territorio prohibido o descubrir algún secreto. 

Los greyhat hackers o hackers de sombrero gris se caracterizan por discurrir entre “el bien y el mal” del mundo del hacking. Los "malos" se suelen identificar como hackers de sombrero negro (blackhats), que se dedican a buscar fallos de seguridad y explotarlos en su propio beneficio. A los "buenos", se les conoce como hackers de sombrero blanco (whitehats o “hackers buenos”), que se dedican a buscar e investigar agujeros de seguridad y una vez los localizan avisan a la empresa en cuestión o lo difunden públicamente para que sea resuelto. No buscan recompensa pues su intención es altruista, mejorar la seguridad en general. 

Los hackers de sombrero gris se mueven entre uno y otro. No buscan aprovecharse de un agujero de seguridad de forma directa, pero si lo descubren intentan sacar tajada vendiéndoselo a gobiernos, militares o servicios de inteligencia. No existe el altruismo pero tampoco la intención de perjudicar a las empresas. 

Si tienes curiosidad sobre los tipos de hackers que existen, en este enlace se describen 8 de ellos.

1.6.Hacking ético

El hacking ético es la acción que realiza un individuo que utiliza los conocimientos de informática y seguridad para detectar fallos y vulnerabilidades de seguridad en los sistemas, siempre con el objetivo de informar de éstas a las organizaciones y que puedan tomar medidas al respecto.

Los hackers éticos suelen realizar pruebas o tests denominados “tests de penetración“. El objetivo de estos test es poder burlar las vallas de seguridad que tiene la red de la organización que contrató sus servicios, siempre con la única intención de demostrar las vulnerabilidades.

1.6.1.Fases del hacking

Las fases del hacking según su secuencia de realización son:

1. RECONOCIMIENTO

El reconocimiento pasivo involucra la recolección de información con respecto a un potencial blanco sin tener un contacto directo él. Son considerados métodos de recolección de información pasivo:

• Recolección de información, Information Gathering.

• La Ingeniería Social (Social Engineering). 

• El Sniffing: es una herramienta de software o hardware que permite al usuario supervisar su tráfico en Internet en tiempo real y capturar todo el tráfico de datos que entran y salen de su equipo. 

El reconocimiento activo implica un contacto más directo e intrusivo, algunos métodos pueden incluir el sondeo de la red para descubrir hosts, direcciones IP y servicios que se ejecutan en la red.

Tanto el reconocimiento activo como el reconocimiento pasivo tienen como objetivo conducir al descubrimiento de información útil que puede ser usada para realizar un ataque en siguientes etapas.

2. ESCANEO

El escaneo consiste en tomar la información descubierta durante el Footprinting o reconocimiento y utilizarlo para examinar la red.  Cualquier información que pueda ayudar a perpetrar un ataque contra un objetivo, tales como los siguientes:

• Nombres de computadora.

• Sistema operativo (SO).

• Software instalado.

• Direcciones IP.

• Cuentas de usuario.

3. OBTENER ACCESO

La fase de exploración implica la toma de la información descubierta durante la fase de reconocimiento y examinar con el fin de llegar a encontrar posibles vectores de ataque y los métodos que puedan usarse para acceder al sistema. 

4. MATENER ACCESO

Las vulnerabilidades descubiertas durante las fases de exploración y reconocimiento ahora son explotadas para obtener acceso al sistema.

Esta es realmente la fase de hacking del sistema que solo podrá tener éxito y ser lo más eficiente si la recolección y análisis de la información es adecuada, en este se usan las vulnerabilidades encontradas y las formas de aprovecharlo.

Hacking ético:

El hacker ético en este paso realiza su informe para reportar sus hallazgos y realizar recomendaciones de prevención al cliente.

5. LIMPIAR HUELLAS

Cracker:

Una vez que el atacante ha sido capaz de ganar y mantener el acceso al sistema, cubre las huellas para evitar ser detectado, para poder seguir usando el sistema comprometido, para eliminar evidencias de la intrusión al sistema y/o para evitar acciones legales.

Hacking ético:

En esta fase se presenta el informe al cliente. Además en esta fase el hacker ético, intenta identificar cuándo el sistema esta siendo manipulado para ocultar acciones no permitidas.

1.7 Tipos de ataques

Los ciberdelincuentes se encuentran siempre al acecho de nuevas formas con las que atacarnos a los usuarios aprovechándose de nuestro desconocimiento o vulnerabilidades en nuestras defensas.
Sus objetivos son muchos y pueden tener distintas consecuencias para el usuario.

Los tipos de ataques están clasificados en uno de estos cuatro tipos.

Ataques a contraseñas

Los ciberdelincuentes se sirven de diversas técnicas y herramientas con las que atacar a nuestras contraseñas:

• Ataque de diccionario

• Ataque de fuerza bruta.

• Keylogger (registradores de teclas).

