Cómo protegerte ante el phishing

Tomar medidas preventivas contra el phishing ahora es crucial, ya que cada vez más delincuentes realizan estafas en línea para robar tu información personal. Aprendimos a eludir los correos electrónicos de spam, pero los de phishing pueden tener apariencias creíbles gracias a algunos engaños. Algunos incluso están especialmente personalizados para ti.

Dado que es probable que te expongas a un ataque de phishing en algún momento, es necesario que conozcas las señales a las que debes prestar atención. Porque las estafas no son una novedad en la Web, pero distinguir el phishing es más difícil de lo que crees.

En toda la Web, los ataques de phishing atormentaron a víctimas que no sospechaban lo que ocurría y terminaron entregando datos bancarios, números de seguridad social y mucha otra información. Además, los ciberdelincuentes demuestran mucha más destreza al tramar sus engaños. En algunos casos, estas estafas se ocultan detrás de voces que conoces y en las que confías, como las de colegas, tu banco o incluso una agencia gubernamental.

Con tan solo hacer clic en un vínculo, podrías convertirte en la próxima víctima de un estafador.

A lo largo del artículo, presentaremos algunas formas de evitar este tipo de ataque en línea y cómo puedes proteger tus dispositivos.

¿Qué es el phishing?

El phishing te convence para que realices alguna acción que le permitirá al estafador acceder a tu dispositivo, tus cuentas o tu información personal. Haciéndose pasar por una persona u organización en la que confías, puede infectar tu dispositivo con un malware o robar los datos de tu tarjeta de crédito con mayor facilidad.

En otras palabras, estas estrategias de ingeniería social te «seducen» para que confíes y brindes información valiosa. Podría ser cualquier dato, desde tu nombre de usuario en una red social hasta tu identidad completa a través de tu número de seguridad social.

Es posible que estas estrategias insistan para que abras un archivo adjunto, hagas clic en un vínculo, completes un formulario o respondas y brindes tu información personal. Teniendo esto en cuenta, siempre debes estar alerta, lo que puede resultar agotador.

La situación más común es la siguiente:

Abres un correo electrónico y de repente aparece una alerta de tu banco en la bandeja de entrada. Cuando haces clic en el vínculo que aparece en el correo electrónico, se te dirige a una página web que presenta un aspecto parecido al de tu banco.
Pero aquí está el truco: el sitio en realidad se diseñó para robarte información. La alerta indicará que hay un problema con tu cuenta y te solicitará que confirmes tu nombre de usuario y contraseña.
Después de ingresar tus credenciales en la página que aparece, se te dirige normalmente a la institución real para vuelvas a ingresar tu información. Al redirigirte a la institución verdadera, no te das cuenta inmediatamente de que te acaban de robar información.

Estas amenazas pueden llegar a ser muy elaboradas y aparecen en todo tipo de comunicaciones, incluso llamadas. El peligro del phishing es que puede engañar a cualquier persona que no dude de los más mínimos detalles.

Para ayudarte a protegerte, vamos a analizar cómo funcionan los ataques de phishing.

¿Cómo funciona el phishing?

Cualquier persona que use Internet o un teléfono puede ser objetivo de las estafas de phishing.

Por lo general, las estafas de phishing intentan lo siguiente:

Infectar tu dispositivo con malware.
Robar tus credenciales privadas para obtener tu dinero o tu identidad.
Obtener el control de tus cuentas en línea.
Convencerte para que envíes dinero o información valiosa de forma voluntaria.

A veces, estas amenazas no terminan contigo. Si un hacker accede a tu correo electrónico, lista de contactos o cuenta de redes sociales, puede enviar correos no deseados a las personas que conoces con mensajes de phishing haciéndose pasar por ti.

La confianza y la urgencia es lo que hace que el phishing sea tan traicionero y peligroso. Si un delincuente logra que confíes y actúes antes de pensar, eres un objetivo fácil.

¿Quiénes están en riesgo de ser víctimas de un ataque de phishing?

El phishing puede afectar a cualquier persona, sin importar la edad, en su vida personal o laboral.

Hoy en día, todas las personas, desde las más jóvenes hasta los adultos mayores, usan dispositivos con Internet. Si un estafador puede encontrar tu información de contacto en el ámbito público, la agregará a su lista de objetivos.

