¿Qué es el phishing y cómo identificar un intento de estafa?
Qué es el phishing, las señales para detectar un intento de estafa y cómo protegerte de estos ataques de ingeniería social.
Contenido
¿Qué es el phishing y cómo identificar un intento de estafa?
Internet ha cambiado completamente la forma en la que nos comunicamos, compramos, trabajamos y gestionamos nuestra información personal. Sin embargo, todas estas ventajas también han provocado que aparezcan nuevas formas de delincuencia digital.
Una de las más comunes es el phishing.
Este tipo de ataque intenta engañar al usuario para conseguir información que debería mantenerse privada. Los ciberdelincuentes pueden intentar obtener contraseñas, datos bancarios, códigos de acceso, información personal o incluso acceso completo a determinadas cuentas.
Lo más preocupante es que no siempre hace falta ser un experto en informática para caer en uno de estos engaños. Los ataques de phishing están diseñados precisamente para aprovechar errores humanos, prisas, miedo o confianza.
En este artículo vamos a explicar qué es el phishing, cómo funciona, cuáles son sus principales tipos y qué podemos hacer para protegernos.
¿Qué es el phishing?
El phishing es una técnica utilizada para engañar a una persona haciéndose pasar por una empresa, organización o individuo legítimo.
El objetivo suele ser conseguir que la víctima:
- Introduzca sus credenciales.
- Proporcione información personal.
- Facilite datos bancarios.
- Descargue un archivo malicioso.
- Pulse sobre un enlace peligroso.
- Realice una transferencia.
- Proporcione un código de autenticación.
El atacante intenta crear una situación en la que el usuario piense que está interactuando con una entidad legítima.
Por ejemplo, podemos recibir un correo aparentemente enviado por nuestro banco indicando que existe un problema con nuestra cuenta.
El mensaje puede incluir un botón como:
Verificar mi cuenta
Al pulsarlo, podemos ser enviados a una página falsa prácticamente idéntica a la del banco.
Si introducimos nuestro usuario y contraseña, los datos pueden acabar directamente en manos del atacante.
¿Por qué se llama phishing?
El término phishing procede de una modificación de la palabra inglesa "fishing", que significa pescar.
La comparación tiene sentido porque el atacante utiliza un señuelo para intentar conseguir que la víctima "muerda el anzuelo".
El mensaje, enlace o página falsa es el señuelo.
La información que intenta conseguir el atacante es la captura.
¿Cómo funciona un ataque de phishing?
Aunque existen muchas variantes, la mayoría siguen una estructura parecida.
1. El atacante prepara el engaño
Primero crea un mensaje, página web o archivo diseñado para parecer legítimo.
Puede utilizar el logotipo, colores y lenguaje de una empresa conocida.
2. Se envía el mensaje
La víctima puede recibirlo mediante:
- Correo electrónico.
- SMS.
- WhatsApp.
- Redes sociales.
- Mensajes privados.
- Plataformas de trabajo.
3. Se genera una sensación de urgencia
El atacante intenta que la víctima actúe rápidamente.
Por ejemplo:
Tu cuenta será suspendida hoy.
o:
Detectamos una actividad sospechosa.
4. La víctima accede al enlace
El enlace puede dirigir a una página controlada por el atacante.
5. Se solicitan los datos
La página puede pedir:
- Usuario.
- Contraseña.
- Número de tarjeta.
- Código de seguridad.
- Código recibido por SMS.
Una vez introducidos, la información puede quedar en poder del atacante.
La importancia de la ingeniería social
El phishing no depende únicamente de la tecnología.
Una parte fundamental es la ingeniería social.
La ingeniería social consiste en manipular psicológicamente a una persona para conseguir que realice una acción.
Los atacantes suelen aprovechar emociones como:
- Miedo.
- Curiosidad.
- Urgencia.
- Confianza.
- Preocupación.
- Avaricia.
Por ejemplo, un mensaje que indica que hemos ganado un premio puede despertar nuestra curiosidad.
Uno que indica que nuestra cuenta bancaria será bloqueada puede generar miedo.
En ambos casos, el objetivo es conseguir que actuemos sin pensar demasiado.
El phishing utiliza empresas conocidas
Los atacantes suelen hacerse pasar por organizaciones que las personas conocen.
Algunos ejemplos habituales pueden ser:
- Bancos.
- Empresas de transporte.