Ataques por ingeniería social

Se basan en un conjunto de técnicas dirigidas a nosotros, los usuarios, con el objetivo de conseguir que revelemos información personal o permita al atacante tomar control de nuestros dispositivos. Existen distintos tipos de ataques basados en el engaño y la manipulación, aunque sus consecuencias pueden variar mucho, ya que suelen utilizarse como paso previo a un ataque por malware:

• Phishing por e-mail.

• Llamadas falsas.

• Estafas por redes sociales.

• Producto gratis.

• Baiting.

Ataques a las conexiones

Son muy comunes, y los ciberdelincuentes se sirven de diversos software y herramientas con las que saltarse las medidas de seguridad e infectar o tomar control de nuestros dispositivos.
Generalmente, este tipo de ataques se basan en interponerse en el intercambio de información entre nosotros y el servicio web, para monitorizar y robar datos personales, bancarios, contraseñas, etc.

• Ataque DoS.

• Ataque DDoS.

• Ataque Man-In-The-Middle

Ataques por malware

Se sirven de programas maliciosos cuya funcionalidad consiste en llevar a cabo acciones dañinas en un sistema informático y contra nuestra privacidad. Generalmente, buscan robar
información, causar daños en el equipo, obtener un beneficio económico a nuestra costa o tomar el control de su equipo.

• Virus.

• Troyanos.

• Gusanos.

1.8. Técnicas de Pentesting

El Pentesting es una abreviatura formada por dos palabras “penetration” y “testing” y es una práctica/técnica que consiste en atacar diferentes entornos o sistemas con la finalidad de encontrar y prevenir posibles fallos en el mismo. Está diseñado para determinar el alcance de los fallos de seguridad de un sistema.  

1.8.1. Information Gathering

Information gathering es el acto de recopilar diferentes tipos de información contra la víctima o el sistema objetivo. Este es el primer paso o la etapa inicial de Ethical Hacking. “Information Gathering” (también llamada “footprinting”) es una táctica habitual llevada a cabo por los ciberdelincuentes como paso previo al ataque a una entidad.

Consiste en recabar la máxima cantidad de información posible de fuentes abiertas (buscadores, redes sociales, sitios web públicos con contenido filtrado o recopilado…). Dicha información permite al atacante elaborar un “perfil” de su objetivo, aumentando así las probabilidades de éxito. De hecho, un atacante empleará el 90% de su tiempo en detallar un buen perfil de su objetivo y un 10% en lanzar el ataque.

Fases:
• Pasivo: Cuando hablamos de Information Gathering pasivo nos referimos a aquellos datos que podemos conseguir de la organización a auditar sin tener que interactuar con ella directamente.
• Activo: En el caso de la recolección de datos activa, interactuamos directamente con la organización, por ej. al realizar un escaneo .

Son muchas las herramientas, técnicas y recursos disponibles que cumplen con este propósito.
Estas son algunas de ellas:

• Google Hacking.

• Whois, Nslookup.

• Metadatos.

• Ingeniería Social.

• Herramientas automatizadas para recolectar todo tipo de información.

1.8.2. Fases del pentesting

Recogida de información

Estas auditorías comienzan con la recogida, en fuentes de acceso abierto, de información sobre la empresa, los empleados, usuarios, sistemas y equipamientos. 

Análisis de vulnerabilidades

Continúa con un análisis de vulnerabilidades que se intentarán explotar, incluso con técnicas de ingeniería social, atacando a los sistemas hasta conseguir sus objetivos.

Informe de resultados

Finalmente, se realiza un informe que indica si los ataques tendrían éxito, y en caso afirmativo porqué y qué información o acceso obtendrían, es decir, se simulan ataques tal y como los llevaría a cabo un ciberdelincuente que quisiera hacerse con el control del sistema o con la información en él contenida.

1.8.3 Tipos y objetivos del pentesting

Los objetivos del pentesting son:

1. Determinar si el sistema informático es vulnerable o no.

2. Evaluar si las defensas con las que cuenta, son suficientes y eficaces.

3. Valorar la repercusión de los fallos de seguridad que se detecten.

Existen diferentes tipos de pruebas de penetración según la información inicial con la que cuenta el auditor, así, pueden ser: 

De caja blanca

Si disponen de toda la información sobre los sistemas, aplicaciones e infraestructura, pudiendo simular que el ataque se realiza por alguien que conoce la empresa y sus sistemas 

De caja gris

Si dispone de algo de información pero no de toda. 

De caja negra

Si no dispone de información sobre los sistemas; en este caso, se simula lo que haría un ciberdelincuente ajeno. 

1.9 Vulnerabilidades en sistemas

Tal y como hemos ido desarrollando en Internet se están realizando ataques de forma continua intentando sobrepasar las medidas de seguridad de empresas, organismos estatales y particulares. 

1.9.1. Ingeniería social

Cuando hablamos de ingeniería social realmente hablamos de persuasión, de la capacidad de valerse de la buena voluntad y de la falta de precaución de la víctima.

