¿Qué es el phishing?

La presencia de Internet en nuestras vidas es cada vez más patente. Las aplicaciones móviles han sustituido muchos trámites del plano físico al plano digital, y por ello han surgido nuevos métodos centrados en el robo de información y robo de dinero: la ciberdelincuencia y el cibercrimen.

En periodos iniciales, los ciberdelincuentes y cibercriminales utilizaban software malicioso para atacar a grandes empresas. Sin embargo, este método era muy costoso y por ello sus técnicas han ido evolucionando hasta constituirse como el negocio ilícito más lucrativo del mundo incorporando nuevos métodos. Entre otras cosas, se han inspirado en técnicas de engaño callejero para que los usuarios den su información voluntariamente, sus contraseñas, y hasta datos bancarios.

Esta metodología es lo que se conoce como Ingeniería Social y actualmente se utiliza contra cualquier usuario de Internet y aplicaciones de servicios, y también contra una gran variedad de empleados de cualquier compañía.Para ello, los ciberdelincuentes utilizan gran variedad de canales: email, SMS, llamadas, redes sociales…

En la ingeniería social, la técnica más utilizada es el Phishing. Es decir, el uso de correos fraudulentos que utilizan diferentes pretextos para engañar a los usuarios.

Definición de phishing

El phishing es el término informático que designa una técnica de suplantación de la identidad con la que los ciberdelincuentes intentan conseguir información confidencial de forma fraudulenta. El término deriva de la palabra inglesa “fishing” (pescar, pesca) porque eso es precisamente lo que intentan hacer los estafadores: lanzar un anzuelo para intentar “pescar” tus datos y credenciales.

Claves de acceso a la banca online, datos de la tarjeta de crédito, documentos de identidad… son ejemplos de la información sensible que pueden robarte con esta técnica, con la que también pueden llegar a infectar tu ordenador o dispositivo móvil con algún tipo de malware.

En 2021 se alcanzó un pico histórico según los registros del informe Phishing Activity de APWG, con 245.771 páginas fraudulentas utilizadas para estafas de Phishing detectadas en un mismo mes. Además, se mantiene una curva ascendente y continua en estas actividades maliciosas.

Por otra parte, según el informe Attack Landscape Q1 2021 de F-Secure el sector financiero es el más afectado: en conjunto, cerca de un 40 % de los ataques fueron dirigidos contra bancos, sistemas de pago y comercios online.

Aunque la forma más empleada para un intento de fraude es a través del correo electrónico, no es la única: los delincuentes también intentan acceder a tus datos a través de perfiles falsos en redes sociales, o enviando SMS a nuestro móvil (práctica que se conoce como Smishing), e incluso a través de llamadas telefónicas (Vishing). Además, en ataques sofisticados pueden realizar suplantaciones fiables gracias a técnicas como el Spoofing, mediante la cual pueden incluso cambiar el nombre que aparece en una llamada o conseguir que un SMS entre en el hilo oficial de comunicaciones de un servicio.

Cómo reconocer un intento de phishing

Los ciberdelincuentes perfeccionan sus técnicas continuamente, y a veces es difícil diferenciar un correo electrónico falso del original, pero hay pistas que pueden ayudarte a reconocer que estamos siendo víctimas de un intento de phishing:

Qué hacer si crees que has recibido un correo electrónico fraudulento

Si has recibido un correo electrónico con alguna de las características antes descritas la recomendación es:

Recuerda que las comunicaciones de Banco Santander son siempre personalizadas (con tu nombre y apellidos), que el banco no te pedirá tus datos o contraseñas ni por correo electrónico, ni por SMS o mediante llamadas de teléfono. No te enviará archivos adjuntos, ni incluirá enlaces a la página de inicio de la banca online. Si quieres acceder a los servicios de tu banca electrónica, utiliza siempre la aplicación oficial o accede directamente la dirección en tu navegador.

Qué hacer si has sido víctima de un ataque de phishing

En el caso de que hayas caído en un engaño tipo phishing, el consejo es que recopiles toda la información relacionada: el correo recibido, la página web a la que este enlace, la documentación que hayas enviado… y que presentes una denuncia en la Policía.

Asimismo, puedes contactar con la Oficina de Seguridad del Internauta del INCIBE (Instituto Nacional de Seguridad) y reportar el fraude para evitar que otros usuarios lo sufran también.

Si se trata de un phishing bancario, contacta con tu banco para informarles de lo sucedido y que pueda tomar las medidas de seguridad oportunas. Por tu parte, cambia inmediatamente las claves de los servicios afectados (tu acceso a la banca online, las contraseñas de tus tarjetas de crédito, etc.) y revisa periódicamente tus cuentas por si detectas algún movimiento sospechoso.

Si lo que has facilitado es otro tipo de información personal, dirígete a la entidad que corresponda para informarles de que has sido víctima de un ataque de phishing y puedan indicarte cómo actuar.

Ten en cuenta que, si a raíz del phishing, tu ordenador se ha visto infectado por algún virus o malware, tendrás que desinfectar el equipo con un antivirus. Si necesitas ayuda adicional, puedes recibir soporte a través de INCIBE-CERT, el centro de respuesta a incidentes de seguridad de referencia para los ciudadanos y entidades de derecho privado en España operado por el Instituto Nacional de Ciberseguridad.

Los ataques de phishing son una práctica habitual y no podemos impedir que nos lleguen mensajes fraudulentos al buzón de entrada de nuestro e-mail. Sin embargo, estando alerta y siguiendo estos consejos podrás evitar caer en las trampas de los ciberdelicuentes.