¿Sigues recibiendo correos electrónicos sospechosos de alguien que parece ser, por ejemplo, el equipo de atención al cliente de tu banco? Bueno, entonces podría ser que hayas sido víctima de phishing , es decir, la práctica de «pescar» víctimas online para robar sus datos sensibles (principalmente contraseñas y datos de pago) a través de correos electrónicos que, en muchos casos, simulan direcciones y aparición de comunicaciones oficiales de bancos y otras empresas reconocidas.
De hecho, no siempre es fácil reconocer a simple vista si los correos electrónicos son reales o no, por eso he decidido publicar esta guía sobre cómo defenderse del phishing , en la que haré todo lo posible para ilustrar lo que puedes hacer tanto para prevenir ataques de phishing, y para evitar caer en la «trampa» de los correos electrónicos falsos que puedas haber recibido.
Tómate todo el tiempo que creas necesario, continúa leyendo mis consejos e intenta ponerlos en práctica: de esta forma deberías poder hacerte una mejor idea de los remitentes reales de los correos electrónicos que recibes. ¡Feliz lectura y mucha suerte con todo!
¿Qué es el phishing?
Antes de entender cómo defenderse del phishing , es de fundamental importancia entender qué es el phishing y en este párrafo intentaré explicártelo exactamente.
Como se menciona en las primeras líneas de esta publicación, el phishing es una estafa informática cuyo objetivo es robar datos personales de víctimas desprevenidas. La peculiaridad del phishing es que en la mayoría de los casos se produce a través de correos electrónicos falsos , en los que el atacante se hace pasar por una entidad de crédito o algún otro servicio que solicita datos de pago o credenciales de acceso.
En estos correos electrónicos, se le redirige a sitios falsos , pero con una apariencia que replica fielmente la de los sitios de bancos y otras empresas conocidas, donde se le solicita que introduzca los datos de su tarjeta de crédito o las credenciales de inicio de sesión de su cuenta.
Generalmente, para convencer a la víctima, el correo electrónico le comunica que se ha bloqueado una cuenta corriente, o que la tarjeta de crédito ha sido clonada y que para desbloquear todo es necesario que proporcione sus datos. Naturalmente, al enviar sus datos, el atacante podrá darse un buen «festín» al tener acceso al método de pago o a la cuenta de la víctima.
Luego existen otras situaciones en las que un correo electrónico falso contiene un archivo malicioso para descargar. Este tipo de archivos podría ser malware , como un keylogger o un troyano , que una vez ingresado al dispositivo logra capturar datos sensibles y enviarlos a los atacantes sin que la víctima se dé cuenta.
Cómo defenderse de un ataque de phishing
Ahora que tiene una idea más clara de qué es el phishing, quiero brindarle algunos consejos (esperamos que útiles) sobre cómo defenderse de un ataque de phishing .
Verificar remitente
Lo primero que debes hacer para defenderte del phishing es verificar el remitente , es decir, quién te envió ese correo electrónico. Primero, verifique la dirección de correo electrónico de donde proviene el mensaje. Casi todas las entidades de crédito o, en cualquier caso, todos los distintos servicios en línea suelen indicar el dominio con el nombre de la empresa después de la arroba . Por ejemplo, un correo electrónico que proviene de Amazon normalmente tiene @amazon.es o @amazon.com al final de la dirección.
En muchos casos, los correos electrónicos de phishing tienen un dominio diferente (aunque a veces similar al de empresas conocidas, cambiando solo algunos caracteres, por ejemplo reemplazando una “l” por una “I”). En otros casos tienen una serie de números y letras completamente aleatoria, y en ese caso son mucho más fáciles de detectar.
También hay situaciones particulares en las que puedes recibir un correo electrónico de un remitente que parece auténtico en todos los aspectos, pero que en realidad siempre es un ataque fraudulento. Aquí estamos hablando de suplantación de identidad en estas situaciones y todo lo que te dije en los párrafos anteriores no aplica para identificar un correo electrónico falsificado. ¿Nunca has oído hablar de él? Bueno, entonces te explico mejor de qué se trata.
La suplantación de identidad consiste en disfrazar la dirección de correo electrónico del remitente para garantizar que el destinatario del correo electrónico vea, por ejemplo, la dirección de correo electrónico de su banco o de una persona de confianza como el remitente. Sin embargo, quiero que duermas tranquilo y que no dudes de ningún correo electrónico que recibas, porque muchos servicios de correo electrónico, como Gmail y Outlook , ahora han adoptado ciertos estándares de seguridad que no entregan correos electrónicos de este tipo o como mucho llegan directamente al spam del destinatario. carpeta.
