Recomendaciones de seguridad: PHISHING
Debido al crecimiento en la cantidad de incidentes de “Phishing” reportados en los últimos meses, le acercamos las siguientes recomendaciones para facilitar su detección y mitigar sus efectos.
¿Qué es el “Phishing”?
“Phishing” es una forma de engaño mediante la cual los atacantes envían un mensaje (anzuelo) a una o a varias personas, con el propósito de convencerlas de que revelen sus datos personales. Generalmente, esta información es utilizada luego para realizar acciones fraudulentas como transferencias de fondos de su cuenta bancaria, compras con sus tarjetas de crédito, envío de SPAM/Phishing u otros comportamientos delictivos que requieren el empleo de tales datos. El medio más utilizado actualmente por los atacantes para realizar una acometida de “phishing” es el correo electrónico. Sus mensajes suelen ser muy convincentes, ya que simulan haber sido enviados por una entidad conocida y confiable para el usuario con la cual éste opera habitualmente, por ejemplo, un banco o una empresa con la que realiza transacciones comerciales a través de Internet. En el mensaje se alegan motivos diversos, como problemas técnicos, actualización o revisión de los datos de una cuenta. A continuación, para supuestamente verificar o modificar sus datos personales, se le solicita que ingrese a un determinado sitio web: su nombre completo, DNI, claves de acceso, etc. Dicha página web es, en realidad, un sitio falsificado que simula ser el de la entidad en cuestión, pero como su diseño suele ser muy similar al de la organización de cuya identidad se han apropiado y a veces resulta prácticamente idéntico, el usuario puede no percatarse del engaño. En otros casos, la artimaña se basa en el parecido entre las direcciones web del sitio auténtico y el apócrifo. En muchas ocasiones incluso, el texto del enlace escrito en el correo electrónico se corresponde con la dirección real del sitio web y si el usuario hace click en dicho enlace, se lo redirige a una página falsa, controlada por los atacantes.
Medidas de prevención para evitar ser víctima del “Phishing”
Las siguientes medidas intentan minimizar los efectos negativos de un ataque de “Phishing” y de ser posible, impedirlo.
1 – Normalmente en este tipo de correo las reglas ortográficas brillan por su ausencia, así que se puede encontrar con palabras sin tildes, o con “n” en lugar de con “ñ”, frases mal estructuradas o palabras con símbolos extraños. Tenga en cuenta que una entidad seria, como puede ser su banco o la administración pública, nunca cometerían errores gramaticales.
2 – Desconfíe de la urgencia. Otra de las técnicas utilizadas por estos ciberdelincuentes es la de pedir acciones en un periodo muy corto de tiempo. De esta manera consiguen que el usuario tome una decisión rápida y precipitada para caer en su trampa. En ella nos hacen acceder al enlace que nos facilitan e ingresar los datos personales o contraseñas.
3 – Compruebe que se trata de enlaces fiables. La intención de estos suplantadores de identidad es que pinchemos en el enlace para llevarnos a un sitio web fraudulento. El enlace que facilitan, no lleva a la página web oficial, sino a otra que estéticamente es igual o muy parecida. Así que, si duda de la veracidad del correo, NUNCA haga click en el enlace que facilitan. ¿Cómo podemos saber a que web apunta el enlace? Poniendo el puntero del ratón encima del enlace y observando la verdadera dirección que se muestra a la izquierda en la parte inferior de la pantalla. Ejemplo:
4 – Compruebe el remitente del correo. Aunque nos parezca absurdo y poco importante, tenemos que comprobar la dirección del remitente. El hecho de que el correo provenga de un correo aparentemente correcto no significa que así sea. El remitente puede ser manipulado y los ciberdelincuentes envían correos modificando el nombre de las entidades. Es recomendable que ante sospechas de que recibió un mensaje falso verifique en detalle los encabezados del correo, identificando el remitente real del mismo y no confiar solamente en el "nombre para mostrar". Por ejemplo, en la siguiente imagen se ve que el remitente es "Notificacion de cuenta" ("nombre para mostrar"). Desde nuestro Webmail puede visualizar la dirección real de envío haciendo click en el botón "Mostrar detalles"
Luego de cliquear la opción antes indicada, puede ver el e-mail desde el cual proviene el correo:
5 - Si recibe un correo electrónico que le pide información personal o financiera, no responda. Si el mensaje lo invita a acceder a un sitio web a través de un enlace incluido en su contenido, no lo haga. Debe saber que las organizaciones que trabajan seriamente ya están al tanto de este tipo de fraude y por consiguiente, no solicitan información por este medio. Al mismo tiempo, si le preocupa el estado de la cuenta que posee en la organización que dice haber enviado el correo o que lo ha contactado, acceda a la página oficial de dicha organización, ingresando usted mismo la dirección de Internet correspondiente en el navegador o bien contáctese con la misma a través de los canales de comunicación habituales y de confianza.
6 - En la medida de lo posible, evite ingresar a sitios de confidencialidad (correo electrónico, entidades financieras o de comercio electrónico) desde un cyber-café, locutorio u otro lugar público. Las PCs instaladas en estos lugares podrían contener software o hardware malicioso, destinados a capturar sus datos personales. En caso de tener que utilizar dicho ambiente, si se trata de acceder a instituciones bancarias, estas suelen brindar la posibilidad de utilizar un teclado sobre la pantalla.
7 - Mantenga actualizado el software de su PC: Instale las actualizaciones de seguridad de su sistema operativo y de todas las aplicaciones que utiliza, especialmente las de su producto antivirus, su cliente web y de correo electrónico. La mayoría de los sistemas actuales permiten configurar estas actualizaciones en forma automática.
8 - No descargue ni abra archivos de fuentes no confiables. Esos archivos pueden tener virus o software malicioso que podrían permitir a un atacante acceder a su computadora y por lo tanto, a toda la información que almacene o introduzca en ella.
¿Qué hacer en caso de caer en la trampa del phishing?
Si sospecha que ha caído en la trampa del phishing, lo primero que tiene que hacer es cambiar inmediatamente sus contraseñas comprometidas. Recuerde, no utilice la misma contraseña en varios servicios, es muy importante gestionarlas de una manera segura para evitar problemas.
En base a todo lo aconsejado previamente, si ve un correo sospechoso ignórelo y no caiga en las redes del phishing.