Phishing ¿qué es?

Navegando en línea, puede que te hayas cruzado con un término bastante mencionado en términos de ciberseguridad: el phishing. ¿Qué es? Se trata de una táctica de ingeniería social que surgió en la década de los 90, para identificar a los hackers que suplantan la identidad de compañías u organizaciones públicas para “pescar” información personal y bancaria de los usuarios más desprevenidos. 

Phishing es: Los ciberdelincuentes desarrollan nuevas y mejores formas de suplantación, un accionar cada vez más sofisticado para pasar completamente desapercibidos. Como usuarios debemos ser cautelosos, fortaleciendo nuestra intuición para identificar y salir al paso de estas trampas delictivas. Por eso, en este artículo te mostramos todo lo que debes saber sobre el phishing ¡para que no te tome por sorpresa ni te juegue una mala pasada! 

¿Cómo funciona el phishing?

Qué significa phishing, literalmente significa pescar, es una de las acciones más comunes de ingeniería social que existen en el océano digital. Te preguntarás, ¿cómo lo hace? Ha hilado toda una red que se vale de la manipulación psicológica para engañar a las personas a través de correo electrónico, mensajes de texto, llamadas telefónicas y distintos canales de comunicación.

Comienza con un mensaje aparentemente legítimo, que funciona como una fachada perfecta para imitar a una empresa o entidad gubernamental, y se facilita al denotar un sentido de urgencia: ¡Suspenderemos tu cuenta bancaria! ¡Retiros no autorizados! o ¡Pague sus obligaciones tributarias a tiempo! Por eso, ¡ojo a los detalles! Cuanto más se acerque a la realidad, aumentarán las probabilidades para los ciberdelincuentes de tener éxito. 

Estos correos electrónicos incitan a los usuarios a cliquear enlaces a sitios web falsos o descargar archivos adjuntos infectados con softwares maliciosos, que por ende los lleva a revelar información confidencial como credenciales, números de tarjetas o claves de acceso a cuentas bancarias. Puede que el anzuelo esté dirigido a la mayor cantidad de peces que sea posible o a una ballena en específico, el objetivo es capturar al menos a una víctima. 

¿Phishing cómo evitarlo?

Los usuarios más susceptibles no se toman el tiempo de preguntarse si las exigencias del mensaje son razonables o, al menos, verificar que la fuente sea legítima. Por eso la respuesta es sí, es posible mantenerse prevenido para evitar caer en las redes del phishing. De hecho, te damos seis recomendaciones sencillas para que puedas protegerte: 

• Revisa de cerca el correo del remitente para comprobar si es oficial o falso, si te genera dudas por sus caracteres extraños ve directamente a la fuente. Por lo general, las empresas incluyen en sus páginas web cuentas con el dominio electrónico legítimo.  

• Phishing se evita. No ingreses a enlaces o descargues archivos tanto de correos electrónicos desconocidos como de aquellos que te resulten sospechosos. 

• Ten en cuenta que ninguna organización gubernamental o bancaria te va a pedir información personal a través de correos con enlaces que dirigen a formularios que debes diligenciar, mucho menos con urgencia. 

• En caso de recibir llamadas de números desconocidos, abstente de dar documentos de identidad, números de tarjetas bancarias o claves de acceso, es otra forma de evitar el phishing incluso cuando aparentemente te hablen asesores bancarios para solucionar gestiones particulares. 

• Actualiza constantemente tus sistemas operativos, aplicaciones y claves bancarias o de correo electrónico.  

• Descargar tus aplicaciones desde repositorios oficiales y, en dado caso, visita directamente las páginas web de la entidades para realizar gestiones sensibles. 

Tipos de phishing

El phishing puede darse en distintas presentaciones, existen hasta 19 modalidades diferentes desde la suplantación por correo electrónico hasta la ejecución de ataques más especializados y dirigidos a figuras de poder. Te explicamos en qué consisten los más comunes: 

• Correo electrónico: se trata de la forma más usual de phishing, en la que los hackers envian mensajes a correos electrónicos al azar para pescar una víctima. Cada vez se vuelven más sencillos de detectar porque solicitan información de urgencia, contienen errores gramaticales y/o ortográficos, así como son compartidos de cuentas sospechosas que aparentemente son empresariales.  

• Spear phishing: es como si tuvieras una lanza para atrapar justo el pez que deseas, en este caso los atacantes dirigen el mensaje a un objetivo específico. Previamente recolectan datos que les permiten hacer más convincente el engaño, incluyendo nombres propios, títulos profesionales, puestos de trabajo o direcciones de correo electrónico conocidas.
•  Whaling: es una modalidad más especializada que consiste en cazar ballenas, es decir, son ataques destinados a grandes figuras en el mundo empresarial como CEOs y CFOs. Los mensajes indicarían, por ejemplo, que su empresa está enfrentando problemas legales serios para redirigirlo a un sitio web falso en el que deberá ingresar datos corporativos confidenciales. 

• Smishing: esos mensajes de texto recurrentes que recibes con supuesta actividad sospechosa en la cuenta bancaria personal o paquetes a tu nombre retenidos por aduanas. En la mayoría de los casos contienen links, teléfonos o números de guía, puede que a primera vista sean difíciles de identificar por su parecido a los SMS promocionales legítimos.  

Lamentablemente la mayoría de usuarios que caen en la trampa reaccionan hasta que el robo ha sido completado, ya sea por retiros de dinero no autorizados en sus cuentas bancarias o registros de compras con tarjetas de crédito… 

Pero si soy víctima pero ¿qué hacer en caso de phishing? Empieza por cambiar las contraseñas de todas tus cuentas, no solo las afectadas, esto incluye tarjetas, portales bancarios y correos electrónicos. Comunícate directamente con los bancos para reportar la actividad sospechosa y puedan bloquear tus tarjetas de débito o crédito, así evitarás que los delincuentes continúen haciendo transacciones fraudulentas. 

¡Muy importante! No te olvides de presentar una denuncia formal ante la unidad especializada en delitos cibernéticos de la Policía Nacional, para que estas u otras personas inescrupulosas no intenten usar tus datos personales como fachada para la ejecución de otras actividades delictivas.

Si esta información te resultó interesante te invitamos a compartirla y conocer más sobre la Especialización en Seguridad de Redes Telemáticas de la Universidad El Bosque.