- Tiendas online.
- Plataformas de streaming.
- Redes sociales.
- Servicios de correo electrónico.
- Organismos públicos.
Utilizar una marca conocida aumenta las probabilidades de que la víctima confíe en el mensaje.
¿Cómo reconocer un correo de phishing?
Existen varias señales que pueden ayudarnos a detectar un mensaje sospechoso.
El remitente es extraño
Una de las primeras cosas que debemos comprobar es la dirección desde la que se ha enviado el correo.
Por ejemplo, si supuestamente procede de una empresa pero el dominio no coincide con el oficial, debemos desconfiar.
No debemos fijarnos únicamente en el nombre mostrado.
El nombre puede ser fácilmente falsificado.
Cuidado con los dominios parecidos
Los atacantes pueden registrar dominios que visualmente se parecen mucho a los legítimos.
Por ejemplo:
empresa.com
podría convertirse en:
empresa-seguridad.com
o:
empresa-login.com
Incluso pueden utilizar caracteres similares para intentar confundir al usuario.
Por eso es importante revisar cuidadosamente la dirección.
Los enlaces son una de las principales amenazas
Antes de pulsar un enlace recibido por correo o mensaje, debemos comprobar hacia dónde nos dirige.
En un ordenador podemos colocar el cursor encima del enlace sin pulsarlo para visualizar la dirección.
Si el enlace apunta a un dominio extraño, debemos evitar acceder.
También hay que tener cuidado con los enlaces acortados, ya que pueden ocultar el destino real.
Mensajes que generan urgencia
Una de las técnicas más utilizadas consiste en crear una sensación de urgencia.
Por ejemplo:
Último aviso.
Tu cuenta será eliminada en las próximas 24 horas.
Haz clic aquí para evitarlo.
Este tipo de mensajes intenta impedir que pensemos tranquilamente.
Antes de actuar debemos detenernos y comprobar si realmente existe algún problema.
Errores ortográficos
Durante mucho tiempo, los errores gramaticales fueron una señal bastante clara de phishing.
Actualmente los ataques son cada vez más sofisticados y algunos mensajes están perfectamente redactados.
Aun así, errores extraños, traducciones incorrectas o expresiones poco naturales pueden ser una señal de alerta.
Sin embargo, un mensaje perfectamente escrito también puede ser fraudulento.
Phishing mediante SMS: Smishing
El phishing no se limita al correo electrónico.
Cuando se realiza mediante mensajes SMS suele conocerse como smishing.
Por ejemplo, podemos recibir un mensaje indicando:
Tu paquete no ha podido ser entregado.
Confirma tu dirección aquí:
[enlace]
Este tipo de ataque se ha vuelto especialmente común debido al uso generalizado de servicios de transporte y compras online.
Si esperamos un paquete, el mensaje puede parecer completamente legítimo.
Phishing mediante llamadas: Vishing
También existen ataques realizados mediante llamadas telefónicas.
Esta técnica suele denominarse vishing.
El atacante puede hacerse pasar por:
- Un banco.
- Un operador telefónico.
- Soporte técnico.
- Una compañía de seguros.
Durante la llamada puede intentar conseguir información confidencial o convencer a la víctima para instalar un programa.
Nunca debemos proporcionar contraseñas o códigos de seguridad a alguien simplemente porque diga pertenecer a una determinada empresa.
Phishing en redes sociales
Las redes sociales también se utilizan para realizar ataques.
Un atacante puede crear una cuenta falsa o comprometer una cuenta real.
Posteriormente puede enviar mensajes privados como:
Mira esta foto.
o:
¿Eres tú el de este vídeo?
El enlace incluido puede llevar a una página falsa diseñada para robar las credenciales.
Phishing dirigido: spear phishing
No todos los ataques se envían de forma masiva.
El spear phishing está dirigido específicamente contra una persona u organización.
El atacante puede investigar previamente a su víctima y crear un mensaje personalizado.
Por ejemplo, podría conocer:
- Nombre.
- Empresa.
- Puesto de trabajo.
- Compañeros.
- Proyectos.
Esto hace que el mensaje resulte mucho más creíble.
Phishing contra empresas
Las empresas son objetivos especialmente interesantes.
Un atacante puede intentar hacerse pasar por:
- Un proveedor.
- Un cliente.
- Un responsable.
- Una empresa de transporte.
