Abres tu bandeja de entrada. La línea de asunto es urgente. Dice ser de su banco. Dicen que tu cuenta está bloqueada. Si no hace clic en el enlace e inicia sesión ahora mismo, lo perderá todo.
Tu corazón da un vuelco. ¿Ese pánico? Ese es el gancho.
Esto es phishing, una estafa digital diseñada para robarte la vida. No se trata sólo de perder unos cientos de dólares. Se trata de robo de identidad. Se trata de permitir que extraños vacíen tus cuentas, realicen compras a tu nombre o incluso utilicen tu computadora para lavar dinero sin que tú lo sepas.
La mayoría de la gente piensa que el phishing es un correo electrónico desagradable que se hace pasar por Amazon o una compañía de tarjetas de crédito. Y claro, esa es la cara más común de la bestia. Pero el correo electrónico es sólo el señuelo. La trampa es mucho más profunda.
La anatomía de una estafa digital
El phishing no es mágico. Es un proceso. Un ciclo frío y calculado que ha evolucionado desde que apareció la palabra por primera vez en 1996. El término en sí es un juego de palabras con “pescar”, lo que implica que los delincuentes están echando redes para ver qué información pueden capturar.
Así es como funciona realmente la maquinaria.
Planificación. Los atacantes deciden a quién apuntar. No se limitan a adivinar. Utilizan las mismas técnicas de recopilación de datos que los spammers. Raspan direcciones. Compran listas. Identifican la base de clientes de un banco o minorista específico.
Configuración. Una vez que se eligen los objetivos, la infraestructura aumenta. Crean una dirección de correo electrónico falsificada que parece legítima. Construyen un sitio web falso. Este sitio refleja el sitio real tan perfectamente que incluso un ojo entrenado podría dudar.
El ataque. El mensaje llega a tu bandeja de entrada. Utiliza presión psicológica. Crea urgencia. Amenaza con una pérdida inmediata. Exige acción inmediata.
Colección. Haces clic. Escribes tu contraseña. Ingresa su número de Seguro Social. Los datos fluyen hacia la base de datos del atacante.
Las consecuencias. Aquí es donde ocurre el verdadero daño. Los ladrones utilizan sus credenciales para realizar compras ilegales. Cometen fraude. Y aquí está la parte aterradora: los estudios sugieren que hasta el 25% de las víctimas nunca se recuperan completamente de las consecuencias financieras y emocionales.
Por qué su software de seguridad no puede salvarlo
Dependemos de firewalls y software antivirus para mantenernos seguros. Pero el phishing no sólo piratea tu computadora. Te piratea a ti.
Explota las debilidades tanto del software del lado del cliente como de la seguridad del lado del servidor. Pero en el fondo es un negocio pasado de moda. Se basa en la confianza. Se basa en el supuesto de que un correo electrónico de “[email protected]” proviene en realidad de su banco.
Los delincuentes saben que la mayoría de la gente tiene prisa. Saben que estás cansado. Saben que harás clic en el enlace porque la amenaza parece real.
Detectar las señales de alerta
Entonces, ¿cómo te proteges? Hay que ser escéptico.
Tenga cuidado con los saludos genéricos. “Estimado cliente” es un claro indicio. Los bancos reales suelen saber tu nombre.
Cuidado con las amenazas. Las instituciones legítimas le dirán que hay un problema. Te pedirán que inicies sesión en un portal seguro para solucionarlo. No exigirán una acción inmediata por correo electrónico.
Si un correo electrónico le solicita que verifique su contraseña, elimínelo. Nunca proporciones información personal a través de un enlace en un correo electrónico.
Denúncialo. Si sospecha de un intento, repórtelo a las autoridades correspondientes. El departamento de fraude de su banco suele ser un buen comienzo.
El ciclo continúa
Los phishers no son estáticos. Después de un ataque, evalúan qué funcionó. Modifican sus mensajes. Refinan sus sitios web falsos. Comienzan el ciclo nuevamente.
El primer uso documentado del “phishing” fue hace casi tres décadas. Las tácticas han cambiado, pero el objetivo sigue siendo el mismo: pescar tu información.
¿Sigues revisando tu correo electrónico con la misma sensación de urgencia?
