¿Qué es Phishing?
El "phishing" es una modalidad de estafa con el objetivo de intentar obtener de un usuario sus datos, claves, cuentas bancarias, números de tarjeta de crédito, identidades, etc. Resumiendo "todos los datos posibles" para luego ser usados de forma fraudulenta.
Phishing se deriva de la palabra en inglés "fishing" (pesca) también conocida como suplantación de identidad.
¿En qué consiste?
Consiste en el envío masivo de correos electrónicos (anzuelos) principalmente, suplantando la identidad de empresas aparentando provenir de fuentes fiables, principalmente bancarias o entidades públicas con el objetivo de persuadir a la futura víctima para que revele sus datos personales o financieros que involucran nombres de usuario y contraseñas.
Para ello, suelen incluir un enlace que, al ser pulsado, lleva a páginas web falsificadas. De esta manera, el usuario, creyendo estar en un sitio de toda confianza, introduce la información solicitada que, en realidad, va a parar a manos del estafador.
Lo que significa que no se aprovecha una vulnerabilidad en las computadoras, sino un "fallo humano" al engañar a los usuarios con un correo electrónico que aparentemente proviene de una fuente confiable.
En la actualidad la actividad de phishing utiliza el correo electrónico como medio principal, el atacante envía correos con mensajes que generalmente informan que se perderán datos personales, en otros casos pueden hacer referencia a algunos problemas técnicos, procesos de actualización o revisión de datos, con el propósito de aprovecharse de la ingenuidad de los usuarios para obtener la información que buscan.
Aunque para algunos usuarios el mensaje recibido no tiene mucho sentido cuando no es cliente de la empresa que aparentemente envía el mensaje, pero debido a la cantidad de mensajes enviados, a veces el receptor sí resulta ser cliente activo, y si llega a ser engañado por dicho mensaje, accederá al sitio web desde el enlace que figura en el correo y de esta manera llegara una página web falsificada, la cual puede ser idéntica a la original de la institución correspondiente y allí facilitará sus datos personales a los creadores de la amenaza.
 |
| Ejemplo de Phishing BBVA Bancomer. |
 |
| Ejemplo de Phishing BBVA Banamex. |
 |
| Ejemplo de Phishing BBVA Banamex. |
En el primer paso del phishing, el intruso duplica una página Web, una vez que el intruso tiene implementado el sitio Web falso en Internet, comienza a realizar el envió masivo de correos electrónicos a una infinidad de direcciones. Los correos electrónicos, en su tema y cuerpo del mensaje, usualmente hacen referencia a que el usuario debe acceder al sitio Web de la organización en cuestión (correo electrónico, institución financiera, tienda departamental, etc.) y realizar cambios a su información personal. Los correos electrónicos contienen la dirección Web a la cual el usuario debe acceder para realizar los cambios que se le pide, pero es importante señalar que esta dirección hace referencia al sitio Web falso implementado por el intruso.
El usuario que cae en el engaño, accede a la página Web falsa del intruso e introduce sus datos personales. La información que los intrusos intentan obtener comúnmente a través de un ataque de phishing es: el nombre de usuario (conocido como login) y la contraseña para acceder a un servicio, números de su tarjeta de crédito y claves de acceso a su banca electrónica, números de seguro social, así como cualquier otra información que les permita tener acceso a servicios privados del usuario con el propósito de obtener un beneficio propio, como por ejemplo, realizar un fraude a través de banca electrónica.
¿Cómo identifico un correo electrónico de phishing?
Hoy en día, las instituciones bancarias, las empresas dedicadas al comercio electrónico o cualquier otra institución, no utilizan los medios informáticos como el correo electrónico para pedirle a sus usuarios que actualicen sus datos personales, sin embargo, los intrusos han hecho uso de éste tipo de técnicas para apoderarse de información sensible y realizar fraudes.
 |
| Sitio web ORIGINAL. |
 |
| Sitio web FALSO. |
A continuación se proporcionan algunos tips que pueden ayudarte a identificar un correo electrónico de phishing:
- El remitente del correo electrónico hace alusión a una dirección de soporte de la entidad u organización de la que el intruso intenta tomar ventaja. Por ejemplo, un correo de phishing podría provenir de: support@banco-cert.com, banca-cert@banco-cert.com, etc.
- El tema del correo electrónico hace referencia a que el usuario debe realizar alguna acción de forma urgente. Por ejemplo, el tema podría ser: Proceso Seguro De la Verificación De Banco-Cert, Aviso urgente Banco-Cert, Reporte urgente Banco-Cert, etc.
- El cuerpo del correo solicita información personal como cambio de dirección, actualización de NIPs, etc.
¿Cómo puedo evitar ser víctima de un ataque de phishing?
A continuación se mencionan algunas acciones a realizar para poder prevenir un ataque de phishing:
- Si recibes un correo electrónico o una ventana de mensaje emergente solicitándole información personal o financiera, no respondas, ni tampoco hagas clic en el enlace o vínculo del mensaje.
- No envíes información sensible a través de Internet (contraseñas, número de cuenta bancaria, etc.), antes verifica si el sitio Web es seguro.
- Nunca respondas a solicitudes de información personal a través de correo electrónico. Si tienes alguna duda, ponte en contacto con la empresa que supuestamente te ha enviado el mensaje.
- Pon mucha atención en el URL del sitio Web que estas visitando. Los sitios Web maliciosos pueden parecer idénticos a los sitios legítimos, pero el URL puede tener variaciones o un nombre de dominio diferente.
- Asegúrate que el sitio Web utiliza cifrado.
- Instala y actualiza tu software antivirus, firewalls personales y filtros de correo electrónico.
- Instala en tu sistema operativo todas las actualizaciones de seguridad que se publican periódicamente.
- Instala una barra antiphishing en tu navegador Web (conocidas también como scam blocker). Estas herramientas están disponibles para los principales navegadores de Internet como Mozilla Firefox e Internet Explorer.
Herramientas Antiphishing
Para ayudar a protegerse contra ataques de Phishing, varios proveedores han desarrollado barras que te pueden ayudar a identificar sitios Web maliciosos que usurpen la identidad de alguna organización que tenga presencia en Internet.
A continuación se listan los principales proveedores de barras antiphishing:
Netcraft
Filtro de Suplantación de Identidad (Phishing) en Microsoft Internet Explorer
Cloudmark Anti-Fraud Toolbar
Filtro de Phishing en Firefox
Earthlink Scamblocker
Microsoft Phishing Filter Add-in for MSN Search Toolbar
¿Qué puedo hacer si sospecho que soy víctima de un ataque de phishing?
En el caso de que se sospeche haber sido víctima de un ataque de Phishing Scam:
- Comunica los posibles delitos relacionados con tu información personal a las autoridades competentes.
- Si sospechas que tu cuenta bancaria puede estar comprometida (es decir en manos de un atacante o intruso), contacta inmediatamente a la institución bancaria y cierra las cuentas que podrían estar comprometidas.
- Observa si existen cambios inexplicables referentes a transacciones que no has realizado a través de tu cuenta.
- Si crees que has revelado información acerca de la organización en donde trabajas, repórtalo a la persona apropiada, como el administrador de la red.
No hay comentarios.:
Publicar un comentario