¿Cómo detectar el phishing?

El phishing, esto es, la práctica frau­du­le­n­ta mediante la que se intentan obtener datos sensibles, es una de las pri­n­ci­pa­les amenazas a las que se exponen los usuarios de Internet a diario. Los ci­be­r­de­li­n­cue­n­tes apro­ve­chan el uso extendido del correo ele­c­tró­ni­co para enviar correos con in­fo­r­ma­ción falsa. Estos pueden incluir enlaces dudosos (por ejemplo, a páginas web falsas) y di­re­c­cio­nes a las que los usuarios menos atentos responden con datos sensibles. Te ex­pli­ca­mos cómo detectar el phishing y pro­te­ge­r­te del robo de datos.

Así actúan los es­ta­fa­do­res con phishing emails

La mecánica básica del phishing es muy sencilla: los ci­be­r­cri­mi­na­les envían correos ele­c­tró­ni­cos que simulan proceder de bancos, servicios de pago, mercados online o pro­vee­do­res de servicios de eCommerce, en los que se insta a los usuarios que los reciben a rellenar fo­r­mu­la­rios o a seguir un enlace que redirige a una página de registro con el aspecto de ser veraz. Revelar datos sensibles por medio de un método como este significa exponerse a un gran riesgo. El objetivo de dichos ataques de phishing no es otro que el de conseguir nombres de usuario, co­n­tra­se­ñas o códigos PIN y efectuar reservas y pedidos en nombre de sus pro­pie­ta­rios. Las víctimas de estos ataques pueden saber si sus cuentas bancarias o sus cuentas de servicios de pago han sido blanco de los hackers si ven re­fle­ja­das en ellas la rea­li­za­ción de compras o tra­n­s­fe­re­n­cias sin su co­no­ci­mie­n­to.

Los mejores consejos para detectar phishing

Para pro­te­ge­r­se de los correos frau­du­le­n­tos, basta una mirada atenta a la bandeja de correo ele­c­tró­ni­co. Una manera de reconocer el phishing es por medio de indicios evidentes, como, por ejemplo, un remitente de­s­co­no­ci­do, un tra­ta­mie­n­to im­pe­r­so­nal, faltas de or­to­gra­fía, enlaces dudosos y fo­r­mu­la­rios online. Aquí tienes algunos trucos para prevenir daños por phishing:

1. Comprueba el nombre y la dirección del remitente

Lo primero que debes tener en cuenta antes de abrir un supuesto correo ele­c­tró­ni­co oficial de tu banco o de un proveedor de servicios online es comprobar quién es el remitente: ¿quién ha enviado el correo?, ¿mantienes una relación comercial con el proveedor?, ¿le has fa­ci­li­ta­do tu correo ele­c­tró­ni­co? Observa cuál es la dirección completa del remitente y compárala con los mensajes an­te­rio­res. Si en­cue­n­tras di­fe­re­n­cias, es co­n­ve­nie­n­te que tengas cuidado.

2. Presta atención a la fórmula de cortesía

El tra­ta­mie­n­to que se utiliza en el texto del correo ele­c­tró­ni­co es otro indicio que ayuda a detectar correo phishing. Los pro­vee­do­res de servicios que se dirigen a sus clientes emplean, por lo general, un tono personal y les llaman por su nombre. En el caso de los timadores, esto no ocurre siempre así. Si un mensaje empieza con “Estimados señores y señoras” o con cualquier otro tipo de fórmula de cortesía estándar, deberías pre­gu­n­tar­te por qué tu banco o un supuesto socio comercial no sabe cómo te llamas.

3. Observa la or­to­gra­fía y la gramática

Si en­cue­n­tras un mensaje repleto de errores gra­ma­ti­ca­les y or­to­grá­fi­cos, ten por seguro que no lo escribió un empleado de una entidad bancaria. Las faltas de or­to­gra­fía y los fra­g­me­n­tos in­i­n­te­li­gi­bles son un claro indicio de correos frau­du­le­n­tos que se han traducido au­to­má­ti­ca­me­n­te. Lo mismo ocurre con los textos de correos ele­c­tró­ni­cos que no contienen acentos o diéresis y sí incluyen ca­ra­c­te­res en otros idiomas.