No le darías tus datos bancarios a un extraño. La mayoría de la gente lo sabe mejor. Sin embargo, los phishers no preguntan. Ellos roban. Para obtener esas credenciales, tienen que trabajar en torno a la psicología humana. Esto es ingeniería social. No se trata de piratear código. Se trata de hackear la confianza.
Los estafadores replican marcas familiares. Copian exactamente los correos electrónicos legítimos. Luego intercambian los enlaces. La víctima hace clic en un botón que parece oficial. Conduce a una página fraudulenta. La dirección de correo electrónico en el campo “De:” es falsa. Parece real. La dirección de “Responder a” es falsa. Los enlaces están ofuscados. Ocultan el verdadero destino. Pero copiar la apariencia es sólo la mitad de la batalla.
El verdadero truco es la urgencia. Los mensajes de phishing exigen una acción inmediata. Quieren que reacciones antes de pensar.
“Actúa ahora o lo perderás todo”.
Ese es el mensaje. Algunas amenazas prometen la cancelación de la cuenta. Otros afirman que hiciste una compra que no hiciste. Entras en pánico. No querrás perder dinero por una transacción que nunca completaste. Entonces haces clic. Sigues el enlace. Renuncias a la misma información que temías que tuvieran.
La confianza en la automatización juega un papel muy importante aquí. La gente cree que las computadoras son objetivas. Creen que los algoritmos no cometen errores. Los phishers aprovechan este punto ciego.
Los mensajes suelen afirmar que una “auditoría informática” ha encontrado anomalías. Dicen que un proceso automatizado detectó actividad sospechosa. La víctima cree que alguien está pirateando su cuenta. No creen que el sistema haya cometido un error. Es más fácil imaginar un ladrón que un problema técnico.
El phishing ya no es sólo un correo electrónico. Los estafadores lanzan una red más amplia.
- Mensajes instantáneos
- Mensajes de texto al celular (SMS)
- Salas de chat
- Anuncios publicitarios falsos
- Foros de mensajes y listas de correo.
- Sitios falsos de búsqueda de empleo.
- Barras de herramientas del navegador falsas
El medio cambia. El objetivo sigue siendo el mismo.
Por qué el software complejo facilita el phishing
Existe una correlación directa entre la complejidad del software y las vulnerabilidades de seguridad. Cuantas más funciones tenga un navegador web o un cliente de correo electrónico, más oportunidades tendrán los atacantes de pasar desapercibidos. A medida que mejoran los filtros de seguridad, evolucionan las tácticas de phishing para evitarlos. Es una carrera armamentista, y las herramientas en las que los usuarios confían a diario a menudo proporcionan lagunas.
El método más frecuente sigue siendo la suplantación de direcciones. La mayoría de los clientes de correo electrónico permiten a los usuarios escribir lo que quieran en los campos “De” y “Responder a”. Esta comodidad es útil para las personas que gestionan múltiples identidades, pero es una mina de oro para los estafadores. Pueden elaborar mensajes que parecen provenir de fuentes confiables. Algunos servidores de correo electrónico agravan este riesgo al permitir conexiones al puerto del Protocolo simple de transferencia de correo (SMTP) sin autenticación. Esto permite a los atacantes eludir por completo las contraseñas personales, ordenando al servidor que envíe mensajes maliciosos directamente.
Más allá de los remitentes falsos, los atacantes utilizan varios trucos técnicos para engañar a los usuarios y evadir la detección.
Enlaces engañosos y código oculto
Las URL ofuscadas son un vector principal. Estos enlaces parecen legítimos pero redirigen a los usuarios a sitios maliciosos. Los atacantes utilizan varias técnicas para lograrlo:
- Typosquatting e IDN: Pueden escribir mal la URL de una empresa o utilizar registros de nombres de dominio internacionales (IDN). Esto les permite utilizar caracteres de otros alfabetos que parecen idénticos a los caracteres latinos, engañando a la vista.
- Formatos hexadecimales: Las URL se pueden codificar en hexadecimal para confundir a los escáneres básicos.
- Instrucciones de redireccionamiento: Las URL que parecen legítimas pueden contener instrucciones ocultas que redirigen el tráfico a otra parte.
