El phishing es una técnica de ciberdelincuencia que utiliza el fraude, el engaño y el timo para manipular a sus víctimas y hacer que revelen información personal confidencial. Aprenda cómo funciona para que pueda detectar y bloquear las estafas de phishing y mantener así sus datos a salvo de atacantes.

 

 

Un ataque de phishing tiene tres componentes:

1. El ataque se realiza mediante comunicaciones electrónicas, como un correo electrónico o una llamada de teléfono.
2. El atacante se hace pasar por una persona u organización de confianza. 
3. El objetivo es obtener información personal confidencial, como credenciales de inicio de sesión o números de tarjeta de crédito.

Este es el engaño del que el phishing obtiene su nombre: el ciberdelincuente sale de «pesca» («fishing», en inglés, con la misma pronunciación que «phishing») con un «cebo» atractivo para ver si alguna víctima pica en el vasto «océano» de los usuarios de Internet. Las letras ph de «phishing» proceden de una afición de mediados del siglo XX, el llamado «phone phreaking», que consistía en experimentar con las redes de telecomunicaciones para averiguar su funcionamiento. Phreaking + fishing = phishing. 

Independientemente de si se desarrollan por correo electrónico, por redes sociales, por SMS o mediante cualquier otro sistema, todos los ataques de phishing siguen los mismos principios básicos. El atacante envía una comunicación dirigida con el fin de persuadir a la víctima para que haga clic en un enlace, descargue un archivo adjunto o envíe una información solicitada, o incluso para que complete un pago.

Tipos de Phishing

 

 Phishing por correo electrónico: los mensajes de correo electrónico son, de largo, el método más común para entregar el cebo del phishing. Estos mensajes suelen contener enlaces que llevan hasta sitios web maliciosos o archivos adjuntos infectados con malware. 

 

Phishing por sitio web: los sitios web de phishing, también conocidos como sitios falsificados, son copias falsas de sitios web que conoce y en los que confía. Los delincuentes crean estos sitios para engañarlo de modo que introduzca sus credenciales de inicio de sesión, que a continuación utilizarán para conectarse a sus cuentas. Las ventanas emergentes son otra fuente habitual de phishing por sitio web.

 

Vishing: esta abreviatura de «voice phishing» (phishing de voz) hace referencia a la versión sonora del phishing de Internet. El atacante intenta convencer por teléfono a las víctimas para que revelen información personal que pueda utilizarse más adelante para el robo de identidad. Muchas robollamadas son intentos de vishing.

 

Smishing: el smishing es phishing mediante SMS. Recibe un mensaje de texto donde se le pide que haga clic en un enlace o descargue una aplicación. Sin embargo, al hacerlo se le engaña para que descargue en su teléfono un malware que puede captar su información personal y enviarla al atacante. 

Phishing por redes sociales: algunos atacantes pueden colarse en las cuentas de redes sociales y forzar a la gente a enviar enlaces maliciosos a sus amigos. Otros crean perfiles falsos y los utilizan para engañar a sus víctimas.

 

• Whaling: para completar las metáforas náuticas tenemos el whaling («pesca de ballenas»), que consiste en ataques de phishing dirigido contra una personas concreta de alto valor. Es igual que el phishing personalizado, pero con objetivos mucho más ambiciosos. Ni siquiera los grandes ejecutivos son inmunes a los ataques de whaling.

• Fraude de CEO: los phishers se hacen pasar por el director ejecutivo (CEO) o por cualquier otro alto cargo de una empresa con el fin de obtener un pago o información sobre los empleados. Las campañas de fraude de CEO son habituales tras un ataque de whaling, pues el atacante ya ha obtenido las credenciales del directivo.

• Pharming: los ataques de pharming (combinación de «phishing» y «farming», «cultivo») utilizan trucos tecnológicos para engañarlo, en sustitución del cebo habitual. Por ejemplo, la suplantación de identidad de DNS, también conocida como envenenamiento de la memoria caché de DNS, es una técnica de pharming que puede redirigirlo hasta la versión falsificada de un sitio web. Si no presta atención, no notará el engaño hasta que sea demasiado tarde.

• Phishing por Dropbox y por Google Docs: los servicios de cloud populares son objetivos atractivos para el phishing. Los atacantes apañan versiones falsificadas de las pantallas de inicio de sesión, consiguen las credenciales del destinatario cuando las introduce y, a continuación, se dan un buen atracón con sus archivos y datos.

 

5. ¿El enlace es fiable?

La intención de los delincuentes es que pinchemos en un enlace para llevarnos a un sitio web fraudulento. En el texto del mensaje hay un enlace que en lugar de llevarte a la web oficial, página legítima, te lleva a otra fraudulenta que estéticamente es igual o muy parecida.

¿Cómo podemos saber la verdadera dirección a la que apunta un enlace? Muy fácil: situando el puntero encima del enlace y observando la verdadera dirección que se muestra en la parte inferior izquierda del navegador. Que el enlace sea https no significa que sea "seguro", simplemente indica que va cifrado. Cualquiera puede registrar un dominio falso y añadir el certificado https válido para su dominio fraudulento.

Una recomendación a seguir es la de no acceder a una web a través de un enlace en el correo electrónico. Si deseamos acceder a la web legítima, la mejor práctica es escribir directamente en la barra de direcciones del navegador la dirección deseada (si se conoce previamente).

Es muy importante saber distinguir una URL, entre subdominios y el dominio real.

6. ¿Quién envía el correo?

La mayor parte de los correos se caracterizan por dirigirse al usuario utilizando la primera parte de la dirección de correo electrónico en vez de por su nombre o apellidos. 

Por último, sólo nos queda comprobar la identidad del remitente. Hemos dejado esta pregunta para el final ya que no ofrece garantías para saber a ciencia cierta si un correo es fiable o no.

Debemos sospechar si el remitente es una dirección de correo que no pertenece a la entidad, como sucede en el siguiente ejemplo, que el mensaje hace referencia a PayPal y el email del remitente no hace ninguna alusión a dicho servicio.

El hecho de que el correo provenga de un correo aparentemente correcto no es indicio concluyente de la legitimidad del mismo. El remitente de un correo electrónico puede ser manipulado y los delincuentes son capaces de enviar correos con el remitente falsificado en nombre de entidades.

Fuentes:

https://www.avast.com/es-es/c-phishing

https://www.osi.es/es/banca-electronica