El phishing es una técnica utilizada por estafadores o también llamados ciberdelincuentes y, actualmente, se ha hecho viral, ya que muchas personas cuentan con al menos una cuenta bancaria o una cuenta en Internet y se encuentra vinculada ya sea con el correo electrónico o redes sociales, lo cual le permite a estos delincuentes obtener información, y es aquí cuando acuden a la suplantación de identidad para poder realizar compras, retiros de dinero o estafar personas por medio de las redes sociales.
Por esta razón, en Lazos Delagente entrevistamos a Alejandro Molina, ingeniero de sistemas, experto en seguridad digital y creador de Createch Soluciones, quien nos explicó el abecé de esta nueva táctica de robo.
¿Cómo funciona el phishing?
Los ciberdelincuentes actúan con ofertas o con mensajes subliminales, donde informan que fuiste ganador de $ 5.000.000 millones, además, indican que al responder ese mensaje recibirás una llamada. Así, también sucede en páginas donde te “obligan” a dar clic con promociones falsas. En ocasiones, estos sitios son casi iguales a los originales, les cambian alguna letra o incluso le ponen de seguido dos letras iguales como por ejemplo, “www.bancolombia.com.co”, aquí se puede ver que no es la dirección original. Debes evitar colocar tu información personal en estas páginas o responder llamadas, mensajes de texto o de redes sociales que creas sospechosos.
¿Cuáles son las clases de phishing más utilizadas por los ciberdelincuentes?
Spear phishing:
Es un ataque dirigido a una persona o empresa en específico. Primero se hace una previa revisión para poder hacer que el ataque sea creíble; ya con eso, envían un correo electrónico con datos precisos, para que solo la persona que lo reciba haga clic o responda lo que preguntan.
Un ejemplo sería enviarle el mensaje al encargado de generar los pagos de la empresa o a una persona que tenga una cuenta con alto saldo, donde le manifiesten que envíe una suma de dinero alta a un proveedor o realice un pago en específico. El enlace que le indican para que realice el pago es falso; por ende, al hacerlo, lo envía al atacante.
Phishing de clonación:
En este caso podemos ver cómo utilizan copias exactas de mensajes de correo electrónico, para poder utilizarlas sin que sean sospechosas. El mensaje contiene un link que se ve real, pero no lo es, pues te lleva directo a donde el ciberdelincuente quiere que seas dirigido. Por ejemplo, si es un enlace para descargar de un archivo, al descargalo y abrirlo podría tomar el control de tu computador o dispositivo y, así, falsificar tu identidad y hacer procesos delictivos.
Phishing telefónico:
Estos son llamados phishing de voz o “vishing”. El phisher llama a la persona, afirmando representar a un banco, la policía o, incluso, un amigo. Luego, te dan un mensaje de preocupación, como por ejemplo que tienes la cuenta bloqueada porque intentaron hacerte un fraude; que debes enviar los datos porque tienes un asunto pendiente en la policía; o un “amigo” puede solicitarte dinero desde su cuenta bancaria. En este último caso es casi seguro que te pedirán que hagas el pago por transferencia bancaria o con tarjetas débito, porque son imposibles de rastrear.
Este caso también puede darse por vía SMS o “smishing”. Es casi igual que la llamada, pero este mensaje contiene muchas veces un enlace que, al darle clic, puede tomar el control de tu dispositivo o llevarte a una página donde te pedirá tus datos.
¿Las personas cómo pueden prevenir caer en esta modalidad y qué recomendaciones le darías para evitar el fraude?
Hay varios procesos sospechosos que son fáciles de detectar como, por ejemplo, si te hacen una llamada preguntándote datos como cédula y/o número de cuenta; o te llegan mensajes por redes sociales o correo electrónico, solicitando claves o sumas de dinero. En todas esas peticiones raras que notes, no brindes ninguna información. Recuerda que los bancos no solicitan ese tipo de datos por estos medios. Si tienes dudas, llama a la entidad bancaria para confirmar o reportar el mensaje.
Otra forma de corroborar que te están haciendo un ataque malicioso, es validando la gramática del texto, ya sea del correo o de algún mensaje; en ellos se notará que están colocando un número errado o un mensaje con correos raros como, por ejemplo, uno que estuvo circulando en un tiempo “facturadian@tesoreriacol-gov.co”. Debes validar bien la entidad que te está enviando alguna propuesta o solicitando datos y, dado el caso, reportarlo.
Otra de las cosas que puedes hacer es cambiar la clave de tus cuentas dos veces al mes, o cada vez que veas algo sospechoso, así como la clave de sus correos electrónicos, y no descargar ningún archivo de alguien que no conozcas o de un remitente sospechoso.
¿Existen métodos o aplicaciones para nuestros equipos tecnológicos para prevenir caer en él?
Los métodos más efectivos son contar siempre con un antivirus licenciado y hacer análisis, en lo posible, diariamente; asimismo, evitar guardar tus contraseñas en los navegadores. Cuando instales las aplicaciones de acceso remoto en tus dispositivos, no las configures para que queden automáticas, siempre es mejor que te pidan permiso para poder conectar; y nunca dejes tu dispositivo desbloqueado, o las redes sociales abiertas.
Mantén tu sistema y aplicaciones actualizados. Pueden existir aplicaciones para evitar el fraude, sin embargo, si no se siguen las recomendaciones básicas, no servirán.