- HTML engañoso: El texto mostrado puede diferir completamente del destino real. Por ejemplo, un enlace puede parecer que apunta a una guía sobre “máquinas zombis” en un sitio de buena reputación, pero el HTML subyacente dirige al navegador a un artículo malicioso que no tiene ninguna relación.
Engaño visual y estructural
Los atacantes también manipulan lo que ves en tu pantalla. Al detectar qué navegador y cliente de correo electrónico estás utilizando, un phisher puede superponer gráficos falsos. Pueden colocar imágenes de barras de direcciones y candados de seguridad sobre la barra de estado real. Esto crea una falsa sensación de seguridad.
Las ventanas emergentes y los marcos son otra táctica común. El código malicioso puede ejecutarse en marcos invisibles que rodean un sitio, o las ventanas emergentes pueden cubrir el contenido legítimo por completo. Incluso los correos electrónicos de texto plano pueden ser engañosos. Muchos contienen etiquetas HTML ocultas con palabras invisibles diseñadas para eludir los filtros antispam.
El riesgo del pharming
El envenenamiento de la caché de DNS, a menudo llamado pharming, es particularmente peligroso. En este ataque, un atacante cambia la información del servidor DNS. Esto podría suceder mediante ingeniería social, como engañar a los representantes de servicio al cliente para que realicen cambios.
Una vez que se modifican los registros DNS, cualquiera que intente visitar el sitio web de la empresa falsificada es redirigido a un sitio diferente. Esto afecta a todos en la red, no sólo a los usuarios individuales. Es difícil de detectar porque el navegador del usuario muestra una dirección que parece legítima, pero el contenido está completamente comprometido.
El panorama de la ingeniería social ha cambiado. Ya no necesitas una URL falsa y llamativa para robar datos. Los ataques más peligrosos ahora ocurren dentro de navegadores legítimos.
Considere la computadora proxy. Este dispositivo se encuentra entre usted y el sitio web de destino. Registra cada transacción que realiza. El sitio parece real. La barra de direcciones muestra el dominio correcto. Pero el tráfico se está reflejando.
Los phishers que utilizan estos métodos no tienen que disfrazar sus enlaces porque la víctima se encuentra en un sitio web legítimo cuando se produce el robo de su información.
Esta es la trampa. Confías en la URL. Escribes tu contraseña. El proxy lo roba.
Malware: El cómplice oculto
El phishing no se trata sólo de correos electrónicos. Se trata de lo que se ejecuta en su máquina. Los atacantes implementan programas maliciosos para hacer el trabajo pesado.
- Registradores de teclas capturan cada pulsación de tecla. ¿Tu contraseña? Desaparecido.
- Troyanos de captura de pantalla toman instantáneas de su actividad. Se lo informan al atacante.
- Troyanos de acceso remoto (RAT) convierten tu PC en un zombi. Su computadora se convierte en un nodo en una botnet. Envía correos electrónicos de phishing o aloja páginas falsas.
- Bots chatean contigo. Imitan el comportamiento humano en los foros. Coordinan las redes zombies.
- Spyware rastrea tus hábitos de navegación. Aprende tus patrones. Ayuda a los atacantes a planificar el próximo ataque.
Su máquina está comprometida. El phisher no necesita engañarlo para que haga clic en un enlace. Sólo necesitan que visites una página.
¿Puedes notar la diferencia?
¿Qué tan bien sabes realmente lo que estás mirando?
MailFrontier ofrece una prueba de inteligencia sobre phishing. Comprueba si puedes detectar falsificaciones. Next Generation Security Software publica una guía sobre otras técnicas. Antiphishing.org analiza un ataque paso a paso.
Hay mucho que rastrear.
Antiphishing
Por qué la seguridad básica detiene la mayoría de las estafas
Ya conoces el ejercicio. Cortafuegos activado. Antivirus activo. Éstas no son sólo palabras de moda; son su primera línea de defensa contra el phishing. Pero si quieres verdadera seguridad, tienes que mirar más de cerca. Verifique el certificado SSL en cualquier sitio antes de iniciar sesión. Examine sus extractos bancarios línea por línea.
Los phishers son descuidados. Dejan huellas dactilares en sus correos electrónicos y sitios web. Cuando abras tu bandeja de entrada, busca las señales de alerta.
