El phishing es una estafa popular en la que los estafadores crean sitios web engañosos o envían correos electrónicos o mensajes de texto no deseados (denominados “smishing”) para obtener información financiera o personal de las víctimas. Estos sitios web o mensajes suelen parecer de entidades conocidas o de confianza.

Las víctimas reciben un mensaje de correo electrónico o un mensaje de texto que imita (o suplanta su identidad) a una persona u organización de confianza, como un compañero de trabajo, un banco o una oficina gubernamental.

Cuando abre el correo electrónico o el mensaje de texto, encuentra un mensaje pensado para asustarle, con la intención de debilitar su buen juicio al infundirle miedo. El mensaje exige que la víctima vaya a un sitio web y actúe de inmediato o tendrá que afrontar alguna consecuencia.

Si un usuario pica el anzuelo y hace clic en el enlace, se le envía a un sitio web que es una imitación del legítimo.

A partir de aquí, se le pide que se registre con sus credenciales de nombre de usuario y contraseña. Si es lo suficientemente ingenuo y lo hace, la información de inicio de sesión llega al atacante, que la utiliza para robar identidades, saquear cuentas bancarias, y vender información personal en el mercado negro.

El phishing es la forma más sencilla de ciberataque y, al mismo tiempo, la más peligrosa y efectiva.

A diferencia de otros tipos de amenazas de Internet, el phishing no requiere conocimientos técnicos especialmente sofisticados.

Los autores del phishing no tratan de explotar una vulnerabilidad técnica en el sistema operativo de su dispositivo, sino que utilizan ingeniería social, es decir, atacan la mente y los sentimientos.

Desde Windows e iPhones a Macs y Androids, ningún sistema operativo está completamente a salvo del phishing, con independencia de lo sólida que sea su seguridad.

De hecho, los atacantes a menudo recurren al phishing porque no pueden encontrar ninguna vulnerabilidad técnica.

En la mayoría de los casos, el eslabón más débil en un sistema de seguridad no es un fallo oculto en el código informático, sino una persona que no comprueba la procedencia de un correo electrónico.

El origen del nombre “phishing” es fácil de rastrear. El proceso de llevar a cabo una estafa de phishing es muy similar al de la pesca (fishing en inglés).

Se prepara el anzuelo pensando en engañar a una víctima, y luego se lanza y se espera a que pique.

A pesar de sus muchas variedades, el denominador común de todos los ataques de phishing es el uso de un pretexto fraudulento para adquirir datos valiosos.

Variantes:

Spear phishing; mientras la mayoría de las campañas de phishing envían correos electrónicos masivos al mayor número posible de personas, el spear phishing es un ataque dirigido.

Spear phishing ataca a una persona u organización específica, a menudo con contenido personalizado para la víctima o víctimas.

Requiere un reconocimiento previo al ataque para descubrir nombres, cargos, direcciones de correos electrónicos y similares.

Los hackers buscan en Internet para relacionar esta información con lo que han averiguado sobre los colegas profesionales del objetivo, junto con los nombres y las relaciones profesionales de los empleados clave en sus organizaciones. Con esto, el autor del phishing crea un correo electrónico creíble.

Por ejemplo, un estafador podría crear un ataque de spear phishing a un empleado cuyas responsabilidades incluyen la capacidad de autorizar pagos. El correo electrónico aparenta proceder de un ejecutivo en la organización, que exige al empleado que envíe un pago sustancial al ejecutivo o a un proveedor de la empresa (cuando en realidad el enlace del pago malicioso lo envía al atacante).

Spear phishing es una amenaza crítica para empresas (y gobiernos), y cuesta mucho dinero. Según un informe de 2016 de una investigación sobre el tema, el spear phishing fue responsable del 38% de los ciberataques en las empresas participantes durante 2015. Además, para las empresas estadounidenses implicadas, el coste medio de los ataques de spear phishing fue de 1,8 millones de dólares por incidente.

Phishing de clonación; en este ataque, los delincuentes hacen una copia, o clonan, correos electrónicos legítimos enviados anteriormente que contienen un enlace o un archivo adjunto. Luego, el autor del phishing sustituye los enlaces o archivos adjuntos con contenido malicioso disfrazado para hacerse pasar por el auténtico. Los usuarios desprevenidos hacen clic en el enlace o abren el adjunto, lo que a menudo permite tomar el control de sus sistemas.

Así, el autor del phishing puede falsificar la identidad de la víctima para hacerse pasar por un remitente de confianza ante otras víctimas de la misma organización.

Estafas nigerianas

Un extenso correo electrónico de phishing de alguien que afirmaba ser un príncipe nigeriano es una de las estafas más antiguas de Internet.

Procede de una persona que afirma ser un funcionario del gobierno o miembro de una familia real que necesita ayuda para transferir millones de dólares desde Nigeria. El correo electrónico se marca como urgente o privado y su remitente solicita al destinatario que proporcione un número de cuenta bancaria para remitir los fondos a un lugar seguro.

Phishing telefónico

Con los intentos de phishing a través del teléfono, a veces llamados phishing de voz o vishing, el estafador llama afirmando representar a su banco local, la policía o incluso, la Agencia Tributaria.

