Durante los últimos años el uso de Internet se ha expandido de forma exponencial, así como la tendencia a realizar compras online de artículos nuevos y de segunda mano.
Sin embargo, debido a la creciente suma, los llamados ciberdelincuentes han visto incrementadas sus oportunidades de fraude.
Hoy veremos qué es el phishing, cómo evitarlo y cómo detectarlo.
¿Qué es el phishing?
“Phishing” es una forma de engaño mediante la cual los atacantes envían un mensaje (anzuelo) a una o a varias personas, con el propósito de convencerlas de que revelen sus datos personales.
Esta información es utilizada para realizar acciones fraudulentas como transferencias de fondos de su cuenta bancaria, compras con sus tarjetas de crédito u otros comportamientos delictivos que requieren el empleo de tales datos.
¿Cómo funciona el phishing?
Todos los ataques de phishing siguen los mismos principios básicos:
- El atacante envía una comunicación dirigida con el fin de persuadir a la victima
- La persuasión puede ser: hacer clic en un enlace, descargar un archivo, enviar información o incluso completar un pago.
Estos principios pueden darse por correo electrónico, por redes sociales, por SMS o cualquier otro sistema.
La llegada de las redes sociales ha supuesto para los “phishers” un sinfín de información personal sobre sus posibles objetivos. Con todos estos datos, pueden personalizar al detalle sus ataques según necesidades, deseos y circunstancias del objetivo, creando así una propuesta mucho más confiable a primera vista.
Tipos de estafa de phishing
Vectores
- Phishing por correo electrónico: Los mensajes de correo electrónico son el método más común para entregar el cebo del phishing. Dichos mensajes suelen contener enlaces que llevan a sitios web maliciosos o archivos adjuntos infectados con malware.
- Phishing por sitio web: Denominados también sitios falsificados, son copias falsas de aquellos sitios web que el usuario conoce y confía. Los hackers crean estos sitios web para engañarlos de forma que introduzcan sus credenciales de inicio de sesión que, inmediatamente, utilizarán para conectarse a sus cuentas.
- Vishing: Hablamos del phishing de voz “voice phishing”. El atacante intenta convencer por teléfono a las víctimas para que revelen información personal que pueda utilizarse para el robo de identidad.
- Phishing por redes sociales: Hay atacantes que se cuelan en las cuentas de redes sociales y fuerzan a la gente a enviar enlaces maliciosos a sus amigos. Otros, crean perfiles pasos para engañar a las víctimas.
- Smishing: Es el phishing mediante SMS. Recibe un mensaje de texto donde se pide hacer clic en un enlace o descargar una aplicación. Al hacerlo, se descargar en su teléfono un malware que puede captar su información personal.
Estrategias habituales
- Phishing de engaño: Intento de los hackers de hacerse pasar por empresas o personas legítimas con el fin de obtener su confianza.
- Phishing personalizado: Adapta sus ataques a objetivos concretos.
- Whaling: Ataques de phishing dirigidos a una persona concreta de alto valor. Es similar al phishing personalizado pero con objetivos más ambiciosos.
- Fraude de CEO: Los phishers se hace pasar por el director ejecutivo (CEO) o por cualquier otro alto cargo de una empresa con el fin de obtener un pago o información sobre los empleados.
- Pharming: Este tipo de ataques utilizan trucos tecnológicos para engañar al usuario en sustitución del cebo habitual.
- Phishing por Dropbox y Google Docs: Los atacantes utilizan versiones falsificadas de las pantallas de inicio de sesión, consiguiendo las credenciales del usuario.
- Phishing de clonación: Los atacantes toman un correo electrónico, lo clonan y envían una copia exacta a todos los destinatarios previos incluyendo enlaces maliciosos.
- Manipulación de enlaces: Envían enlaces que parecen conducir a una dirección URL pero al hacer clic lo llevan a otra parte.
¿Cómo evitar el phishing?
Con una buena educación de los usuarios y conocimientos básicos bastará para evitar el phishing; además, siga estos consejos:
- Infórmate: Mantente un paso por delante de los ciberdelincuentes ampliando conocimientos y estando al día de las estafas más recientes.
