Panorama Phishing 2021

La Ingeniería Social, es y seguirá siendo la técnica más eficiente y menos costosa para las ciberoperaciones delictuales, debido al bajo riesgo para los atacantes y su particularidad de estar orientada a la manipulación inteligente de la tendencia natural de la gente a confiar valiéndose así de las personas y no del sistema operativo o equipamiento de seguridad.

No podemos olvidar que el usuario es el eslabón más importante de la cadena de la seguridad, por lo que su acción o inacción serán fundamentales a la hora de corregir vulnerabilidades, protegerse ante ciberataques o evitar caer en las trampas de los ciberdelincuentes.

Durante el año 2021, la técnica de phishing ha marcado nuevos récords como una amenaza latente que persiste tanto en las empresas como también en el ámbito personal. Los avances tecnológicos y el nivel de penetración que han tenido las Redes Sociales a nivel mundial estos últimos años, ha permitido el crecimiento de este tipo de ataques a través de la Ingeniería social, los cuales cada vez se generan con una mayor cantidad de información de los posibles objetivos, esto ayuda a que este tipo de ataques se ejecuten de forma más robusta e inteligente, logrando con esto que la detección por parte de un usuario desinformado en este tema sea mucho más difícil.  

Con la llegada de la pandemia COVID-19 que actualmente se encuentra presente en nuestro entorno y tomando en cuenta que esto ha afectado en forma transversal a nuestra sociedad, no podemos obviar que nuestra forma de comunicarnos y relacionarnos ha cambiado, en general se ha generado una explosión en la actividad delictiva cibernética y una gran parte de ellas utiliza esta antigua pero efectiva técnica del phishing.

En lo que respecta al territorio nacional (Chile), se han evidenciado correos del tipo phishing en los cuales los ciberdelincuentes se han aprovechado del difícil momento en que se encuentran las personas a consecuencia de esta pandemia, ya sea en el ámbito de salud como en lo laboral, logrando con esto generar correos maliciosos en los cuales por ej. suplantan a instituciones de salud o empresas que entregan ayuda económica a un grupo determinado de personas.

Hoy en día el tener un dispositivo móvil es casi una necesidad fundamental para la población en este lado del mundo, hoy en día el negocio de dispositivos móviles en América latina ha traído excelentes cifras para las empresas que hacen de este su negocio. Por otro lado debemos mencionar que las plataformas móviles engloban un porcentaje importante de los ataques de phishing en la región. Se han obtenido cifras de que Argentina y Panamá son de los más susceptibles a ataques de esta naturaleza, un 41% y 39% respectivamente de sus usuarios afirman haberse encontrado con algún tipo de phishing en sus dispositivos móviles. En esta lista le siguen los pasos Chile, Brasil y Costa Rica, con un 36%, 34% y 32% respectivamente.

Sumado a esta amenaza que ya se encuentra presente en los dispositivos móviles, también se encuentran presentes las amenazas del tipo “Malware Telefónico”, la gran mayoría de estos corresponden a los del tipo RAT, los cuales se están vendiendo al que ofrezco una mayor cantidad de dinero, un gran número de los compradores de estos RAT corresponden a usuarios que tienen un conocimiento por sobre la media en lenguajes de programación, como ejemplo de estos podemos mencionar a los troyanos Cerberus y Alien, este tipo de amenazas hacen uso de los servicios de accesibilidad para sobreponer pantallas de phishing, las cuales pueden llegar a robar tu información personal, contraseñas, datos bancarios, tarjetas de crédito, credenciales de acceso, etc.; posteriormente y en la mayoría de los casos esta información robada se envía a un servidor de un ciberactor en donde este las almacena o hace uso de ellas en el momento.

Lo que actualmente vemos es que los ataques a través de dispositivos móviles van en aumento, sin embargo la seguridad en lo que respecta por ej. a ingeniería social dentro de un dispositivo móvil no va en paralelo, es por esto que se espera que las miradas vayan en este rumbo de aquí a un futuro cercano.