Los saludos genéricos son un claro indicio. “Estimado cliente” grita estafa. Los bancos legítimos suelen tomarse el tiempo para escribir su nombre real. (Nota: el Spear phishing es la excepción. Estos atacantes hacen su tarea y usan su nombre, así que no baje la guardia sólo porque lo sienta personal).
Cuidado con las amenazas. Si un correo electrónico dice “Responda en cinco días o cancelaremos su cuenta”, elimínelo. Las empresas reales quieren su negocio. No les entra el pánico por unos días de silencio.
Ninguna empresa legítima solicita contraseñas o números de seguro social por correo electrónico. Esto era cierto antes de que existiera el phishing. Sigue siendo cierto ahora.
Los enlaces son donde se tiende la trampa. ¿URL largas? ¿Caracteres extraños como el símbolo @ en el medio? ¿Errores tipográficos? No hagas clic. Escriba la dirección manualmente. Tarda dos segundos más. Te salva de perderlo todo.
Los errores ortográficos son el truco más antiguo del libro. La mala gramática no parece profesional y no se debe confiar en ella en un mensaje financiero.
Cómo los gobiernos y los ISP están contraatacando
La guerra no es sólo tuya. Las empresas y los gobiernos están respondiendo. El gobierno de Estados Unidos ordenó que los bancos utilicen autenticación de dos factores a finales de 2006. Eso significa más que una simple contraseña. Necesita un token físico o un escaneo biométrico. Es un pequeño obstáculo que rompe la cadena de ataque para la mayoría de los delincuentes.
Los proveedores de servicios de Internet y los desarrolladores de software ofrecen protecciones en la barra de herramientas. Estas herramientas verifican los certificados de seguridad al instante. Te dicen dónde está registrado un sitio. Analizan enlaces antes de hacer clic. Algunos incluso proporcionan señales visuales (una barra verde o un logotipo específico) que confirman que estás en el sitio real.
Úselos.
Qué hacer cuando te quemas
Si cree que un correo electrónico es falso, no responda. No hagas clic. No regales nada.
Denúncialo a la empresa suplantada. Utilice su sitio web oficial o llámelos directamente. No utilice la información de contacto en el correo electrónico sospechoso. También puede denunciar el intento al Centro Nacional de Información sobre Fraude y al Grupo de Trabajo Anti-Phishing.
Si ya les diste tus datos, el daño ya está hecho. Pero puedes limitarlo.
- Póngase en contacto con la empresa falsificada inmediatamente.
- Llame a su banco, prestamista o emisor de su tarjeta de crédito.
- Informe el fraude al menos a una de las principales agencias de crédito: Equifax, Experian o TransUnion.
- Presenta una denuncia ante la policía local.
- Notificar a la Comisión Federal de Comercio.
- Informar el delito cibernético al FBI a través del Centro de denuncias de delitos en Internet.
Cambia tus contraseñas. Comience con el sitio comprometido. Luego cámbialos en todos los demás lugares. Si reutilizas contraseñas, sólo estás esperando a que caiga el otro zapato.
La escala de la amenaza
Los números no mienten. Sólo en agosto de 2005, hubo 13.776 ataques de phishing vinculados a 5.259 sitios web diferentes.
Se dirigieron a 84 empresas. Pero tres empresas recibieron el 80 por ciento de los golpes.
El 85 por ciento de estos ataques se dirigieron contra bancos e instituciones financieras. El dinero está en las transacciones.
Los phishers tienen éxito alrededor del cinco por ciento de las veces. No es una tasa de conversión alta, pero en volumen, es enorme.
57 millones de usuarios de Internet en EE. UU. recibieron al menos un correo electrónico de phishing. De hecho, hasta 1,7 millones revelaron su información personal.
Fuente: NGS Software y AntiPhishing.org
Proteger sus datos de ataques de phishing
Las empresas también tienen un papel que desempeñar. Necesitan autenticación multifactor. Necesitan protocolos de autenticación de correo electrónico. Y necesitan educar a sus usuarios. Eres el eslabón más débil. Hazte más fuerte.
Si sospecha de un correo electrónico de phishing, deténgase. No hagas clic. No proporciones información. Informarlo a la organización. Elimina el mensaje.
Es sencillo. Es aburrido. Pero funciona.
