Suplantación de Identidad (Spear Phising)
El método más común de acceso al ransomware es un correo electrónico de suplantación de identidad que contiene un archivo adjunto o un hipervínculo. Cuando el usuario abre el adjunto o clica sobre el enlace, el ransomware ejecuta un programa que bloquea el sistema y muestra un mensaje donde se exige el pago por el rescate. Cuando esto sucede, la única forma de descifrar los datos es aplicar una clave matemática que solamente conoce el atacante.
También ha habido casos en los que el malware envía un mensaje para confirmar que el Windows del usuario está bloqueado. Es entonces cuando se anima al usuario a llamar a un número de teléfono de Microsoft e introducir un código de seis dígitos para reactivar el sistema. Aunque el mensaje indique que la llamada telefónica es gratuita, no es cierto. Mientras está llamando al falso Microsoft, el usuario acumula cargos por llamadas de larga distancia.
Puntos de acceso remoto
Los investigadores de McAfee observaron que los ataques están ganando terreno en compañías que ofrecen puntos de acceso remoto expuestos y abiertos, como el protocolo RDP o la computación en red virtual (VNC). Las credenciales de RDP pueden ser forzadas y obtenidas a partir de filtraciones de contraseñas o simplemente adquiridas en el mercado negro. Mientras que en el pasado los criminales de ransomware establecían un entorno de comando y control para las claves de descifrado y ransomware, ahora la mayoría de los ciberdelincuentes se acercan a las víctimas con notas de rescate que incluyen una dirección de correo electrónico anónima para mantener sus identidades ocultas.