Sin embargo, recuerde siempre que, aunque un mensaje de correo electrónico parezca auténtico y parezca provenir de una dirección de correo electrónico válida, ninguna institución de crédito o servicio en línea le pedirá que comparta datos personales por correo electrónico o haciendo clic en un enlace dentro de un correo electrónico . Por lo tanto, si recibe un mensaje de correo electrónico de una dirección de correo electrónico que se parece a la de su banco y se le solicita que ingrese sus datos de inicio de sesión de banca desde casa, lo más probable es que haya sido víctima de un ataque de suplantación de identidad.
Para evitar la suplantación de identidad, puede verificar el encabezado del mensaje de correo electrónico que recibió para asegurarse de que el mensaje realmente proviene del remitente original. A continuación te explicaré cómo ver el encabezado de un mensaje en varios servicios y clientes de correo electrónico . En general, lo que debe hacer es verificar que la dirección de correo electrónico del remitente sea la misma que lee en el encabezado debajo De: [dirección de correo electrónico] (a veces puede decir De: [dirección de correo electrónico] ).
- Gmail : después de abrir el correo electrónico, seleccione el botón con los tres puntos en la parte superior derecha del cuadro de mensaje y seleccione el elemento Mostrar original en el menú que aparece.
- Thunderbird : abre el correo electrónico, haz clic en Ver en el menú superior y luego elige Fuente del mensaje .
- Outlook.com : una vez que abra el correo electrónico deseado, seleccione el botón marcado con una flecha hacia abajo ubicado en la parte superior derecha. Ahora, en el menú desplegable que se abre, elija Ver detalles del mensaje .
- Apple Mail : seleccione el correo electrónico en cuestión, vaya a Ver en la barra de menú, haga clic en Mensaje y finalmente en Todos los encabezados .
- Yahoo Mail : seleccione el correo electrónico, haga clic en el menú Más , ubicado en la parte superior derecha, y luego en Ver mensaje sin formato .
- Libero Mail : abra el correo electrónico que le interesa y haga clic en el elemento Otro , luego, en el menú desplegable que aparece, seleccione Ver código fuente .
Una vez que pueda ver el encabezado del mensaje de correo electrónico, es posible que también desee verificar la dirección IP del proveedor del remitente. Esta dirección podría resultar útil para informar del ataque malicioso al proveedor de correo electrónico desde el que se originó ese correo electrónico. También puede encontrar más información en mi guía sobre cómo encontrar la dirección IP de una persona .
Errores gramaticales
Muy a menudo, los correos electrónicos no deseados contienen errores gramaticales u ortográficos en el texto del mensaje. Salvo casos particulares, los correos electrónicos auténticos siempre están escritos de forma correcta y clara. Por lo tanto, evalúa también este factor para hacer saltar las alarmas.
No descargue archivos adjuntos ni haga clic en enlaces
Como ya te dije en el primer párrafo de esta guía mía, una cosa que nunca debes hacer cuando recibes un correo electrónico de phishing es descargar archivos adjuntos o hacer clic en un enlace dentro del correo electrónico. Ahora explicaré todo con más detalle.
Respecto al tema de los archivos adjuntos , debes saber que estos pueden parecer archivos simples de descargar, pero en realidad son malware, spyware u otro tipo de archivos destinados a extorsionar datos sensibles. En algunos casos, un correo electrónico falso se adjunta a un archivo .exe o incluso a un archivo que parece ser un archivo Excel o PDF que, una vez abierto por la víctima, podría infectar la computadora o dispositivo en uso.
Respecto a los enlaces en los que hacer clic, asegúrese siempre de que el enlace sea seguro. Algunos enlaces podrían llevarte, como ya te he dicho, a sitios falsos o incluso a páginas donde se inician descargas automáticas de archivos maliciosos. Te recuerdo que desde un ordenador siempre puedes ver hacia dónde lleva un hipervínculo, simplemente pasando el cursor del ratón sobre él y sin pulsar sobre él. Normalmente, se le mostrará el enlace de destino en la parte inferior izquierda. En los dispositivos móviles, puede hacer un toque prolongado en el enlace al sitio para ver la dirección a la que conduce en la pantalla.
Por lo tanto, en general, antes de descargar un archivo adjunto o hacer clic en un enlace de un correo electrónico, siempre debes asegurarte de antemano de que el remitente es auténtico y confiable.
No compartas información confidencial
Otra acción para defenderte del phishing es, obviamente, no compartir información confidencial . A veces, algunos correos electrónicos de phishing pueden ser muy simples y muy creíbles, e incluso pueden llevar el logotipo de su entidad de crédito u otro servicio. En estos correos electrónicos es posible que simplemente se le solicite que responda al mensaje ingresando algunos de sus datos personales.
