Qué es el phishing, cómo funciona y cómo protegerte

A lo largo de esta entrada intentaremos que abordaremos qué es el phishing, cómo funciona y cómo puedes protegerte frente a estos ataques.

El phishing es uno de los métodos más utilizados por ciberdelincuentes para estafar y obtener información confidencial de forma fraudulenta. Puede tratarse de una contraseña o información detallada sobre tarjetas de crédito u otra información bancaria de la víctima.

El estafador, conocido como phisher, utiliza técnicas de ingeniería social y se hace pasar por una persona o empresa de confianza en una aparente comunicación oficial electrónica. Por lo general a través de un correo electrónico o algún sistema de mensajería instantánea, redes sociales, SMS/MMS, a raíz de un malware o incluso utilizando también llamadas telefónicas. Existen diferentes ataques de phishing, como el email spoofing y el spear phishing.

¿Qué tipo de información roba y cómo se distribuye?

¿Cómo es el circuito de uno de estos ataques?

El phishing con geolocalización es una técnica utilizada para permitir o denegar el acceso al sitio web falso de los usuarios de determinado país, por medio de la dirección IP o un servidor proxy. Cualquier acceso que se haga desde otra parte del mundo no autorizada, no podrá acceder a la página del phishing. El objetivo es hacer más eficaces estos ataques, teniendo más probabilidad de llegar a los usuarios del sitio original.

¿Cuánto podría a llegar obtener un ciberatacante?

Ahora que ya sabemos qué tipo de información roba un phisher, a través de qué medios y qué pasos sigue siempre un ataque de phishing, nos preguntamos… ¿Cuánto podría llegar a ganar?

Los ciberataques son como un embudo. Imagina que:

El phisher envía 1.000.000 correos electrónicos.
Solo el 0,5% de los usuarios que han recibido la comunicación, es decir, 5.000, hacen clic.
El 20% de ellos, 1.000 personas, además, ingresan sus datos.
En total, en este tipo de ataque simple, se han robado 10€ por cuenta.
Resultado: 10.000€ de ganancia.

Para prevenir estos ciberataques, recuerda:

1. Aprende a identificar los correos electrónicos sospechosos.

Utilizan nombres y adoptan la imagen de empresas reales.
Llevan como remitente el nombre de la empresa o el de un empleado.
Incluyen webs que visualmente son iguales a las empresas reales.
Como gancho, utilizan regalos o la pérdida de la cuenta existente.

2. Verifica la fuente de información de tus correos entrantes.

Tu banco nunca te pedirá que le envíes tus claves o datos personales por correo.
No respondas a este tipo de preguntas.
Si tienes dudas, llama directamente a tu banco para aclararlo.

3. Nunca entres en la web de tu banco pulsando en links incluidos en correos electrónicos.

No hagas clic en los enlaces ya que, de forma oculta, te podrían dirigir a una web fraudulenta.
Teclea directamente la dirección web en tu navegador.

4. Refuerza la seguridad de tu ordenador mediante un antivirus.

Además, siempre debes tener actualizado tu sistema operativo y los navegadores web.

5. Introduce tus datos confidenciales únicamente en webs seguras.

Presta atención a que empiecen por https:// y que aparezcan con el icono de un pequeño candado cerrado.

6. Revisa periódicamente tus cuentas bancarias para estar al tanto de cualquier irregularidad en tus transacciones.

7. No solo de banca online vive el phishing.

En realidad no solo se hacen pasar por entidades bancarias.
Pueden utilizar cualquier otra web popular del momento para robar datos personales: eBay, Facebook, PayPal, etc.

8. El phishing sabe idiomas.

El phishing no conoce fronteras y pueden llegarte ataques en cualquier idioma.
Por norma general están mal escritos o traducidos, así que este puede ser otro indicador de que algo no va bien.