Phishing

Qué es el phishing

El phishing es un engaño en el que alguien se disfraza de una empresa o de una persona en la que confías para que hagas algo que le beneficia: escribir tu contraseña, dar los datos de tu tarjeta, pagar una factura o abrir un archivo. No ataca tu ordenador (computadora), sino tu confianza.

El INCIBE lo describe en su página sobre phishing para empresas como un fraude que «se comete generalmente a través del correo electrónico», aunque también usa SMS, redes sociales, aplicaciones de mensajería y llamadas, y en el que los delincuentes suplantan a bancos o a empresas de energía o de logística. Su objetivo es siempre el mismo: información confidencial, credenciales o dinero.

El falso revisor del gas

Piensa en el timo del falso revisor. Llaman al timbre. Al otro lado hay alguien con chaleco y una tarjeta plastificada con el logotipo de la compañía del gas. «Hay una inspección obligatoria hoy. Si no la hacemos, le cortan el suministro.» Te pide pasar o, más directo, cobrarte la revisión en el momento.

Todo el truco está en tres piezas. El disfraz: un chaleco y un logotipo cuestan poco. La prisa: hoy, ahora, o habrá consecuencias. Y la petición: abrir la puerta o pagar. La respuesta correcta tampoco tiene misterio: no abres, cierras con amabilidad y llamas a la compañía al número que aparece en tu factura, no al que figura en la tarjeta del visitante.

Un correo de phishing es el mismo visitante a otra escala. El logotipo del banco se copia en segundos, el remitente puede falsificarse y el aviso urgente llega a miles de buzones a la vez. El enlace es la puerta. Y la defensa sigue siendo la misma: comprobar por un canal que ya conocías antes de recibir el mensaje.

Cómo funciona un ataque, paso a paso

1. Elige a quién imitar: un banco, una empresa de mensajería, la agencia tributaria de tu país, un proveedor habitual o tu propio jefe.
2. Prepara el mensaje: copia logotipos, firmas y el tono de la entidad, a veces con tu nombre y el de tu empresa para parecer más creíble.
3. Crea urgencia: un pago pendiente, una cuenta bloqueada, un paquete retenido, una multa.
4. Te lleva a actuar: un enlace a una web falsa que imita la real, un adjunto, un código QR o un número de teléfono al que llamar.
5. Usa lo que consigue: entra en tu cuenta, cobra el pago o instala un programa malicioso, a veces el primer paso de un ataque de ransomware.

Las variantes que conviene conocer

• Smishing: el mismo engaño por SMS, a menudo con un enlace acortado.
• Vishing: por llamada telefónica, con alguien que se presenta como el banco o el servicio técnico.
• Phishing con código QR: en agosto de 2023, el INCIBE alertó de una campaña de correos con el nombre de la víctima y de su empresa que pedían escanear un QR para «verificar» la cuenta y llevaban a una copia de la página de inicio de sesión de Microsoft.
• Phishing dirigido: un mensaje preparado para una persona concreta, con datos reales de su trabajo.
• El falso proveedor: un correo, a veces desde la cuenta real de un proveedor que ha sido robada, que avisa de un «cambio de cuenta bancaria» para cobrar las próximas facturas.

Cinco comprobaciones antes de hacer clic

Esta lista, basada en las recomendaciones del INCIBE para empresas, cabe en una nota pegada al monitor:

1. ¿Quién lo envía de verdad? Mira la dirección completa del remitente, no solo el nombre que aparece. Aun así, recuerda que puede falsificarse.
2. ¿Me mete prisa o me amenaza? Las amenazas de suspender una cuenta, las multas y los plazos de pocas horas son señales típicas.
3. ¿Adónde lleva el enlace? Pasa el ratón por encima sin hacer clic y lee la dirección real. En el móvil (celular), mantén pulsado el enlace.
4. ¿Me llama por mi nombre? Un saludo genérico es sospechoso, aunque uno con tu nombre no garantiza nada.
5. ¿Puedo comprobarlo por otro camino? Abre la web escribiendo tú la dirección o llama al teléfono que ya tenías guardado.

Las faltas de ortografía también son una pista, pero no te fíes de su ausencia: un mensaje bien escrito puede ser igual de falso.

Si ya has hecho clic

Le pasa a cualquiera. Lo importante es actuar rápido y en orden:

1. Si escribiste una contraseña, cámbiala desde la web real, tecleando tú la dirección, y en cualquier otro servicio donde usaras la misma.
2. Cierra las sesiones abiertas y activa la verificación en dos pasos si aún no la tenías.
3. Si diste datos bancarios o hiciste un pago, llama a tu banco al número de siempre para bloquear la tarjeta o intentar frenar la transferencia.
4. Si abriste un adjunto o instalaste algo, desconecta el equipo de la red y pide ayuda antes de seguir usándolo.
5. Avisa a tu equipo para que nadie más caiga. En España, la línea 017 del INCIBE atiende a empresas y profesionales de forma gratuita y confidencial, de 8:00 a 23:00 todos los días del año; si has perdido dinero, presenta también una denuncia.

Un ejemplo: una empresa de reformas en Lima

Una empresa de reformas de seis personas en Lima, Perú, recibe un correo de su proveedor habitual de sanitarios. El remitente es el de siempre, la firma también, y el mensaje explica que han cambiado de banco: las próximas facturas deben pagarse a una cuenta nueva. Adjunta una factura pendiente con los nuevos datos.

La administradora está a punto de pagar, pero la empresa tiene una regla: cualquier cambio de cuenta bancaria se confirma por teléfono, al número guardado en la agenda, nunca al del correo. Llama. El proveedor no ha cambiado de banco: alguien ha entrado en su cuenta de correo y la usa para escribir a sus clientes. La empresa no paga, avisa al proveedor y, desde ese día, los pagos que superan un importe fijado necesitan la aprobación de dos personas.

Ideas erróneas sobre el phishing

• «A mí no me engañan, se nota enseguida». Los mensajes genéricos sí se notan; los preparados con tu nombre, tu empresa y una cuenta real robada, mucho menos.
• «Si la web tiene el candado del navegador, es segura». El candado indica que la conexión está cifrada, no que la web sea de quien dice ser. Una web falsa puede tenerlo.
• «Viene del remitente de siempre, así que es real». La dirección puede falsificarse, y la cuenta de un contacto real puede estar en manos de otra persona.
• «Con un buen antivirus no hace falta prestar atención». El filtro ayuda, pero muchos ataques no llevan nada malicioso que detectar: solo piden que hagas algo.

Qué puedes hacer hoy

1. Fija una regla de pagos: ningún cambio de cuenta bancaria ni pago urgente se aprueba solo por correo o mensaje.
2. Guarda en la agenda los teléfonos oficiales de tu banco y de tus proveedores principales.
3. Usa un gestor para tus contraseñas: si no ofrece rellenar la contraseña en una web, desconfía de esa web.
4. Comparte las cinco comprobaciones con tu equipo. El INCIBE ofrece a las empresas materiales de concienciación para formar a la plantilla.
5. Decide a quién se avisa cuando alguien recibe un mensaje sospechoso o cree haber caído, para que nadie lo oculte por vergüenza.