Recuerda siempre que, y esto se aplica a prácticamente todos los servicios online, nadie te pedirá jamás que respondas a un mensaje introduciendo tus credenciales . Entonces, si esto sucede, es casi seguro que se trate de una estafa en línea.
Utilice software de seguridad
Como mencioné anteriormente, no hay manera de volverse totalmente inmune a los ataques de phishing. Sin embargo, tenga en cuenta que existen algunos programas de seguridad que ofrecen un filtro de phishing que podría ayudarle a identificar correos electrónicos sospechosos y alertarle sobre enlaces a sitios falsos. Entre estos software, existen muchos antivirus y antimalware . Hoy en día también existen muchos servicios VPN que incluyen funciones de seguridad para bloquear malware y otras amenazas online: algunos ejemplos en este sentido son NordVPN (mi reseña aquí ) y Surfshark (mi reseña aquí ), que ofrecen una cobertura transversal entre dispositivos y sistemas operativos y Garantizar el uso de numerosos servidores seguros (y rápidos) repartidos por todo el mundo.
Muchos de estos programas de seguridad ofrecen bloqueo de URL . En la práctica, gracias a esta función, cuando intentas hacer clic en un enlace realmente malicioso, el software de seguridad intervendrá y te advertirá, impidiéndote continuar o advirtiéndote y dándote la oportunidad de decidir si procedes por tu cuenta. riesgo o no.
En cualquier caso, debes saber que muchos servicios de correo electrónico como Gmail o Outlook contienen filtros antispam que también defienden muy bien contra el phishing.
También me gustaría comentarles que muchos filtros que ofrecen los softwares de seguridad o clientes de correo electrónico funcionan analizando el texto del correo electrónico para comprobar si corresponde a un modelo de correo electrónico de phishing o hacen un análisis de los enlaces para comprobar si aparecen en reportados. bases de datos de otros usuarios como sitios de phishing. Otra acción más que realizan estos programas es verificar también la dirección de correo electrónico del remitente para verificar si es confiable.
Ten siempre en cuenta que los filtros no son infalibles y de hecho puede suceder que en ocasiones den como resultado falsos negativos o falsos positivos y por tanto algunos correos «inocentes» sean catalogados como phishing y viceversa. Precisamente por eso, la mejor forma de defenderse del phishing es siempre estar atento al tema y no confiar únicamente en software de seguridad.
Activar la autenticación de dos factores
Si, lamentablemente, ya has caído en la trampa de un correo electrónico de phishing, todavía hay una cosa que podría salvarte y es la autenticación de dos factores , a menudo abreviada como 2FA . Si no sabe de qué estoy hablando, la autenticación de dos factores es un sistema de seguridad que le permite iniciar sesión en una determinada plataforma solo después de haber ingresado las credenciales correctas y luego haber recibido autorización a través de otro dispositivo mediante notificación push o mediante otra cuenta de correo electrónico o mediante SMS desde tu teléfono móvil.
Gracias a 2FA, incluso si el atacante logra obtener sus credenciales de inicio de sesión, aún no podrá acceder a su cuenta, dado que no tiene el segundo factor de autenticación disponible.
Por supuesto, 2FA es una herramienta de prevención y no una cura, lo que significa que activarla no te servirá de mucho después de haber sido víctima de un ataque de phishing. O mejor dicho, siempre puede ser útil activarlo más tarde, pero sólo para evitar futuros ataques. Para obtener más información sobre cómo activar 2FA , los remito a mi guía temática.
Siempre que sea posible, y si su dispositivo las admite, también podría pensar en habilitar claves de acceso en lugar de las contraseñas clásicas, que permiten el acceso a sus cuentas sólo después de la autorización con su propio dispositivo.
Qué hacer después de un ataque de phishing
Si después de todos mis consejos ahora está seguro de que el correo electrónico que recibió es un correo electrónico de phishing, a continuación le diré qué pasos adicionales podría seguir.
En primer lugar, te invito a que te pongas en contacto con la empresa o entidad de crédito cuyos datos has proporcionado a los delincuentes: muy a menudo, especialmente los bancos, también tienen una dirección de correo electrónico o una sección del sitio dedicada a denunciar los correos electrónicos de phishing.
Otra cosa que podrías hacer es presentar una denuncia ante las autoridades y en particular ante la Policía Postal . Para hacer esto, puede ir a esta página del sitio web oficial de la Policía Postal, completar el formulario, elegir Phishing en el menú desplegable Tema , hacer clic en No soy un robot y luego en Enviar el informe .
Por último, recuerda cambiar la contraseña de inicio de sesión de la cuenta afectada, si aún puedes acceder a ella. En caso contrario, recurre siempre a los servicios de soporte oficiales y a las autoridades para intentar solucionar el problema, o al menos reducir los daños.