El phishing es un conjunto de técnicas que buscan engañar a un usuario haciéndose pasar por una persona, empresa o servicio de confianza y de esta forma poder obtener información personal, datos bancarios, credenciales de acceso a un servicio o infectar el equipo del usuario.
Este tipo de técnica es cada vez más frecuente dado que porcentaje de éxito del phishing es más elevado que otro tipo de fraudes informáticos.
¿Qué tipo de información busca?
Normalmente la información que se busca obtener con el phishing está separada en tres bloques principales:
- Datos personales: direcciones de correo electrónico, documentos de identidad, dirección
- Datos financieros: números de cuenta bancaria y datos de tarjetas de crédito
- Credenciales de acceso: cuentas de correo, datos de acceso a redes sociales
Formas del phishing
Existen una gran variedad de técnicas para suplantar la identidad de una persona, empresa o servicio de confianza, te indicamos las principales vías de propagación con algunos ejemplos:
- Email: el envío de correos masivos de phishing es una de las técnicas más empleadas, por ejemplo, es común encontrarse algún correo cuyo remitente se hace pasar por una entidad bancaria y nos invita a validar nuestros datos de tarjeta de crédito mediante una URL.
- SMS o Apps de mensajería: aunque menos frecuente, que los envíos de email, esta técnica está en auge. Un caso bastante común es el SMS de una falsa compañía de reparto indicando que tiene una entrega para nosotros y un enlace para reclamar el paquete. Este enlace suele infectar el terminal con malware o simplemente solicitar información confidencial o un pago.
- Redes sociales: suele ser habitual recibir un mensaje de un desconocido indicando que hemos ganado algún tipo de premio y nos solicite acceder a un enlace para reclamarlo, o incluso un contacto de nuestra lista de amigos(con un terminal infectado) nos pasa un enlace sospechoso.
- Llamada telefónica: esta técnica no es muy frecuente, pero puede darse el caso de que alguien nos llame vía telefónica, con un teléfono oculto, haciéndose pasar por una empresa o entidad bancaria y nos solicite datos concretos.
- Infección de malware: si nuestro equipo está comprometido, el malware puede estar capturando información de contraseñas de acceso o datos bancarios.
Identificando el phishing
En los mensajes de phishing, independientemente de su procedencia, siguen unos patrones que hacen que sean relativamente fáciles de identificar, te indicamos algunos aspectos que te pueden ayudar a identificarlos.
- Remitente del mensaje: normalmente el mensaje viene de una dirección desconocida o no está en nuestra agenda.
- Destinatario del mensaje: los destinatarios del mensaje están ocultos o son muchos y desconocidos.
- Asunto: suele ser en forma de alerta, reclamando un pago, una validación de información, o un tema inusual
- Cuerpo del mensaje: normalmente se dirigen de forma impersonal (Estimado usuario, estimado cliente…) se suele reclamar información de distinto tipo y normalmente llevan un enlace para introducir o confirmar dicha información.
- Errores de ortografía: es común entre los mensajes ver errores de ortografía, caracteres extraños, frases poco coherentes o que dan la impresión de haber sido traducidas por alguna herramienta online.
- Enlaces: el enlace que lleva el mensaje no lleva realmente al sitio indicado, si pasamos el ratón por encima del mensaje vemos que la dirección destino no concuerda.
Si en lugar de un mensaje nos encontramos con un sitio web sospechoso debemos fijarnos en los siguientes aspectos:
- URL: la dirección de la web puede parecer sospechosamente larga o no está relacionada con el sitio al que queremos acceder
- Certificado y conexión segura: es habitual que la web de phishing no use certificado y navegue mediante http, en lugar de https. Si tuviese certificado, podemos hacer clic en el candado para consultar más información sobre la empresa.
- Contenido de la web: se solicitan datos poco habituales
- Información legal: la web no dispone de un apartado legal donde se indique un teléfono de contacto, el nombre de la empresa o la dirección física.
Qué hacer si sospechamos de un caso de phishing
- No contestes al correo o mensaje ni hagas clic en ningún link que contenga.
- Si dudas de la veracidad del mensaje, llama o contacta con la empresa o banco para verificar el mensaje.
- Marca el remitente como SPAM.
- Elimina el mensaje.
- Reporta el fraude
En caso de que hayas facilitado algún dato:
- Si has proporcionado datos de acceso, cambia lo antes posible las contraseñas y contacta con la empresa o banco para informar.
- Si has facilitado datos de pago, contacta con tu entidad bancaria para que te informe de posibles medidas antifraude.