Actualmente, es difícil ocultar tu número telefónico, dirección de correo electrónico, identificadores de mensajes en línea y cuentas de redes sociales. Es por eso que existe una alta probabilidad de que si el hacker tiene tan solo uno de estos datos puedas convertirte en una víctima.

Además, los ataques de phishing pueden ser muy abarcadores o sumamente específicos según las personas elegidas.

Phishing de spam

El phishing de spam es como una gran red lanzada para atrapar a cualquier persona que no sea consciente del peligro. La mayoría de los ataques de phishing entran en esta categoría.

Para explicarlo, el spam es el equivalente electrónico del «correo basura» que pasa por debajo de tu puerta o llega a tu buzón. Sin embargo, el spam es más que algo molesto. Puede ser peligroso, en particular si forma parte de una estafa de phishing.

Los mensajes de phishing de spam son enviados masivamente por estafadores y ciberdelincuentes que tienen uno de los siguientes objetivos:

Ganar dinero con el pequeño porcentaje de destinatarios que responde al mensaje.
Ejecutar estafas mediante prácticas de phishing, con el objetivo, entre otras cosas, de obtener contraseñas, números de tarjetas de crédito y detalles de cuentas bancarias.
Infectar con código malicioso las computadoras de los destinatarios.

El phishing de spam es uno de los medios más usuales que tienen los estafadores para conseguir tu información. Sin embargo, algunos ataques son más selectivos que otros.

Phishing selectivo

En general, los ataques de phishing selectivo hacen referencia al spear phishing o a su variante menos común, el whaling.

El whaling está dirigido a objetivos de alto perfil, mientras que el spear phishing amplía la superficie de ataque. Los objetivos suelen ser empleados de empresas específicas u organizaciones gubernamentales. De todos modos, estas estafas pueden dirigirse fácilmente a cualquier persona que pueda parecer valiosa o vulnerable.

Es posible que te conviertas en objetivo porque eres cliente de un banco que los estafadores tienen en la mira o empleado de una institución de salud. El solo hecho de responder una solicitud de amistad de una persona desconocida en una red social puede convertirte en una víctima del phishing.

En un ataque de phishing de este tipo, los estafadores son mucho más pacientes. La elaboración de estas estafas personalizadas demanda tiempo, ya sea potencialmente en busca de una recompensa o para aumentar las probabilidades de éxito.

Diseñar estos ataques podría implicar recopilar datos sobre ti o sobre la organización a la que perteneces.

Estos estafadores podrían obtener información de las siguientes fuentes:

Perfiles de redes sociales
Filtraciones de datos existentes
Otra información de acceso público

El ataque puede ser rápido en un intento por impulsarte a que actúes. O también podría desarrollar una relación contigo durante meses para ganarse tu confianza antes de pedirte un «gran favor».

Estos ataques no se limitan a llamadas o mensajes directos; es posible que sitios web legítimos sean víctimas de un acto de hacking para beneficio de un estafador. Si no tienes cuidado, podrías convertirte en víctima del phishing con tan solo iniciar sesión en un sitio que en general es seguro.

Lamentablemente, parece que muchas personas son objetivos convenientes de estos delincuentes. El phishing se convirtió en la nueva normalidad dado que estos ataques son cada vez más frecuentes.

¿Qué tipos de estafas de phishing debería conocer?

El primer obstáculo es comprender qué esperar del phishing. Podría provenir de diversos medios, que incluyen mensajes de texto y llamadas, e incluso direcciones URL secuestradas de sitios web legítimos.

Es mucho más sencillo comprender qué es el phishing cuando lo ves en acción. Seguramente presenciaste algunas de estas estafas y solo las apartaste como si fueran spam.

Sin importar cómo te hayan seleccionado, los ataques de phishing pueden tomar diversos caminos hacia ti y es posible que la mayoría de las personas experimenten al menos una de estas formas de phishing:

Correos electrónicos de phishing que aparecen en la bandeja de entrada de tu correo electrónico. Suele ser una solicitud para hacer clic en un vínculo, enviar un pago, responder y brindar información privada o abrir un archivo adjunto. El correo electrónico del remitente podría estar modificado para parecerse a uno real e incluir información que te suene personal.
La suplantación de dominio es una forma conocida en la que un estafador puede imitar las direcciones de correo electrónico. En estas estafas se toma el dominio real de una empresa (por ejemplo, @bancomexico.com) y se modifica. Podrías abrir un correo electrónico de una dirección como «@bancmexico.com» y convertirte en una víctima.
Los estafadores de phishing por voz (vishing) te llaman y se hacen pasar por una persona o empresa real para engañarte. Pueden redirigir tu llamada de un mensaje automático y enmascarar su número telefónico. Estos estafadores intentarán que permanezcas en la llamada e insistirán para que realices alguna acción.
El phishing por mensaje de texto (smishing) se parece al vishing. En una estafa de este tipo se imita a una organización real a través de un mensaje de texto breve urgente para engañarte. Habitualmente, el mensaje incluye un vínculo o un número telefónico que el estafador desea que utilices. Los servicios de mensajería móvil también están en riesgo.
El phishing de redes sociales involucra a delincuentes que intentan que caigas en la trampa a través de publicaciones o mensajes directos. Algunas estafas son evidentes, como los obsequios o las páginas de organizaciones «oficiales» sospechosas que tienen una solicitud urgente. Otros estafadores podrían hacerse pasar por amistades o forjar una relación a largo plazo antes de «atacarte» para concretar el plan.
El phishing de clonación consiste en duplicar un mensaje real enviado previamente, en el que se sustituyen los archivos adjuntos y vínculos legítimos por otros maliciosos. Podría aparecer en correos electrónicos, pero también en cuentas de redes sociales y mensajes de texto falsos.

En otros casos, los sitios web legítimos podrían manipularse o imitarse mediante las siguientes tácticas:

El phishing de abrevadero se dirige a sitios web populares que muchas personas visitan. Un ataque de este tipo podría intentar aprovechar las vulnerabilidades del sitio para realizar diversos ataques de phishing. En estas estafas, se suele enviar malware, redireccionar vínculos y aplicar otras estrategias.
El pharming (envenenamiento de caché de DNS) usa malware o vulnerabilidades del sitio en línea para redirigir el tráfico de sitios web seguros a sitios de phishing. Escribir la dirección URL de forma manual continuará redirigiendo a los visitantes al sitio malicioso si este es víctima de pharming.
El typosquatting (secuestro de URL) intenta atrapar a personas que escriben incorrectamente la dirección URL de un sitio web. Por ejemplo, podría crearse un sitio web en el que solo difiere en una letra del real. Escribir «wallmart» en lugar de «walmart» podría redirigirte a un sitio malicioso.
El clickjacking aprovecha las vulnerabilidades de un sitio web para incrustar cajas de captura ocultas. Estas obtienen las credenciales de inicio de sesión de los usuarios y cualquier otro dato que puedas ingresar en el sitio aparentemente seguro.
El tabnabbing se produce cuando una página fraudulenta desatendida se recarga imitando el inicio de sesión de un sitio válido. Cuando vuelvas a visitarla, podrías creer que es real y entregar el acceso a tu cuenta sin saberlo.
El phishing HTTPS da a un sitio web malicioso la ilusión de seguridad con el clásico indicador del «candado junto a la barra de URL». A pesar de que este signo de cifrado solía ser exclusivo de los sitios verificados como seguros, ahora cualquier sitio puede obtenerlo. De esta forma, la conexión y la información que envíes podría bloquearse a personas externas, pero seguirías manteniendo la conexión con el delincuente.

Incluso podrían poner en riesgo tu conexión a Internet los ataques del gemelo malvado, que imitan redes Wi-Fi públicas oficiales en sitios como cafeterías y aeropuertos. El objetivo es lograr que te conectes para poder escuchar toda tu actividad en línea.

En último lugar, estos son algunos tipos de phishing adicionales a los que tendrías que estar alerta:

El phishing de resultados de motores de búsqueda utiliza métodos para conseguir que una página web fraudulenta aparezca antes que una legítima en los resultados de búsqueda. También se conoce como phishing SEO o phishing SEM. Si no prestas atención, podrías hacer clic en una página maliciosa en lugar de en la real.
En un ataque de phishing Angler, un atacante finge ser un representante del Servicio al cliente de una empresa real para que reveles información. En redes sociales, una cuenta de ayuda falsa descubre tus menciones de una empresa para responderte con un mensaje de asistencia falso.
Los ataques BEC (de vulneración del correo electrónico empresarial) recurren a varias formas para infiltrarse en el círculo de comunicaciones de una empresa y obtener información valiosa. Esto puede incluir hacerse pasar por una persona en un puesto directivo o un proveedor con una factura falsa para iniciar transacciones como transferencias bancarias.
El phishing de criptomonedas se dirige a quienes tienen billeteras de criptomonedas. En lugar de usar planes a largo plazo para minar criptomonedas, estos delincuentes intentan robarles a quienes ya tienen estos fondos.