Su objetivo es obtener información: contraseñas, cuentas bancarias, o cualquier dato privado que pudiera ser de interés. En algunas ocasiones esta información es utilizada posteriormente para realizar otro tipo de ataques más sofisticados, en otras ocasiones se vende al mejor postor.

Entre los ataques de ingeniería social más habituales se encuentran el baiting, phising y vishing.

Existen varios indicios que nos permiten detectar este tipo de fraudes:

• Ofertas inverosímiles: se debe de sospechar de artículos, o viajes excesivamente baratos, trabajos en los que se ganan grandes cantidades de dinero con facilidad, etc…

• Correos inesperados: incluyen archivos adjuntos con software malicioso y suelen redactarse usando un traductor automático. Pueden enviarse desde contactos conocidos que hayan sido infectados , por lo que hay que prestar atención a su contenido.

• Sorteos en los que se gana un premio sin participar: la estafa suele consistir en obtener los datos personales de la víctima y solicitar el pago por adelantado de los costes de envío o aduana de los artículos que nunca llegan.

• Comentarios sobre tiendas fraudulentas: en tiendas online, los comentarios de otros compradores y compradoras sobre su experiencia pueden ayudar a detectar un posible fraude.

• Y sobre todo ... 

!!!SENTIDO COMÚN !!!

1.9.2. Los Exploits

Un exploit es  un programa o código que se aprovecha de un agujero de seguridad (vulnerabilidad) en una aplicación o sistema, de forma que un atacante podría usarla en su beneficio.

Trasladado a la vida real, sería como si un modelo de cerradura (sistema o aplicación) tuviera un fallo de diseño que nos permitiera crear llaves que la abrieran (exploit) y poder así acceder al sitio que trata de proteger y realizar actos delictivos (malware).

De esta forma, puede proporcionarles los permisos necesarios para poder ejecutarse en un sistema e infectarlo aprovechándose de una vulnerabilidad. El siguiente video explica en forma clara el funcionamiento de un exploit:

1.10. Análisis forense

Cuando se produce un ataque informático es necesario realizar dos tipos de intervenciones. Por un lado, averiguar qué ha pasado y quienes son los responsables, por otro reparar los daños causados.

El análisis forense es una disciplina que combina los elementos del derecho y la informática para recopilar y analizar datos de sistemas informáticos, redes, comunicaciones inalámbricas y dispositivos de almacenamiento de una manera que sea admisible como prueba en un tribunal de justicia.

Por tanto, consiste en la extracción de los datos de un dispositivo informático, preservando la veracidad de los datos.

El análisis forense se encarga de investigar 

• Los incidentes de seguridad:

  • Robo de información.

  • Intrusión de redes.

  • Espionaje industrial, etc

• Delitos (siempre que sirva como prueba):

• Delitos de sangre.

• Secuestros.

• Delitos relacionados con menores.

• Etc.

1.10.1 DATOS LATENTES

1. Información que se encuentra en el almacenamiento del ordenador pero que no se menciona fácilmente en las tablas de asignación de archivos.

2. Información que el sistema operativo o las aplicaciones de software de uso común no pueden ver fácilmente.

3. Datos que se han eliminado deliberadamente y ahora se encuentran en:

•   Espacios no asignados en el disco duro. 

•   Archivos de intercambio.

•   Archivos de cola de impresión.

•   Volcados de memoria.

•   El espacio  entre los archivos existentes y el caché temporal.

1.10.2 Objetivos del análisis forense

1. Ayuda a recuperar, analizar y preservar el ordenador y los materiales relacionados de tal manera que ayuda  a presentarlos como evidencia en un tribunal de justicia.

2. Motivo detrás del crimen y la identidad del principal culpable.

3. Diseñar procedimientos para garantizar que la evidencia digital obtenida no esté corrupta.

4. Adquisición y duplicación de datos: recuperación de archivos eliminados y particiones eliminadas de medios digitales para extraer la evidencia y validarlos.

5. Producir un informe forense informático que ofrece un informe completo sobre el proceso de investigación.

6. Preservar la evidencia siguiendo la cadena de custodia.

1.10.3. Tipos de análisis

• De sistemas operativos del ordenador o dispositivo móvil en cuestión.

• De redes cuando se refiere a la recopilación, monitorización y análisis de las actividades de la red para descubrir la fuente de ataques.

• De dispositivos móviles que por su uso extendido, se ha convertido en una parte importante del análisis forense digital.

• En la nube o Cloud pues hoy en día, la mayoría de los datos críticos de las empresas se han transferido a los proveedores de servicios en la nube.

1.11 Ciberdelitos

Se podría decir que la ciberdelincuencia es aquella actividad que por medio de la red (sea pública o privada) o a través de un sistema informático “tenga como objetivo atentar a la confidencialidad, la integridad y la disponibilidad de los sistemas informáticos, de las redes y los datos, así como el uso fraudulento de tales sistemas, redes y datos”.

Dentro de los ciberdelitos también se encuentran delitos informáticos como pueden ser la suplantación de identidad, el acoso o la estafa.