Otra de las amenazas que se han presentado hoy en pandemia es el Vishing,  este tipo de ataques tiene la particularidad de que funciona de forma similar a un phishing; esto es, buscando extraer información personal o confidencial, a través de esto se hacen pasar por una organización o persona “oficial” o conocida. Este tipo de fraude se basa en llamadas a través de servicios VoIP, con números que a simple vista no parecen sospechosos. Este tipo de estafa es uno de los ataques que ha sufrido un mayor aumento debido a la pandemia. La comunicación en forma remota a través de dispositivos electrónicos distanciados socialmente, sumado al ya complicado panorama de estafas telefónicas hace que esta tarea vaya en aumento, en países como Chile y México, se ha acentuado una problemática que ahora no solo busca la ganancia económica, sino el robo de información personal, ya que con esta en muchas ocasiones se puede conseguir una mejor retribución.

Debemos seguir teniendo en cuenta que uno de los efectos secundarios de esta pandemia es el uso del COVID-19 como un vector de ataque en lo que respecta a la ingeniería social, la cual es la base o los cimientos necesarios para comenzar a construir correos maliciosos utilizando la técnica de phishing. En este camino los ciberdelincuentes han aprovechado la falta de conocimiento y el impacto social y emocional respecto a esta enfermedad; logrando con esto que usuarios que efectivamente se puedan ver apremiados con esta enfermedad caiga en estas artimañas. 

Si bien los Phishing suelen ser identificados como correos spam con enlace a portales externos maliciosos, también es importante recordar que estos pueden ser correos que contengan descargas de Ransomware o troyanos bancarios mediante archivos o documentos adjuntos.

• Llamadas telefónicas
• Mensajes de texto
• Mensajeria instantanea

Para abordar este punto debemos partir por definir ambos términos, debemos mencionar que la “falsa confianza” es todo lo opuesto a lo que se definirá a continuación respecto a la confianza; la confianza es como el tejido conectivo que une todo lo que hacemos, nuestros sentimientos, nuestras acciones y nuestra opinión hacia los demás; es por esto que lo que se espera hoy en día de las empresas es que generen las acciones acciones de manera responsable, para con esto lograr generar los lazos necesarios y llegar a la esperada confianza entre las partes.

Por otro lado, la ciber-resiliencia es "la capacidad para resistir, proteger y defender el uso del ciberespacio de los atacantes". Esto implica, en definitiva: La creación de un escudo que impida el acceso a usuarios no autorizados a la red corporativa.

Aproximadamente:

• 6 de cada 10 personas piensan que saben lo suficiente para mantenerse seguros en línea.
• 8 de cada 10 personas dicen que toman medidas para determinar si un mensaje de correo electrónico es malicioso.
• Sin embargo, 3 de cada 4 usuarios han recibido alguna campaña de phishing, de los cuales se estima que al menos un 35% de ellos han caído en el engaño.

Es por esto que, nuestro foco de acción debe estar en el usuario final, en el colaborador, en la persona que se encuentra detrás del teclado, ya sea de un equipo de escritorio, notebook o smartphone, ya que es este actor el que genera una “falsa confianza”, la cual ataca de forma directa a la Ciber-resiliencia que tenga la entidad, empresa u organización. Uno de los puntos menos abordados hoy en día es la concientización de los usuarios, siendo que son los cimientos para que toda organización logre un nivel de ciberseguridad que esté a la altura de lo que exige hoy en día la ciberseguridad.

Acorde al análisis y registros de las URL falsas detectadas durante el año que tienen relación con bancos nacionales y también aquellos extranjeros con presencia en chile, se puede realizar una estadística de tendencias por medio de la cual se puede evidenciar y destacar la afectación Phishing dirigidos a lo largo del periodo 2021.
 

Cabe destacar que un phishing tiene en promedio un ciclo de vida de aproximadamente 24 horas, esto considerando que la URL originalmente enviada a cada usuario puede generar variantes de la URL original, pero que de igual forma redirigen al usuario a los sitios maliciosos.
 

