Phishing: ¡no te dejes engañar!
La nueva normalidad causada por la pandemia del Coronavirus hizo que durante el 2020 tuviéramos que trabajar de forma remota. Esto nos hizo más propensos a caer en campañas de phishing y estafadores, ya que era resultaba muy difícil poder comprobar la veracidad de un correo o de un llamado estando aislados. Se conoce como Phishing a una táctica de la ingeniería social que consiste en engañar a un usuario haciéndole creer que está ingresando a un sitio web seguro, para llevarlo a otra dirección con la misma apariencia. De esta manera se logra que el usuario entregue sus credenciales y exponga su información a los estafadores: puede incluir contraseñas, información de cuentas bancarias, números de tarjetas de crédito y otros.
Esta forma de delito se originó en los 90s cuando un grupo de hackers “warez Community” robaban datos de cuentas de AOL haciéndose pasar como empleados de la compañía. Así consiguieron “los correos electrónicos como ‘anzuelos’ para atrapar sus ‘peces’ del ‘mar’ de usuarios de Internet”. Este tipo de ataque busca persuadir al usuario a seguir rutas a webs fraudulentas, abrir archivos adjuntos o responder a mensajes. Todo esto en general para extraer información sensible. Es una de las amenazas cibernéticas más efectivas, que presenta riesgos para el gobierno, la industria y todo tipo de usuarios. Millones de violaciones de datos han resultado de la acción del phishing y cada año se pierden miles de millones de dólares. Mediante esta acción también se puede instalar malware (como ransomware). El atacante puede solicitar transferencias de dinero o iniciar transacciones financieras no autorizadas. También puede dar lugar a una colaboración involuntaria por parte del destinatario para cometer una estafa dentro de una empresa (quizás el medio de entrada más simple).
¿Qué tipos de phishing existen?
Tener la información correcta hace que puedas estar alerta ante las posibles estafas. Estas son las formas más conocidas: “Spear phishing” o ataque personalizado: El atacante recopila información (en perfiles de redes sociales y blogs, por ejemplo) y la utiliza sobre una víctima potencial en particular. Si bien puede ser un usuario, también puede ser un grupo de empleados de determinadas áreas de una organización. “Voice phishing o vishing”: Si el engaño viene en una llamada telefónica. “Caza de ballenas” se apunta a individuos ricos y poderosos. A veces, al contrario de atacarlos directamente, su identidad y autoridad se utiliza para extraer información financiera o fondos de la organización a la que pertenecen. Alternativamente, el uso de las identidades de otras personas también puede involucrar a las de personas de confianza, como miembros de la familia, colegas o amigos.
Los mensajes de los phishers (“pescadores”) pueden tener una fuerza narrativa significativa y conectarse con el lector a través de la sorpresa. Cuando el mensaje es muy largo, el receptor puede terminar prestando más atención a las características del diseño. A veces, los phishers utilizan imágenes de un hipervínculo legítimo para dirigirnos a un sitio corrupto diferente. Otras veces utilizan ventanas de navegador fraudulentas junto a las legítimas o por encima de ellas.
Entonces ¿cómo podemos protegernos? Deberás prestar mucha atención, por ejemplo, reconocer cuando una URL es legítima. Muchas veces entramos a links que nos parecen reales solo porque tienen el nombre de la empresa en la URL (ej, www.security-paypal-center.com) o pueden ser engañados por typos o sustituciones de caracteres como piatzi.com o platz1.com en lugar del original platzi.com. Busca siempre el candado en la URL, que es el indicador de seguridad en los navegadores web, este candado indica que el sitio web en el que estamos fue entregado de forma segura por SSL (Secure Sockets Layer). Protocolo criptográfico “utilizado para proporcionar autenticación y comunicaciones seguras a través de Internet”. Evalúa el contenido del sitio: Los sitios oficiales tienen gráficos nítidos, la ortografía y la gramática serán precisas y toda la experiencia se sentirá pulida. Si estás en un sitio web de phishing, a pesar de la similitud de la marca, toda la experiencia se sentirá por debajo del estándar y puede indicar que te has desviado hacia un sitio falso. Revisa quién es el dueño: Todos los dominios deberán registrar su dirección web, por lo que vale la pena realizar una búsqueda de WHOIS para ver quién es el propietario del sitio web. Este es un servicio gratuito y te permitirá verificar cuándo se creó y te proporcionará los datos de contacto del propietario del sitio. Ten en cuenta que si el sitio web ha estado activo durante menos de un año o si crees que está en el sitio web de una marca líder, pero la dirección web está registrada a nombre de una persona en otro país, es una web falsa. Y por último, por favor, desconfía del dinero fácil y activa tu sentido común.
Desde Experience Baires sentimos que es imprescindible mantenerte informado de todas estas cuestiones que pueden afectar tu navegación en Internet. Recuerda que si aún tienes dudas sobre este u otro tema estaremos felices de ayudarte: creamos soluciones digitales para ti y para tu empresa o emprendimiento ¡contáctanos!
Marcela Gangemi