La realidad es que la lista de tipos de ataques de phishing es muy extensa y está en constante expansión. Estos son algunos de los más comunes al momento, pero es posible que aparezcan nuevos en los próximos meses.

Dado que estas estafas evolucionan con rapidez para amoldarse a los acontecimientos actuales, es difícil detectarlas. Sin embargo, existen formas de protegerte y estar alerta frente a las estafas más recientes es una forma sencilla de comenzar.

Algunos ejemplos de estafas de phishing comunes

Aunque sería poco práctico e imposible enumerar aquí todas las estafas de phishing, te traemos algunas de las más comunes para que estés alerta:

Las estafas de phishing de ciberataque de Irán utilizan un correo electrónico ilegítimo de Microsoft y solicitan que inicies sesión para restaurar tus datos en un intento por robar tus credenciales de Microsoft. Los estafadores aprovechan tu miedo a quedarte sin Windows y la relevancia de una noticia actual para que parezca creíble.

Las alertas de eliminación de Office 365 son otra estafa relacionada con Microsoft que se utiliza para obtener tus credenciales. Esta estafa por correo electrónico asegura que se eliminaron muchos archivos de tu cuenta y te envían un vínculo para que inicies sesión, lo que por supuesto provoca que tu cuenta se ponga en riesgo.

Aviso del banco. Esta estafa te engaña mediante una notificación falsa sobre tu cuenta. En general, en estos correos electrónicos encontrarás un conveniente vínculo que te redirige a un formulario web en el que debes brindar tus datos bancarios para «verificarlos». No brindes tus datos. En su lugar, llama a tu banco, ya que de seguro querrán actuar frente a estos correos electrónicos maliciosos.

Correo electrónico de una «amistad». Esta estafa parece provenir de una amistad conocida que está en el exterior y necesita tu ayuda. Esta «ayuda» suele implicar el envío de dinero. Entonces, antes de enviarle dinero a «tu amistad», llama y verifica que realmente sea verdad.

Correo electrónico de premio de concurso o herencia. No te emociones si ganas algo inesperadamente o recibes una herencia de un familiar que nunca conociste. Porque la mayoría de las veces estos correos electrónicos son estafas que requieren que hagas clic en un vínculo para ingresar tu información para el envío del premio o la verificación de la «herencia».

Reembolso impositivo. Esta es una estafa de phishing muy común, ya que muchas personas pagan impuestos anuales. Por lo general, en estos mensajes de phishing te informan que puedes ser elegible para recibir un reembolso por tus impuestos o debes someterte a una auditoría. Luego te piden que envíes una solicitud de reembolso impositivo o un formulario fiscal (en el que debes brindar todos tus datos), que los estafadores usarán luego para robar tu dinero o vender tus datos.

Si recibes un correo electrónico de este tipo, esto es lo que debes hacer:

1. Revisa la dirección de correo electrónico para verificar quién es el remitente. Por ejemplo, las direcciones de la OMS usan el patrón persona@oms.int, no Gmail u otros.

2. Comprueba el vínculo antes de hacer clic. Asegúrate de que comience con «https://» y no «http://».

3. Ten cuidado al brindar información personal. Nunca entregues tus credenciales a terceras personas, ni siquiera a la OMS.

4. No te apresures ni reacciones por el pánico. Los estafadores se aprovechan de ello para que hagas clic en vínculos o abras archivos adjuntos.

5. Si revelaste información confidencial, no entres en pánico. Restablece tus credenciales en los sitios en los que las usas. Cambia tus contraseñas y comunícate con tu banco de inmediato.

6. Denuncia todas las estafas.

Fundamentalmente, las estafas de phishing comparten ciertas características que un ojo entrenado podría detectar. Sin embargo, como no siempre es fácil descubrirlo a primera vista, desentrañaremos estas señales de alerta.

Sugerencias para tratar correos electrónicos de phishing confirmados

Es crucial estar alerta para descubrir correos electrónicos de phishing. Si encuentras uno en tu bandeja de entrada (que no se filtró automáticamente hacia tu carpeta de spam), aplica estas estrategias para evitar convertirte en una víctima de un ataque de phishing.