De acuerdo con las estadísticas obtenidas por investigaciones y recolección de datos desde el área de ciberseguridad de entel, es posible detectar que las URL maliciosas mantienen orígenes desde fuera de chile, marcando una tendencia clara los ataques provenientes desde los siguientes países:

[Gráfica acumulativa 2021 – País origen de Phishing]

En esta distribución de ataques dirigidos a LATAM se puede evidenciar que la mayor cantidad de eventos geolocalizados por origen se distribuye de la siguiente forma:
 

Gráfica de Phishing a nivel latinoamericano.

De las organizaciones más utilizadas como cebo por los delincuentes el enfoque de ataque se dirige a organizaciones específicas tales como tiendas en línea, portales WEB con sistemas de pago y entidades bancarias 

De acuerdo con los eventos registrados en el último periodo el ranking objeto de ataques de Phishing mantiene un enfoque claro y marcado, es así que como reflejo de este comportamiento podemos evidenciar (acorde a un estudio de Kaspersky) que el líder del del trimestre fueron los portales globales de Internet con un 20,85%, quedando en segundo lugar las compras en línea con un 19,54% y las entidades bancarias con un 16,82%.

Tendencia de Phishing

 Gráfica de tendencia organizacional de Phishing a nivel latinoamericano.

• Kits de phishing: es un conjunto de herramientas de software creadas para facilitar a personas con escasos conocimientos técnicos la creación y el lanzamiento de una campaña de phishing.

Un kit de phishing incluye

• Software para sitios web con una interfaz gráfica de usuario para construir un sitio web falso.
• Plantillas de correo electrónico o de texto con gráficos y scripts a seguir.
• Por un precio adicional, listas de direcciones de correo electrónico, números de teléfono, datos PII y software para automatizar todo el proceso.

• Phishing-as-a-service: Similar al ransomware-as-a-service (RaaS), phishing-as-a-service sigue el modelo de software-as-a-service, que requiere que los atacantes paguen a un operador para desarrollar e Implemente grandes porciones o campañas de phishing completas a partir del desarrollo de páginas de inicio de sesión falsas, alojamiento de sitios web y análisis y redistribución de credenciales.

Como ejemplo de este tipo de campañas se grafica como opera el actor de amenazas BulletProofLink.

Imagen: Microsoft

Una de las más grandes campañas identificadas en este trimestre corresponde a Microsoft, donde el ícono de la industria declara:

“Al investigar los ataques de suplantación de identidad, nos encontramos con una campaña que utilizaba un volumen bastante alto de subdominios únicos y recién creados: más de 300.000 en una sola ejecución.”

Cadena de ataques de phishing de campañas habilitadas para BulletProofLink (Microsoft)

Los ciberdelincuentes están utilizando reCAPTCHA de Google (también conocido como la función "No soy un robot") y servicios CAPTCHA para ocultar varias campañas de phishing utilizando técnicas de evasión cuyo objetivo final es escapar de la detección de los rastreadores de seguridad automatizados.

“Las URL maliciosas protegidas por CAPTCHA se están multiplicando”
informan los investigadores de Unit 42

Es así que, por medio de la utilización de recaptcha, logran bloquear el contenido de sus páginas de phishing y evitar que los servicios de escaneo de URL escaneen detectando el contenido malicioso, logrando finalmente otorgar un aspecto legítimo a las páginas de inicio de sesión de phishing.

El código QR es una imagen que, después de ser interpretada, genera un conjunto de códigos, esta tecnología ya es parte de nuestras vidas, sobre todo desde que la pandemia del Covid-19, facilitando por medio de dispositivos mantener la distancia de seguridad necesaria como resguardo de seguridad.

Sin embargo, el uso de códigos QR se a transformado en parte de nuestra nueva normalidad, ya que son frecuentemente utilizados para identificarnos, para constatar que estamos vacunados (como el Pasaporte Covid), para conectarnos a una red WiFi o para leer los menús de los restaurantes, pagos en línea (sin contacto) por medio de páginas web, entre otros.

