¿Qué es el phishing y cómo identificarlo?

¿Alguna vez ha recibido un correo electrónico que parecía ser de su banco o de un sitio web conocido, pidiéndole que proporcione información personal o financiera? O,  ¿tal vez un mensaje de texto (SMS),  de Whatsapp o redes sociales en el que te piden que hagas clic en un link?

 ¡Ten cuidado! 

Podría tratarse de una estafa o más conocido como phishing —nombre en inglés—. El proceso de llevar a cabo una estafa de phishing es muy similar al de la pesca (“fishing” en inglés), explica el sitio de tecnología Malwarebytes. En un inicio se prepara el anzuelo pensando en engañar a una víctima, y luego se lanza y se espera a que pique. La f sería reemplazado por ph, que resultaría de la combinación de las palabras inglesas “fishing” y “phony,” pero algunas fuentes apuntan a otro posible origen.

Pero, ¿qué es el phishing?

Es una técnica utilizada por los estafadores cibernéticos para obtener información personal o financiera de las víctimas a través de la suplantación de sitios web legítimos o el envío de correos electrónicos engañosos, principalmente.

Estos ataques, por lo general, son dirigidos a un gran número de personas al mismo tiempo y pueden llegar a través de correos electrónicos, mensajes de texto masivos o mensajes de Whatsapp y obtener información personal o financiera, como: 

• contraseñas 
• números de tarjetas de crédito y
• cédula de identidad

Los ataques de phishing pueden ser muy sofisticados y pueden parecer legítimos, a menudo utilizando marcas y logos conocidos para engañar a las víctimas. Con la información obtenida se puede robar o bloquear la información que la personas pueda tener en su computadora, tablet, celular o reloj inteligente.

Además, durante un ataque de phishing se intenta engañar y posteriormente estafar a la víctima, a través de la manipulación emocional. Habitualmente, el atacante desarrolla distintas narrativas, como los antiguos casos en los que se aseguraba que la víctima había ganado la lotería, o era un beneficiario de un millonario de otro país. Durante el 2022, la narrativa se dirigió a simular ser un pariente lejano y estar atascado en un aeropuerto o simular ser una empresa que pide resetear la cuenta a través de un enlace. 

Con estas técnicas se espera que la víctima deposite directamente un valor en una cuenta de un atacante o extraer la información privada que permita acceder a las cuentas bancarias de la víctima.  Los atacantes incluso desarrollan sitios web falsos donde se motiva a las víctimas a ingresar nombres de usuario y contraseñas de cuentas de correo electrónico u otros servicios de internet.

Durante el ataque de phishing, el atracador intentará confundir a la víctima a través de situaciones inesperadas (por ejemplo el caso de simular ser un pariente que necesita ayuda). Después, el atacante intentará presionar a la víctima solicitándole respuestas inmediatas sin permitirle reflexionar su respuesta. 

En el caso de los correos electrónicos, estos provienen de remitentes o sitios web desconocidos. En otros, el atacante intenta suplantar la identidad de otra persona o negocio con dominios ligeramente diferentes al original. En estos casos se motiva hacer clic en enlaces o descargar archivos. Antiguamente, los atacantes eran capaces de instalar archivos infectados solo con visitar la página web del atacante; sin embargo, con el desarrollo de los navegadores se han hecho más efectivas las seguridades.

Aunque estos fraudes pueden ser muy sofisticados, hay varias medidas que se pueden tomar para evitarlos.

¿Cómo identificar un correo fraudulento?

Hay varios indicadores que pueden ayudar a identificar si un correo electrónico es falso o de phishing. Algunos de ellos son:

• El remitente: Los correos de phishing a menudo tienen remitentes falsos o desconocidos. Hay que ser cauto al abrir correos electrónicos de remitentes desconocidos o sospechosos.
• Errores ortográficos y gramaticales: Los correos de phishing a menudo tienen errores ortográficos y gramaticales evidentes. Si un correo tiene muchos errores de este tipo, es probable que sea falso.
• Enlaces sospechosos: Los correos de phishing a menudo incluyen enlaces que llevan a sitios web falsos. Es importante no hacer clic en enlaces sospechosos y siempre revisar la URL antes de hacer clic en un enlace.
• Solicitudes de información personal: Los correos de phishing a menudo solicitan información personal confidencial, como contraseñas o números de tarjetas de crédito. La regla de oro es no proporcionar información personal en correos electrónicos sospechosos.
• Tono urgente o amenazante: Los correos de phishing a menudo tienen un tono urgente o amenazante para presionar a la víctima a proporcionar información personal. Si un correo tiene este tono, es probable que sea falso.

Mateo Peñaherrera, del área de tecnología de GK, explica que si una persona sospecha que un correo electrónico es falso, no se debe responder ni proporcionar información personal. En cambio, debería marcarlo como spam o informar a su proveedor de correo electrónico o a la empresa a la que supuestamente representa el correo.

Y sí caí en el phishing, ¿que debería hacer?

Si sospecha que ha sido víctima de un ataque de phishing, hay que tomar medidas rápidas para minimizar los daños. Algunas de las cosas que puede hacer incluyen:

• Cambie sus contraseñas: Si ha proporcionado su contraseña a un sitio web falso, es importante cambiarla inmediatamente. Asegúrese de utilizar una contraseña segura y única para cada cuenta.
• Revise sus cuentas: Revisar todas sus cuentas bancarias, tarjetas de crédito y otras cuentas para buscar cualquier actividad sospechosa. Si detecta algún movimiento sospechoso, debe informar inmediatamente a la entidad correspondiente.
• Informe el incidente: De inmediato debe avisarle a su proveedor de correo electrónico y a las entidades que podrían haber sido suplantadas, como su banco o su tarjeta de crédito.
• Utilice software de seguridad: Asegúrese de tener un software de seguridad en su dispositivo y manténgalo actualizado. Un buen software de seguridad puede ayudar a detectar y bloquear correos electrónicos de phishing y sitios web fraudulentos.
• Sea más cuidadoso en el futuro: Una vez que ha sido víctima de un ataque de phishing, hay que ser más cuidadoso en el futuro y estar más alerta a los correos electrónicos y sitios web sospechosos.
• Informe a las autoridades: Si sufre algún tipo de pérdida económica o financiera, es recomendable informar a las autoridades, ya que el phishing es considerado un delito.

Seguir estas recomendaciones ayudará a minimizar los daños y a protegerse de futuros ataques de phishing. Además, es necesario estar siempre atentos a las posibles señales de phishing, y no proporcionar información personal o financiera a través de correos electrónicos o sitios web sospechosos.