Elimina el correo sin abrirlo. La mayoría de los virus se activan cuando abres un archivo adjunto o haces clic en un vínculo de un correo electrónico. No obstante, algunos clientes de correo electrónico admiten la ejecución de scripts, lo que permite que un virus ataque simplemente por abrir un correo electrónico sospechoso. Es por ello que es mejor no abrir el correo.
Bloquea al remitente de forma manual. Si el cliente de correo electrónico que usas te permite bloquear el remitente de forma manual, deberías hacerlo. Anota el dominio de correo electrónico del remitente y agrégalo a la lista de bloqueados. Esta es una medida muy inteligente y útil si compartes la casilla de correo electrónico con algún familiar. Alguien más podría encontrarse con un correo electrónico que parece legítimo y no está en tu carpeta de spam, y podría actuar de forma incorrecta.
Adquiere otra capa de seguridad. La seguridad nunca está de más. Considera adquirir un software antivirus para supervisar tu casilla de correo electrónico.

Solo recuerda que la mejor manera de lidiar con un correo electrónico de phishing es eliminarlo o bloquear al remitente de inmediato. Si realizas alguna acción adicional para restringir tu exposición a estos ataques, tendrás una ventaja.

Más allá de descubrir el correo electrónico y eliminarlo, puedes protegerte siguiendo estas sugerencias.

Sugerencias para prevenir el phishing

Ya sea que no nos agrade o no lo esperemos, seremos el objetivo de correos electrónicos de phishing todos los días.

Los proveedores de correo electrónico que tenemos filtran la mayoría automáticamente y, en general, los usuarios se volvieron bastante buenos en identificar los correos electrónicos de este tipo y actuar con sentido común para no realizar lo que solicitan.

De todos modos, ya viste cuán engañoso puede llegar a ser el phishing. También sabes que los ataques de phishing abarcan todo tipo de comunicaciones y usos del Internet, no solo correos electrónicos.

Si sigues unas simples sugerencias para prevenir el phishing, puedes reducir en gran medida las probabilidades de convertirte en una víctima de un estafador.

5 pasos para protegerte del phishing

La protección en Internet comienza con tu actitud y comportamiento frente a posibles ciberamenazas.

El phishing engaña a las víctimas para que entreguen credenciales de todo tipo de cuentas confidenciales, tales como correo electrónico, intranets corporativas y mucho más.

Incluso para usuarios que actúan con cautela, a veces es difícil detectar un ataque de phishing. Estos ataques ahora son más sofisticados y los hackers encuentran la forma de adaptar sus estafas y enviar mensajes muy convincentes, que pueden lograr que las personas cometan un error.

A continuación, enumeramos algunas medidas básicas que siempre debes tomar en tus correos electrónicos y otras comunicaciones:

1. Actúa con sentido común antes de divulgar información confidencial. Si recibes una alerta de tu banco u otra institución importante, nunca hagas clic en el vínculo en el correo electrónico. En su lugar, abre una ventana del navegador y escribe la dirección directamente en el campo de la dirección URL para asegurarte de que el sitio web sea real.

2. Nunca confíes en mensajes alarmantes. Las empresas prestigiosas no solicitan información de identificación personal ni datos de cuentas por correo electrónico. Esto incluye a tu banco, compañía de seguros y cualquier otra empresa con la mantengas una relación comercial. Si alguna vez recibes un correo electrónico que te pide cualquier tipo de información de una cuenta, elimínalo inmediatamente y llama a la empresa para confirmar que tu cuenta está bien.

3. No abras los archivos adjuntos de estos correos electrónicos sospechosos o extraños, especialmente documentos de Word, Excel, PowerPoint o PDF adjuntos.

4. Evita siempre hacer clic en vínculos incrustados de correos electrónicos porque pueden contener malware. Ten cuidado cuando recibes mensajes de proveedores o terceros, y no hagas clic nunca en direcciones URL incorporadas en el mensaje original. En su lugar, visita el sitio web directamente escribiendo la dirección URL correcta para verificar la solicitud y revisar las políticas de contacto y los procedimientos del proveedor relativos a la solicitud de información.

5. Mantén actualizados el software y el sistema operativo. Los productos del sistema operativo de Windows suelen ser el objetivo de ataques maliciosos y de phishing, por lo que debes asegurarte de protegerlos y actualizarlos. En especial aquellos que se ejecutan en un sistema operativo anterior a Windows 10.

Cómo protegerte ante el phishing