Este avance tecnológico permite a los cibercriminales utilizar la facilidad de manejo de los lectores de QR nativos de los dispositivos o en su defecto de aplicaciones diseñadas para para este fin las cuales como consecuencia pueden derivar en estafas cuyo objetivo es la obtención datos personales o datos bancarios del usuario.

Cómo se usa el QR en el phishing

Una persona escanea un código QR y aparece una web o una aplicación donde, supuestamente tenemos la información que necesitamos (por ejemplo, para un restaurante, para acceder a un gimnasio o para tener datos concretos de una tienda), donde se le solicita información confidencial o bancaria.

Es así, como dentro de las técnicas más recientes descubiertas como Phishing utilizando como recurso los códigos QR se encuentran las siguientes:

Qrishing

A través del QR también conocidos como Qrishing (modalidad de estafa), se lleva a cabo a través de los códigos QR y cuyo objetivo es el de hacerse con datos personales o bancarios de las víctimas.

Esta técnica se combina junto con la ingeniería social para lograr que los usuarios proporcionen sus credenciales mediante el escaneo de un código QR contenido en una página web, mensaje o correo electrónico. El usuario al escanearlo es redirigido a una página web, que suplanta a la de la empresa y solicitando información confidencial.

Qrljacking [Phishing orientado a secuestrar sesiones]

Este tipo de ataque se caracteriza por hacer uso de la ingeniería social para secuestrar la cuenta de un servicio que acepte la función “Inicio de sesión con código QR”. Para ello tratan de engañar a la víctima para que escanee un código QR modificado que suplanta al original que ha sido capturado previamente por los ciberdelincuentes. Al escanearlo, el atacante captura las credenciales de la sesión de la víctima y accede de forma encubierta a la información contenida dentro de la cuenta.

En un mundo de spam y phishing, ejecutar su propio servidor de correo electrónico está plagado de peligros. Puede ser difícil recibir sus mensajes si su servidor o dominio tiene mala reputación. No eres uno de esos servidores de correo defectuosos, pero nadie cree que tu servidor de correo sea confiable sin un montón de metadatos que lo demuestren.

En estos días, es importante conseguir las autenticaciones SPF, DKIM, DMARCy BIMI, unas herramientas que verifican la identidad de los remitentes y protegen a los destinatarios. SPF (Sender Policy Framework o Marco de Política de Remitente) crea una lista de servidores autorizados para enviar correos desde un dominio web, DKIM (DomainKeys Identified Mail o Claves de Dominio de Correo Electrónico) incluye dos cifrados para garantizar que el correo es autorizado y fiable, DMARC (Message Authentication, Reporting and Conformance o Autenticación, Informes y Cumplimiento de Mensajes) protege el dominio frente a un uso no autorizado y BIMI, o Indicadores de Marca para la Identificación de Mensajes, también tenemos registros SPF, DKIM y DMARC que ayudan a los servidores de correo a decidir si los mensajes que dicen ser de su dominio son legítimos.

Sender Policy Framework [SPF]

• El Sender Policy Framework, o SPF, es una configuración de registro TXT para los DNS que brinda una capa de seguridad al encargarse de certificar qué direccionamientos pueden mandar correo en nombre de su dominio.
• Este registro es eficaz contra los ataques de phishing, ya que permite a los receptores de sus correos identificar fácilmente que efectivamente provienen desde un origen legítimo y permite bloquear o marcar como ilegítimo a aquellos que no correspondan.
• También ayuda a que los servidores de destino tengan más confianza y no cataloguen correos legítimos enviados por la organización como SPAM.
• El hecho de tener configurado este registro sirve para que un actor malicioso no utilice nuestro dominio para enviar correos (utilizando técnicas como spoofing), ya que el receptor de dicho correo podrá validar en nuestros registros SPF si la IP/dominio desde donde se está enviado el correo con spoofing está autorizado a ser representado por nosotros.
• Imortante recomendación es que exijan a sus proveedores que utilicen el mismo sistema para que nadie pueda suplantar la identidad de ellos si es que se utiliza Spoofing. Por otra parte, si la técnica utilizada es bandjacking (typosquatting), esto no tendrá efecto ya que el dominio sería otro.