A continuación, le asustan con algún tipo de problema e insisten en que lo solucione inmediatamente facilitando su información de cuenta o pagando una multa. Normalmente, le piden que pague con una transferencia bancaria o con tarjetas prepago, porque son imposibles de rastrear.

Phishing vía SMS, o smishing

Es el gemelo malvado del vishing, que realiza el mismo tipo de estafa (algunas veces con un enlace malicioso incorporado en el que hacer clic) por medio de un mensaje de texto SMS.

¿Cómo identificar un ataque de phishing?

Reconocer un intento de phishing no siempre es sencillo, pero un poco de disciplina y algo de sentido común pueden ayudar mucho. Busque algo que sea raro o inusual. Pregúntese si el mensaje le despierta alguna sospecha. Confíe en su intuición, pero no se deje llevar por el miedo. Los ataques de phishing a menudo utilizan el miedo para nublar su razonamiento.

Señales de intento de phishing:

• El correo electrónico hace una oferta que parece demasiado buena para ser verdad. Podría decir que ha ganado la lotería, un premio caro, o alguna otra cosa de valor muy elevado.
• Reconoce al remitente, pero es alguien con quién no trata. Incluso si conoce el nombre del remitente, sospeche si es alguien con quien normalmente no se comunica, especialmente si el contenido del correo electrónico no tiene nada que ver con sus responsabilidades laborales habituales.
• Lo mismo ocurre si aparece en copia en un correo electrónico a personas a las que ni siquiera conoce, o quizá un grupo de colegas de departamentos con los que no tiene relación.
• El mensaje suena aterrador. Tenga cuidado si el correo electrónico tiene un lenguaje alarmista para crear un sentido de urgencia, instándole a que haga clic y actúe ahora, antes de se elimine su cuenta. Recuerde, las organizaciones responsables no solicitan detalles personales a través de Internet.
• El mensaje contiene archivos adjuntos inesperados o extraños. Estos adjuntos pueden contener malware, ransomware o alguna otra amenaza online.
• El mensaje contiene enlaces que parecen un poco extraños. Incluso si no siente un hormigueo por ninguno de los puntos anteriores, no asuma que los hiperenlaces incluidos llevan a donde parece. En su lugar, pase el cursor por encima del enlace para ver la URL real.

Esté especialmente atento a sutiles errores ortográficos en un sitio web que le sea familiar, porque indica una falsificación. Siempre es mejor escribir directamente la URL en lugar de hacer clic en el enlace incorporado.

¿Cómo protegerse del phishing?

El phishing es una amenaza, capaz de aparecer en ordenadores de escritorio, portátiles, tabletas y teléfonos inteligentes. La mayoría de los navegadores de Internet disponen de formas de comprobar si un enlace es seguro, pero la primera línea de defensa contra el phishing es su buen criterio.

No abra correos electrónicos de remitentes que no le sean familiares.

No haga clic en un enlace dentro de un correo electrónico a menos que sepa exactamente a dónde le lleva.

Para aplicar esa capa de protección, si recibe un correo electrónico de una fuente de que la que no está seguro, navegue manualmente hasta el enlace proporcionado escribiendo la dirección legítima del sitio web en su navegador.

Busque el certificado digital del sitio web.

Si se le pide que proporcione información confidencial, compruebe que la URL de la página comienza con “HTTPS” en lugar de simplemente “HTTP”. La “S” significa “seguro”. No es una garantía de que un sitio sea legítimo, pero la mayoría de los sitios legítimos utilizan HTTPS porque es más seguro. Los sitios HTTP, incluso los legítimos, son vulnerables para los hackers.

Si recibió un email phishing, reenvíelo a la Anti-Phishing Working Group a reportphishing@apwg.org.

Si recibió un mensaje de texto de tipo phishing, reenvíelo a SPAM (7726). Reporte los intentos de phishing a la FTC en ReporteFraude.ftc.gov.

Adicionalmente, les sugerimos una de las opciones de ciberseguridad PC Matic

A parte de la información presentada, si cuentas con SSN, los invitamos a revisar y bajar su reporte de crédito en Identity iq.

Si cuentas con Itin, puedes acceder a tu reporte en Mi Puntaje de crédito en USA

Para crear crédito con renta ingresa a Rent Report o Boom Report

Para comenzar con tu crédito, puedes aplicar a la tarjeta de Credit Builder

“Para mas consejos síguenos en el canal de crédito YouTube“

Hoy le alcanzamos el siguiente informe a fin de que tome las mejores medidas y decisiones económicas.

Si desea agendar una cita con nosotros para aclarar cualquier inquietud acerca de este y otros temas financieros de interés general y de orientación, como en el presente tema, puede hacerlo a través del siguiente link, de ese modo, nuestros especialistas a cargo de Jessica Aliaga Froelke se estarán contactando con usted.

Asimismo, le invitamos a seguirnos en nuestras redes sociales: Facebook, YouTube, LinkendIn, Twitter, Tiktok, Podcast e Instagram, para que no se pierda ninguna información de valor que constantemente y de manera gratuita brindamos.