4. Presta atención ante posibles trampas en forma de enlaces

El que un correo ele­c­tró­ni­co contenga un enlace, no es, a priori, señal de alarma. Sin embargo, antes de hacer clic en él, debes ce­r­cio­rar­te de que este te lleva a una página seria. Para ello, mueve el ratón por encima del texto sin pulsarlo y comprueba cuál es la dirección web que se muestra en la parte inferior izquierda en la ventana del navegador. ¿Coincide con la dirección URL del proveedor? ¿Soporta HTTPS u otros indicios que aseguren la tra­n­s­mi­sión de datos? En caso de duda, es re­co­me­n­da­ble no hacer clic sobre el enlace ni tampoco escribir ma­nua­l­me­n­te la dirección en el navegador.

5. No rellenes ningún fo­r­mu­la­rio por correo ele­c­tró­ni­co

Ningún proveedor exige a sus clientes que in­tro­du­z­can sus datos en un correo ele­c­tró­ni­co. Recibir un fo­r­mu­la­rio en formato HTML en el que haya que in­tro­du­cir los datos de ide­n­ti­fi­ca­ción, junto con las co­n­tra­se­ñas, es un claro indicio de que se trata de un correo ele­c­tró­ni­co de phishing. Asimismo, tampoco es co­n­ve­nie­n­te facilitar ningún código de seguridad, como el código PIN, por teléfono o por correo ele­c­tró­ni­co. Lo re­co­me­n­da­ble es facilitar este tipo de datos a través de las páginas de los pro­vee­do­res, cuya au­te­n­ti­ci­dad puede co­m­pro­bar­se por medio de ce­r­ti­fi­ca­dos de seguridad.

6. Cuidado con los archivos adjuntos

Hay que actuar con es­ce­p­ti­ci­s­mo cuando se reciben mensajes ine­s­pe­ra­dos que contienen archivos adjuntos. En este sentido, la regla fu­n­da­me­n­tal es que, si se desconoce al remitente, lo mejor es no de­s­ca­r­gar­los, ya que pueden contener software ma­li­n­te­n­cio­na­do, como virus o troyanos, que pueden infectar tu ordenador y leer datos sensibles. Comprar en Internet o hacer uso de servicios bancarios online de manera segura ya no sería posible.

7. No te dejes someter a presión

Si un correo ele­c­tró­ni­co requiere la rea­li­za­ción urgente de alguna acción, se re­co­mie­n­da estar alerta. Los es­ta­fa­do­res usan su ar­ti­lle­ría pesada para presionar a los usuarios para que actúen de manera pre­ci­pi­ta­da. Sin embargo, ningún proveedor serio amenaza por correo ele­c­tró­ni­co con bloquear las tarjetas de crédito, ni obliga a los usuarios a facilitar sus co­n­tra­se­ñas ni a descargar archivos adjuntos. En caso de duda, lo más acertado es dirigirse al servicio de asi­s­te­n­cia al cliente del proveedor.

¿Cómo prevenir el phishing?

Si has ide­n­ti­fi­ca­do un correo ele­c­tró­ni­co de pro­ce­de­n­cia de­s­co­no­ci­da como correo frau­du­le­n­to, el primer paso antes de eli­mi­nar­lo es enviarlo a la carpeta de correo no deseado y bloquear al remitente. De esta manera puedes evitar futuros ataques de phishing que provengan de dicha dirección. Para re­s­tri­n­gir la aparición de correos frau­du­le­n­tos de un modo duradero, puedes ponerte en contacto con el proveedor de servicios bajo cuyo nombre se ha enviado el correo. La mayoría de pro­vee­do­res ponen a di­s­po­si­ción de sus usuarios vías de contacto sencillas, como, por ejemplo, los fo­r­mu­la­rios de correo ele­c­tró­ni­co, a través de los que se puede notificar el envío de correos ele­c­tró­ni­cos de phishing.