¿Qué es un ataque de Phishing?
Ciberseguridad

Phishing. Conoce las precauciones básicas para detectar los ataques.

Hoy te voy a hablar de uno de los ataques informáticos más populares y utilizados: el Phishing.

¿Qué es un ataque de Phishing?

El término phishing nos remite por su sonido a la palabra inglesa «fishing». Significado en inglés: pescando.

Hay quien defiende que es una referencia a los primeros piratas informáticos conocidos como ‘phreaks’ o ‘phreakers’, que eran expertos en sistemas de telefonía.

El delincuente cibernético lanza un ataque con el objetivo de pescar y obtener nuestros datos (correo, fecha de nacimiento, dirección, contraseñas, tarjetas de crédito). Robarnos la identidad, alterar nuestros datos bancarios y derivar pagos otras cuentas. Comprar artículos a nuestro cargo o vender nuestra información privada. También pueden perseguir infiltrarse en nuestros ordenadores para espiarnos, chantajearnos, dañar nuestra imagen o dañar nuestros archivos.

Los ataques de phishing engañan al usuario para que realice la operación que espera el ciberdelincuente.

Por la facilidad de su implementación su utilización por parte de los ciberdelincuentes no ha parado, ha aumentado y ha causado importantes pérdidas económicas a las organizaciones y a muchos usuarios de Internet.

El correo electrónico es el método más común de un ataque de phishing pero no el único. En posteriores posts te hablaré de los ataques phishing en redes sociales, en las aplicaciones de mensajería y en los móviles.

Ya hace años los usuarios de Internet recibíamos al menos un correo electrónico de phishing por día.

Phishing. Conoce las precauciones básicas para detectar los ataques.
El término phishing nos remite por su sonido a la palabra inglesa «fishing». Significado en inglés: pescando.

¿Cómo es posible que siga dando resultados a los piratas?

Este método sigue dando resultados por la facilidad de su implementación, unido a que somos miles de millones de usuarios de Internet y a que todos los días hay personas que acceden a Internet por primera vez. El desconocimiento les impide sospechar que el mensaje en su bandeja de entrada no es realmente de quien dice ser y qué busca.

Una gran cantidad de usuarios de Internet ni siquiera conocen la amenaza de phishing.

Por la sofisticación de algunos ataques diseñados para que el correo parezca totalmente auténtico.

Su uso también en las redes sociales, en los servicios de mensajería y en las aplicaciones.

Por la falta de tiempo para analizar cada mensaje que nos llega.

Los phishers se aprovechan de nuestras debilidades anunciando ofertas, cupones ganadores, solicitando datos, invitándonos a acceder a url’s o a descargar ficheros nocivos.

Las técnicas de los ataques phishing también las utilizan para afirmar ser compañías conocidas, entidades financieras e incluso organismos de la administración que necesitan verificar nuestros datos.

Pueden hacerse pasar por proveedores, compañeros o nuestro jefe y solicitarnos descargar un archivo adjunto que resultará ser software malicioso que recogerá nuestros datos personales o implementará ransomware convertiéndonos en parte de una botnet. En otros casos el software malicioso se ocultará y nos pedirá habilitar la ejecución de macros afirmando que se debe instalar una actualización o otorgar permisos para permitir que el documento se visualice correctamente.

¿Qué métodos utilizan para engañarnos los ciberdelincuentes con el Phishing?

El más conocido es el envío de correos electrónicos. También utilizan perfiles falsos de redes sociales con los que establecen una relación durante un tiempo y consiguen nuestra confianza para acabar envíandonos un mensaje con código malicioso.

Se trata de engañarte aprovechando tu confianza en ellos.

El correo electrónico, pese a ser utilizado desde hace años, sigue empleándose y siendo un ataque efectivo.

Cómo detectar un correo Phising
Cómo detectar un correo Phising

Precauciones básicas para detectar ataques de Phishing

Voy a explicaros unas precauciones básicas, sin olvidar que los que pretenden ciberatacarnos no descansan en diseñar atractivos reclamos de phishing con el objetivo de llegar a confundirnos.

1.- Por mucho que te gustaría, no tienes ningún familiar en Namibia, ¡ Recuérdalo !

Algunas campañas de phishing son muy populares. ¿Cuántos hemos recibido un mensaje anunciándonos una donación o parte de una herencia a cambio de nuestra colaboración ante la desesperación de una persona de un país lejano que ha perdido su único pariente?.

No pierdas tu tiempo en leer correos que te ofrecen una fortuna a cambio de ….

2.- Verifica la dirección de correo electrónido del remitente.

Las apariencias engañan.

Una de las tácticas favoritas de los ciberdelincuentes es falsificar el nombre que aparece en el correo.