- Una entidad bancaria.
Por ejemplo, podría enviar un correo solicitando el cambio de una cuenta bancaria para recibir un pago.
Si un empleado no comprueba la información, podría producirse una transferencia hacia una cuenta controlada por el atacante.
¿Qué ocurre si introducimos nuestra contraseña?
Si introducimos una contraseña en una página falsa, debemos actuar rápidamente.
Lo primero es cambiar la contraseña desde la página oficial del servicio.
No debemos utilizar el enlace recibido en el mensaje.
Además, si utilizamos la misma contraseña en otros servicios, también debemos cambiarla.
Reutilizar contraseñas aumenta enormemente el impacto de una filtración.
La importancia de la autenticación de dos factores
La autenticación de dos factores, conocida como 2FA, proporciona una capa adicional de seguridad.
Incluso si un atacante consigue nuestra contraseña, necesitaría superar un segundo mecanismo de autenticación.
Por ejemplo:
- Aplicación de autenticación.
- Llave de seguridad.
- Código temporal.
- Otro mecanismo de verificación.
Por este motivo es recomendable activar 2FA siempre que esté disponible.
¿Qué hacer si recibimos un mensaje sospechoso?
Si un mensaje parece sospechoso:
- No pulses los enlaces.
- No descargues archivos.
- No introduzcas credenciales.
- No respondas al mensaje.
- Comprueba el remitente.
- Accede directamente a la página oficial.
- Contacta con la empresa mediante sus canales oficiales.
La clave es no utilizar los datos de contacto proporcionados por el propio mensaje sospechoso.
¿Y si ya hemos pulsado el enlace?
Pulsar un enlace no significa necesariamente que hayamos sido víctimas de un ataque.
Si hemos accedido pero no hemos introducido información ni descargado archivos, el riesgo puede ser menor.
Aun así, debemos:
- Cerrar la página.
- No introducir información.
- Revisar las descargas.
- Ejecutar un análisis de seguridad si hemos descargado algo.
- Vigilar nuestra cuenta.
¿Y si hemos introducido datos bancarios?
En este caso debemos actuar inmediatamente.
Si hemos proporcionado datos bancarios o realizado una operación fraudulenta, debemos contactar con nuestra entidad bancaria utilizando un número oficial.
No debemos utilizar teléfonos o enlaces incluidos en el mensaje recibido.
También es recomendable revisar los movimientos de la cuenta y seguir las instrucciones proporcionadas por el banco.
¿Cómo protegernos del phishing?
No existe una única herramienta capaz de eliminar completamente el riesgo.
La mejor defensa consiste en combinar tecnología y sentido común.
Algunas recomendaciones son:
- Utilizar contraseñas diferentes.
- Activar 2FA.
- Mantener actualizado el sistema operativo.
- Mantener actualizado el navegador.
- No abrir archivos inesperados.
- Comprobar los dominios.
- Desconfiar de mensajes urgentes.
- Utilizar antivirus y sistemas de seguridad.
- Realizar copias de seguridad.
Las empresas también deben formar a sus empleados
En entornos profesionales, la formación es especialmente importante.
Un empleado puede convertirse involuntariamente en la puerta de entrada de un ataque.
Las empresas pueden realizar:
- Formación en ciberseguridad.
- Simulaciones de phishing.
- Políticas de contraseñas.
- Autenticación multifactor.
- Restricciones de permisos.
- Sistemas de filtrado de correo.
La seguridad no depende únicamente del departamento informático.
Todos los empleados forman parte de ella.
Conclusión
El phishing es una de las amenazas más comunes de Internet porque aprovecha algo que ningún antivirus puede solucionar completamente: el comportamiento humano.
Los atacantes intentan crear mensajes convincentes, generar urgencia y aprovechar la confianza que tenemos en determinadas empresas y servicios.
Aprender a identificar estas señales es una de las mejores formas de proteger nuestras cuentas y nuestra información.
Antes de pulsar un enlace o proporcionar información sensible, debemos detenernos unos segundos y comprobar que realmente estamos tratando con la entidad que creemos.
En Internet, la urgencia de un mensaje nunca debería ser una razón para dejar de comprobarlo.
Una contraseña puede cambiarse, pero evitar que nuestros datos lleguen a un atacante siempre será la mejor opción.
Compartir este artículo
🛠️ Herramientas relacionadas