DomainKeys Identified Mail [DKIM]

• El DomainKeys Identified Mail, o DKIM, es un registro que permite firmar el correo con un dominio mediante claves públicas indicadas en las zonas de dominio de su organización. De este modo, el destinatario está seguro de que el correo ha sido enviado desde un servidor legítimo y no ha sido interceptado y/o reenviado desde otro servidor no autorizado.
• Para este proceso son utilizadas llaves de cifrado públicas y privadas, por lo cual el emisor cifra el mensaje con su clave privada y el destinatario recibe el mensaje junto con una clave pública única que permite la visualización del mensaje.
• En el caso de intentos de spoofing, la clave pública de la organización no permitirá que el mensaje desde un tercero con clave privada diferente sea considerado válido ni representativo.

BIMI

• BIMI, o Indicadores de Marca para la Identificación de Mensajes, es un nuevo estándar creado para facilitar que su logotipo aparezca junto a su mensaje en la bandeja de entrada. Esto no sólo ayuda a su visibilidad, sino que BIMI está diseñado para prevenir los correos electrónicos fraudulentos y ayudar a la entrega segura (capacidad de que los emails enviados lleguen a las bandejas de entrada de los receptores asignados)

DMARC

• El Domain-based Message Authentication, Reporting and Conformance, o DMARC, complementa al SPF y DKIM. Este registro indica qué hacer cuando dan error los registros anteriores, para así poder tomar las medidas necesarias lo antes posible. Se crea un registro TXT desde el apartado de zonas DNS.

Consideraciones de implementación

Es importante mencionar que los módulos mencionados anteriormente no son vulnerabilidades propiamente tal, sino que corresponden a capas de seguridad adicionales a las ya existentes, por tanto, deben ser habilitadas y configuradas según corresponda. En base a lo expuesto, cabe mencionar que la implementación de estas tecnologías a menudo requiere la ayuda del proveedor de infraestructura de una empresa y posiblemente incluso de un consultor, lo que hace que menos del 10% de las empresas de la mayoría de las industrias utilicen realmente las funciones de seguridad. 

Phishing por correo electrónico:

Los mensajes de correo electrónico son por mucho el método más común para entregar el cebo del phishing. Los cuales contienen enlaces que llevan hasta sitios web maliciosos o archivos adjuntos infectados con malware. 

Phishing por sitio web:

Los sitios web de phishing, también conocidos como sitios falsificados, son copias similares de sitios web que el usuario ya conoce y en los que confía. Los delincuentes crean estos sitios para engañarlo de modo que introduzca sus credenciales de inicio de sesión, que a continuación utilizarán para conectarse a sus cuentas.

Vishing:

Esta abreviatura de «voice phishing» (phishing de voz) hace referencia a la versión sonora del phishing de Internet. El atacante intenta convencer por teléfono a las víctimas para que revelen información personal que pueda utilizarse más adelante para el robo de identidad. Muchas robollamadas son intentos de vishing.

Phishing por QR:

Esta técnica consiste en que el usuario escanea un código por medio de sus dispositivos móviles y es derivado a sitios que conllevan a la suplantación de identidad por medio del robo de credenciales o bien el robo de información bancaria.

Phishing por redes sociales:

Algunos atacantes pueden colarse en las cuentas de redes sociales y forzar a la gente a enviar enlaces maliciosos a sus amigos. Otros crean perfiles falsos y los utilizan para engañar a sus víctimas.

Whaling:

Para completar las metáforas náuticas tenemos el whaling («pesca de ballenas»), que consiste en ataques de phishing dirigido contra una persona concreta de alto valor. Es igual que el phishing personalizado, pero con objetivos mucho más ambiciosos. Ni siquiera los grandes ejecutivos son inmunes a los ataques de whaling.