- Sé prudente: Antes de hacer clic a cualquier enlace o descargar cualquier archivo adjunto, revisa las señales de alerta de phishing mencionadas en este artículo.
- Confirma antes de actuar: Las empresas certificadas nunca se pondrán en contacto contigo por email o teléfono para solicitar datos personales. En el caso de que sucediese, llame a la empresa con los datos de contacto del sitio web legítimo para confirmarlo.
- Verifica los datos de seguridad: Verifica que la URL comienza con HTTPS y busca el icono de un candado junto a la URL.
- Cambia las contraseñas con regularidad: Actualiza las contraseñas de vez en cuando para que sea más seguro.
- Utiliza un bloqueador de anuncios: Las ventanas emergentes son muchas veces vectores de phishing frecuentes. Si ves alguna, nunca hagas clic en el anuncio.
- Lea los correos electrónicos como texto sin formato: Este es un truco para detectar las estafas por email. Convierte el mensaje a texto sin formato y podrás detectar URL de imágenes ocultas que no serían visibles en modo HTML.
Cómo detectar el phishing
Podemos detectar el phishing prestando atención a los rasgos comunes más frecuentes:
El correo electrónico no está dirigido a usted
El mensaje no está personalizado con el nombre del destinatario, sino que se saluda de forma ambigua por ejemplo “estimado cliente”. Este tipo de phishing utiliza una red de arrastre para atrapar a todos cuantos puedan. La correspondencia oficial de empresas legítimas se dirigirá a usted por su nombre.
Una oferta que no puede rechazar
Si le llega una oferta que parece demasiado buena para ser cierta, es que, probablemente no sea cierta. No deje que los timadores le engañen con ofertas tentadoras.
Enlaces acortados
Puedes buscar enlaces maliciosos ocultos tras los servicios de acortamiento de URL. Pasa el cursor sobre cualquier enlace antes de hacer clic en él.
Enlaces con errores
Los hackers crean versiones falsificadas de sitios legítimos con URL que son casi identicas. Esté atento a los errores tipográficos u ortográficos.
Mensajes escritos de forma incorrecta
Un banco no envía emails llenos de faltas de ortografía y errores gramaticales. Un phisher sí.
Archivos adjuntos
Aléjese de los archivos adjuntos de desconocidos. Los estafadores pueden incluso ocultar malware en archivos de contenido enriquecido, como los PDF.
Solicitudes de información personal
Si recibe un correo electrónico donde se le pide que confirme su información de cuenta, las credenciales de inicio de sesión u otros datos personales, es probable que se trate de una estafa.
No utiliza una empresa o servicio en concreto
Los phishers no suelen tener acceso a las bases de datos de usuarios de las empresas por las que se hacen pasar, así que envían sus correos electrónicos de phishing a cualquiera que se ponga a tiro. Si usas un servicio A, y te llega un mensaje de un servicio B, puede ser phishing.
He sido víctima de phishing… ¿Qué hago?
Si pese a todas las precauciones crees que has podido caer en la trampa o, más literalmente, has picado el anzuelo y has dado datos personales en alguna página fraudulenta… ¿qué debes hacer?
Si estás en esta situación lo más importante es tomar conciencia de ello, actuar con serenidad y sentido común, analizando lo que acabas de hacer y actuando en consecuencia.
Como norma general, ante una sospecha de phishing, debes:
- Cambiar la contraseña del servicio suplantado (cuenta de correo, acceso al servicio, etc)
- Avisar a los posibles bancos afectados del fraude (y si se ha visto implicada una tarjeta, anularla).
Pásate a VeoPago: La única APP para comprar y vender tecnología de segunda mano verificada y sin fraudes.
Consigue la máxima seguridad
Para estar siempre a salvo de fraudes te recomendamos utilizar VeoPago.
VeoPago es una plataforma de segunda mano especializada en productos TECH y deportivos, para comprar y vender sin riesgos entre particulares. Su sistema guarda el dinero de la operación en un depósito seguro hasta que el comprador recibe y verifica el artículo.
Con VeoPago te aseguras cobrar siempre, ya que antes de enviar el producto, ya tienen el dinero del comprador guardado. Tras 48 horas, si el comprador verifica que todo está en orden, recibirás el dinero de la venta. ¡Así de sencillo!
