Uno de los métodos más comunes para que puedan robar nuestras contraseñas es el Phishing. Básicamente consiste en un cebo, que suele ser un correo electrónico, mensaje por redes sociales como Facebook o incluso un SMS. Van a enviar un link que nos lleva a una supuesta página para iniciar sesión, pero en realidad es un timo. Ahora bien, ¿cómo han perfeccionado los ciberdelincuentes sus técnicas? Lo cierto es que estos ataques se han vuelto más inteligentes.
El Phishing es ahora más sofisticado.
Es un tipo de ataque muy antiguo y la base la ha mantenido. Sin embargo esto ha hecho que lógicamente los usuarios vayan aprendiendo cómo funciona y de qué manera evitar ser víctimas de este problema. Al mismo tiempo, los piratas informáticos han ido perfeccionando sus técnicas.
¿De qué manera ha mejorado el Phishing? Principalmente utilizan dos métodos para engañar a la víctima: suplantación de identidad o spoofing y el uso de nombres de dominio aparentemente legítimos. Esto tiene un impacto importante, como vamos a ver.
Piensa en un correo que recibes y que va dirigido de forma genérica. Por ejemplo un correo que ponga “error en tu cuenta de Netflix”. Entras en ese correo y te encuentras cosas como “estimado usuario”. Realmente ves un e-mail que puede estar dirigido a cualquiera. Ahora bien, ¿y si recibes ese mismo correo pero esta vez con tu nombre en el asunto y también en el texto? Es sin duda más personalizado y, también, más probable que lo abras e incluso hagas clic en algún enlace.
Esa es una de las técnicas que ha hecho que el Phishing sea más sofisticado, pero no la única. Otro caso que también está muy presente en la actualidad es el uso de dominios que simulan ser oficiales. Volvamos a un ejemplo en el que recibes un e-mail, miras la dirección y aparecen cosas raras, como letras o números sin mucho sentido. Rápidamente puedes pensar que se trata de un correo que han creado automáticamente y que es una estafa. Pero, ¿y si ese e-mail lleva un dominio de Netflix, Facebook o cualquier otro servicio? La cosa cambia.
Justo esto es lo que también están utilizando. Lo que hacen es crear nombres de dominio para ese correo que parezcan reales. Lógicamente sigue siendo una estafa y nada tienen que ver con la empresa original, pero intentan acercarse al menos en el nombre y aspecto general.
Textos, logos y nombres más oficiales.
Pero no solo utilizan ahora estas dos técnicas, sino que también han perfeccionado la manera en la que vamos a ver ese correo. Cuidan cada detalle para que parezca que realmente ese e-mail que recibimos y que nos dice que nuestra cuenta tiene un problema es realmente de Twitter, Facebook, Netflix o cualquier servicio legítimo.
Lo primero es que el texto está bien escrito. Nada que ver con los correos que podíamos recibir antes y veíamos que estaban mal traducidos, faltas de ortografía o párrafos sin mucho sentido. También van a utilizar logos oficiales de esas plataformas.
Pero además de esto, están empezando a utilizar nombres reales. Es decir, envían ese correo en nombre de una persona que realmente trabaja para esa plataforma. Esto hace que la víctima pueda sospechar menos. Pensemos incluso en una empresa que tiene que recibir una factura de una organización determinada. Pueden suplantar la identidad de esa organización y la persona detrás de la empresa que va a recibir el e-mail no va a sospechar. De esta forma pueden colar un archivo malicioso.
Entonces, ¿cómo me protejo del Phishing? Como hemos visto, ahora es mucho más sofisticado y preparan mejor sus ataques. Sin embargo la manera de defendernos es la misma: sentido común, usar programas de seguridad, tener todo actualizado… Es esencial observar siempre qué hemos recibido, qué enlaces contiene, etc. El Phishing es uno de los métodos más usados para robar contraseñas y debemos estar preparados para evitarlo.