Fraude de CEO:

Los phishers se hacen pasar por el director ejecutivo (CEO) o por cualquier otro alto cargo de una empresa con el fin de obtener un pago o información sobre los empleados. Las campañas de fraude de CEO son habituales tras un ataque de whaling, pues el atacante ya ha obtenido las credenciales del directivo.

Pharming:

Los ataques de pharming (combinación de «phishing» y «farming», «cultivo») utilizan trucos tecnológicos para engañarlo, en sustitución del cebo habitual. Por ejemplo, la suplantación de identidad de DNS, también conocida como envenenamiento de la memoria caché de DNS, es una técnica de pharming que puede redirigirlo hasta la versión falsificada de un sitio web. Si no presta atención, no notará el engaño hasta que sea demasiado tarde.

Phishing por Dropbox y por Google Docs:

Los servicios de cloud populares son objetivos atractivos para el phishing. Los atacantes apañan versiones falsificadas de las pantallas de inicio de sesión, consiguen las credenciales del destinatario cuando las introduce y, a continuación, se dan un buen atracón con sus archivos y datos.

Phishing de clonación:

Los atacantes toman un correo electrónico legítimo, lo «clonan» y envían una copia exacta a todos los destinatarios previos, con un cambio fundamental: ahora los enlaces son maliciosos.

Manipulación de enlaces:

Los phishers envían enlaces que parecen conducir a una dirección URL, pero al hacer clic en ellos lo llevan a otra parte. Entre los trucos habituales están los errores ortográficos deliberados (p. ej., «luna» y «Iuna» parecen iguales, pero el segundo emplea una i mayúscula) o el uso del nombre de un sitio web de confianza como texto visible de un enlace. Estos ataques también se conocen como homógrafos.

Scripting entre sitios:

Phishers sofisticados pueden aprovechar debilidades en los scripts de un sitio web para secuestrarlo y emplearlo con distintos fines. El scripting entre sitios es difícil de detectar porque en el sitio web todo parece legítimo, desde la URL hasta los certificados de seguridad.

BEC [business email compromise]:

El fraude de CEO es cuando los atacantes abusan de la cuenta de correo electrónico comprometida de un CEO u otro ejecutivo de alto rango para autorizar transferencias bancarias fraudulentas a una institución financiera de su elección. Alternativamente, pueden aprovechar esa misma cuenta de correo electrónico para realizar suplantación de identidad.

Whaling:

Lo que distingue de otras es que está orientado a personas que ocupen cargos de alta jerarquía en una organización. Por ejemplo, los directores, presidentes y gerentes.

Spear Phishing:

En este tipo de táctica, los estafadores personalizan sus correos electrónicos de ataque con el nombre, el puesto, la empresa, el número de teléfono del trabajo y otra información del objetivo en un intento de engañar al destinatario para que crea que tiene una conexión con el remitente.

Pharming:

Este método de phishing aprovecha el envenenamiento de la caché contra el sistema de nombres de dominio (DNS), un sistema de nombres que Internet utiliza para convertir los nombres de sitios web alfabéticos, como "www.microsoft.com", en direcciones IP numéricas para que pueda localizar y, por lo tanto, dirigir a los visitantes a los servicios y dispositivos informáticos.

Para protegerse contra ataques de pharming, las organizaciones deben alentar a los empleados a ingresar sus credenciales de inicio de sesión sólo en sitios protegidos por HTTPS.

Smishing:

Este método aprovecha los mensajes de texto maliciosos para engañar a los usuarios para que hagan clic en un enlace malicioso o entreguen información personal.

Suplantación de identidad:

También conocida como spoofing.

Antes de abrir un correo desconocido “Debemos tener en cuenta revisar”

¿El enlace es fiable?

¿Quién envía el correo?

Cómo reconocerlo:

Aunque los hay de todas las formas y tamaños, es posible aprender a reconocer los mensajes de phishing.

A continuación, damos un repaso a sus rasgos comunes más frecuentes. Las soluciones de ciberseguridad fiables realizan la mayor parte del trabajo a la hora de protegerlo del phishing, pero esté atento a las siguientes señales de alarma y contará con una excelente primera línea de defensa.

