Suplantación de Identidad: Phishing

Escrito por Gacelaweb1 en abril 5, 2019. Publicado en Actualidad, Blog.

¿Has oído hablar de una estafa digital en la que los ladrones envían correos electrónicos haciéndose pasar por alguna empresa o institución reconocida? Esta práctica, conocida como phishing se utiliza para robar tus datos personales o suplantar tu identidad. Te contamos cómo puedes evitar caer en estas trampas digitales.

¿Qué es el phishing?

El phishing se fundamenta en la imitación de sites y mails corporativos con el fin de captar datos de “manera voluntaria”. Las empresas e instituciones que más suelen utilizarse para estos fines son los bancos, así como las plataformas de pago o, más recientemente, la Agencia Tributaria.

La forma más habitual mediante la que llevan a cabo estos ataques, es a través del Email phishing. El usuario recibe un correo electrónico con apariencia real, de una marca o una entidad, en el que le solicitan una serie de datos personales. El usuario medio, que no repare en que esos datos no deben ser facilitados ya que su compañía es poseedora de los mismos, rellena los campos requeridos y, de esta manera, le sirve en bandeja los datos a los delincuentes.

Con estos datos facilitados, a menudo de tarjetas o cuentas bancarias, los delincuentes tienen vía libre para hacer compras o transferencias de las cuentas del usuario a las suyas propias.

Se trata de un sistema antiguo del que cada vez más usuarios están alertados. Sin embargo, está tan depurado que, en ocasiones, resulta difícil diferenciar entre un mail fraudulento y uno real de la compañía. Con ello, los ladrones logran aumentar su efectividad y el porcentaje de engaño. Además, juegan con la estadística enviando correos masivos, a mayor número de mails enviados mayor porcentaje de personas que pueden caer en el fraude.

Para que sea todo mucho más real, las personas encargadas de diseñar la plantilla falsa de correo incluyen en esta enlaces al sitio web real o a una copia de este prácticamente idéntica. De esta forma, aumentan las posibilidades de que las posibles víctimas accedan a introducir sus datos.

Otro posible sistema dentro del mail phishing es el de ocultar archivos infectados en correos que, en un primer momento, parecen legales. El usuario que ejecuta el archivo recibe un virus en su ordenador que será capaz de obtener información, “secuestrar” documentos, bloquear el ordenador, robar claves de acceso… todo ello con fines lucrativos.

¿Para qué lo utilizan?

Algunas de las acciones delictivas más comunes que pueden llevarse a cabo con los datos de las víctimas, son: suplantación de la identidad online, apertura de cuentas bancarias, transferencias de dinero hacia las cuentas de los ciberdelincuentes, realización de compras online con los datos de facturación de la víctima, dar de alta líneas de teléfono, de luz, de agua, etcétera.

Esta última acción es de las más comunes y a su vez la que más perjudica a la víctima. Al obtener los datos, se abre una línea de teléfono a su nombre y con una cuenta bancaria falsa que no va a realizar pagos. Cuando esa víctima quiera abrir una línea real o contratar cualquier servicio, no podrá hacerlo ya que probablemente haya sido incluida en alguna de las famosas “listas de morosos” por la cuenta con impagos abierta por el ladrón.

Cómo saber si un correo es falso.

El primer paso y más importante, para evitar caer en esta técnica, es detectar cuando un correo es falso. Es decir, se trata de evitar desde el inicio caer en la trampa de ejecutar cualquier archivo o introducir datos personales. Lo más sencillo es utilizar un antivirus actualizado que sea capaz de detectar este tipo de mail fraudulentos.

En cuanto a la labor humana, es importante fijarse en una serie de detalles que pueden ser determinantes a la hora de detectar este tipo de correos electrónicos: si el correo no lleva el nombre real del destinatario (caso más habitual en correos dirigidos a clientes), las direcciones que poseen los vínculos no son idénticas a la original (puede variar de “.es” a “.es.com”, por ejemplo) o trae consigo archivos adjuntos de dudosa legalidad, debemos dudar. En el caso de las entidades bancarias hemos de saber que nunca nos solicitarán datos ni a través del correo electrónico ni a través del teléfono.

Además, si queremos asegurarnos, en la mayoría de los correos pishing existen diferencias estéticas con los colores o los tamaños de la compañía real. Además, los correos corporativos de las compañías suelen llevar una firma inferior con links a sus servidores. Es importante comprobar que la firma sea real y que los links, antes de abrirlos, lleven a direcciones correctas.

Tips para una navegación más segura.

A continuación, os ofrecemos una serie de consejos que permitirán evitar el phishing o la suplantación y llevar a cabo una navegación más segura:

Introducir los datos personales más importantes únicamente en webs en las que se esté completamente seguro de que es el sitio sobre el que se quiere navegar. En el caso de que sean comercios electrónicos o sitios en los que haya que introducir información bancaria, asegurarse siempre de que tiene el protocolo HTTPS activado en la línea de navegación (suele aparecer un pequeño candado de color verde).
Entrar en las webs donde previsiblemente van a recogerse datos mediante el dominio exacto en la barra de navegación o, guardar la dirección en los favoritos del navegador. Es importante evitar hacerlo desde correos electrónicos o desde fuentes de internet poco fiables o desconocidas (mail, foros, blogs…).
Contar con la protección de un antivirus en el equipo, actualizado y fiable. De esta forma nos alertará cuando intenten acceder a nuestro ordenador a través de correos ilegales o de archivos infectados con virus.
Realiza una revisión periódica de las cuentas más importantes, sobre todo de aquellas en las que exista posibilidad de movimiento de dinero: entidades bancarias, Pay Pal, Amazon… Puede que lleves un tiempo sin comprobar el estado de estas y hayan podido sustraerte dinero o hacer transferencias. Si compruebas que existe algún movimiento que no has autorizado o que resulte sospechoso, ponte en contacto con tu entidad con la mayor brevedad posible.

Teniendo en cuenta estos consejos, reducirás la posibilidad de que roben tus datos y hagan con ellos un uso ilícito.

Este tipo de estafas son cada vez más sofisticadas, de ahí la necesidad de la “cultura de la ciberseguridad” en los internautas. Para ello, no es necesario grandes conocimientos técnicos, simplemente basta con estar informado y conocer, de forma actualizada, cuáles son los métodos más utilizados.

Algunas empresas, como las plataformas de pago, incluyen algunos tutoriales de cómo asegurarse de que se está en el lugar correcto. Esto es debido a que, como hemos comentado, son una de las plataformas más “copiadas” por los ladrones para obtener información por la necesidad de incluir en algunos de sus formularios reales los datos bancarios.

Desde Gacelaweb, esperamos que estos consejos eviten que puedas caer en este tipo de trampas digitales. No obstante, como recomendación, si detectas que has podido caer en un posible fraude de este tipo, recurre a las autoridades competentes y denúncialo para evitar que le pueda pasar a más usuarios.