El correo electrónico fraudulento podrá parecerte legítimo aprovechando que la mayoría de las bandejas de entrada solo presentan el nombre y no la dirección electrónica.

No confíes en el nombre y verifica la dirección de correo electrónico de quien te lo ha enviado.

Si la dirección te parece extraña, por no contener el dominio del remitente o por ser un poco rara, no abras el correo electrónico. Directamente a la papelera y, para mayor precaución: ¡Elimínalo!

3.- Puedes observar el contenido del correo pero, sobretodo, no hagas clic.

Examina visualmente el mensaje, sin clicar en ningún enlace que pueda contener.

Nuevamente has de orientarte por la rareza de los links que contiene y, ante cualquier duda, no hagas clic.

Olvida el correo recibido, elimina y asegúrate que de la papelera también lo borras

4.- Desconfía, desconfía y desconfía.

Los phishers son muy buenos en intentar engañarte y, lamento decirlo: ¡lo consiguen!

Su objetivo es conseguir tu confianza para que clickes en los enlaces fraudulentos, por lo que no te fíes de logotipos ni de direcciones de correo electrónico aparentemente válidas.

Sigue tu olfato de precaución y piensa que si te solicitan link o datos, ¡algo raro es!.

5.- Observa el saludo inicial y la firma del contenido del mensaje.

Si el encabezado del correo se dirige a un usuario genérico y no está personalizado con tu nombre o apellidos, raro, raro, raro. ¿No saben tu nombre?

Las empresas acostumbran a utilizar programas que cruzan mensajes con los datos para personalizar el correo. Si no es el caso, es una campaña un poco mal diseñada, por lo que sospecha que quizás no es una empresa con buenas intenciones la que te ha enviado el correo.

Te equivocas … poco se ha esforzado esa empresa en hacer su campaña. Aciertas … te evitarás un ataque.

Lo mismo te recomiendo para la firma del final. Sospecha, y mucho, si no aparece el nombre de quien remite el correo o a quien puedes dirigirte. Las empresas suelen proporcionar los detalles de contacto.

Ante la más mínima duda, insisto, desconfía y suprime el mensaje incluso de la papelera para evitar errores en un futuro que estés descuidado.

6.- Existen errores ortográfico.

Los correos phishing se caracterizan por estar mal traducidos, presentar errores ortográficos incluso imperdonables, así como una gramática y sintexis muy pobre.

Es común que los atacantes usen un servicio de traducción. Si bien es cierto que los traductores han mejorado mucho, aun no se ha conseguido que los mensajes suenen naturales. Cualquier entidad o empresa que pretende ofrecerte un servicio o producto cuida este aspecto.

Si esto no es así, piensa mal y … -muy posiblemente- acertarás

7.- Verifica con detalle las URL’s de los enlaces y Mucho Ojo con las URLs acortada.

Muchos ataques de phishing te invitarán a hacer clic en una URL de aspecto oficial. Sin clicar, examina el enlace colocando el puntero sobre él y verifica la dirección web con precaución ya que entre el enlace malicioso y la url real puede haber una pequeña diferencia.

Un carácter cambiado puede ser un gran problema. Ahora bien, puede que sea una URL acortada que impide esta verificación.

Si sospechas de la URL o es un acortada, no hagas clic en ella.

8.- Mucha precaución si el asunto indica que el correo es urgente.

Es una táctica de phishing muy común. Intentan superar las barreras de prevención saltándolas con la urgencia, e incluso con advertencias serias, sabiendo que pueden preocuparte.

No te fíes de asuntos del tipo: su cuenta ha sido suspendida; plazo máximo de respuesta;…


9.- No introduzcas tus contraseñas si te los solicita.

Has recibido alguna vez un mensaje adviertiéndote que ha habido alguna actividad extraña usando su cuenta y te pide hacer clic en un enlace para verificar tu cuenta. Nunca, nunca, nunca introduzcas tus contraseñas si te son solicitadas.

10.- Desactiva las macro.

Es una precaución técnica. Las macros tienen la función de ayudarnos con las tareas repetitivas. Los ataques de phishing las utilizan para permitir ejecutar código malicioso por lo que la mayoría de las versiones más actuales de Office desactivan automáticamente las macros.

Deshabilitar las macros es importante para evitar ataques de phishing.

Espero que estos consejos te sirvan de ayuda ¡que no te pesquen!.

Si te ha gustado este post, puedes compartirlo en tus redes sociales.

Ingeniero Superior de Telecomunicaciones (UPC) y Graduado en Derecho (UOC)

Deja una respuesta

Tu dirección de correo electrónico no será publicada.

Don`t copy text!