• El correo electrónico no está dirigido a usted.
• Una oferta que no puede rechazar.
• Debe actuar de inmediato usando el síndrome FOMO (siglas en inglés de «miedo a perderse algo.
• Enlaces acortados
• Enlaces con errores
• Mensajes escritos de forma incorrecta
• Archivos adjuntos como los PDF o Word.
• Solicitudes de información personal
• No utiliza esa empresa o servicio

Cómo protegerse contra el correo electrónico no deseado y el phishing a nivel empresarial

• Nunca responda a ningún spam

La mayoría de los spammers verifican la recepción y registran las respuestas. Cuanto más responda, es probable que reciba más spam.

• Piense antes de hacer clic en "cancelar suscripción".

Los spammers envían cartas de cancelación de suscripción falsas, en un intento de recopilar direcciones de correo electrónico activas. Si hace clic en "cancelar suscripción" en una de estas letras, es posible que simplemente aumente la cantidad de spam que recibe. No haga clic en los enlaces "cancelar suscripción" en los correos electrónicos que provengan de fuentes desconocidas.

• Mantenga su navegador actualizado

Asegúrese de utilizar la última versión de su navegador web y de que se hayan aplicado todos los últimos parches de seguridad de Internet.

• Utilice filtros antispam.

Abra solo cuentas de correo electrónico con proveedores que incluyan filtrado de spam. Elija una solución antivirus y de seguridad de Internet que también incluye funciones avanzadas contra el correo no deseado.

Desde el punto de vista personal, esto es lo que puede hacer para no caer víctima del phishing:

• Fórmese: la buena noticia es que ya lo ha hecho al leer este artículo. Manténgase un paso por delante de los phishers profundizando en su conocimiento de las estafas más recientes.
• Sea escéptico: peque por el lado de la prudencia ante cualquier correo electrónico sospechoso. Antes de hacer clic en cualquier enlace o de descargar cualquier archivo adjunto, revise las señales de alerta de phishing que hemos mencionado en el artículo. Si cualquiera de esas señales se aplica al mensaje en cuestión, denúncielo y bórrelo.
• Confirme antes de actuar: las empresas auténticas nunca se pondrán en contacto con usted por correo electrónico o teléfono para solicitarle datos personales. Si sucediera, llame usted mismo a la empresa con los datos de contacto que aparecen en su sitio web legítimo para confirmar cualquier cosa que se le haya dicho en el correo electrónico o la llamada. No responda directamente a los correos electrónicos sospechosos. Comience siempre una nueva comunicación mediante los canales de atención oficiales de la empresa.
• Verifique los certificados de seguridad: no envíe ninguna información personal que no quisiera que tuviera un hacker salvo que esté convencido de que un sitio web es seguro. Verifique que la URL comienza con HTTPS y busque un icono de candado junto a la URL.
• Cambie las contraseñas con regularidad: los phishers no pueden hacer mucho con sus contraseñas si ya no son válidas. Actualice las contraseñas de vez en cuando y emplee un administrador de contraseñas para que sean seguras y queden almacenadas de forma segura.
• Examine sus cuentas: Revise escrupulosamente todos los extractos bancarios. Si no lo hace, podría pasar por alto un cargo fraudulento. A los bancos y a las tarjetas de crédito se les suele dar bien detectar fraudes, pero usted también debe prestar mucha atención a sus cuentas y extractos.
• Utilice un bloqueador de anuncios: este consejo también podría titularse «no haga clic en ventanas emergentes», pero si utiliza un bloqueador de anuncios, éste detendrá la mayor parte de los anuncios emergentes. Las ventanas emergentes son vectores de phishing frecuentes: si ve una, nunca haga clic en el anuncio, aunque haya un gran botón donde pone «Cerrar». Utilice siempre la pequeña X en la esquina.
• Lea los correos electrónicos como texto sin formato: este es un buen truco que ayuda a detectar estafas de phishing por correo electrónico. Convierta un mensaje a texto sin formato y podrá detectar URL de imágenes ocultas que no serían visibles en modo HTML.