Valentina recibe un mensaje de texto: «Tu cuenta será bloqueada hoy. Ingresa aquí para evitarlo». Está en el minibús, apurada, y casi toca el enlace. ¿Qué la frenó? Saber que un atacante no siempre necesita romper un programa: le alcanza con que tú le entregues tus datos o tu plata. En esta página vas a aprender a reconocer esos engaños y a responder a cada uno.
Qué es el phishing y cómo reconocerlo
El phishing es una forma de robo de identidad: el atacante se hace pasar por otro, o te saca datos para hacerse pasar por ti. Usarlo para estafar es un delito informático, algo muy distinto del hacking ético, donde un especialista prueba la seguridad de un sistema con permiso de su dueño para ayudar a corregirla.
Practica★☆☆Sin empezar
Explica qué es el phishing y qué suele pedir al final, casi siempre, un mensaje de phishing, sea cual sea la historia que cuente.
Explica qué es el phishing y qué suele pedir al final, casi siempre, un mensaje de phishing, sea cual sea la historia que cuente.
Recibes este SMS: «Su paquete no pudo entregarse. Abone $\text{Bs}\ 6,93$ de gastos de aduana aquí: envios-aduana.info». Señala al menos dos detalles del mensaje que…
Recibes este SMS: «Su paquete no pudo entregarse. Abone $\text{Bs}\ 6,93$ de gastos de aduana aquí: envios-aduana.info». Señala al menos dos detalles del mensaje que deben hacerte sospechar y explica qué ocurriría probablemente al pagar.
La figura muestra un correo que suplanta a un banco, con tres señales de engaño ya marcadas y un elemento más señalado con una interrogación. Explica por qué cada una de…
La figura muestra un correo que suplanta a un banco, con tres señales de engaño ya marcadas y un elemento más señalado con una interrogación.
Explica por qué cada una de las tres señales marcadas delata el fraude y qué deberías comprobar del elemento señalado con ? antes de hacer clic en nada.
Por qué imitan marcas conocidas y cómo detectar el enlace falso
Por eso conviene distinguir el spam del phishing. El spam es publicidad masiva no pedida (una oferta de zapatillas en una feria): molesta, pero no suplanta a nadie ni te roba datos. Se marca como correo no deseado y se borra. El phishing, en cambio, intenta engañarte: no se responde, no se abre nada y se denuncia o se reporta como phishing.
Practica★☆☆Sin empezar
¿Por qué los mensajes de phishing imitan casi siempre marcas muy conocidas (bancos, empresas de paquetería, plataformas de video)? Explica qué consigue el atacante al…
¿Por qué los mensajes de phishing imitan casi siempre marcas muy conocidas (bancos, empresas de paquetería, plataformas de video)? Explica qué consigue el atacante al disfrazarse de una marca en la que la gente ya confía.
Explica la diferencia entre correo no deseado (spam publicitario) y phishing, pon un ejemplo inventado de cada uno y describe qué conviene hacer con cada tipo de mensaje.
Explica la diferencia entre correo no deseado (spam publicitario) y phishing, pon un ejemplo inventado de cada uno y describe qué conviene hacer con cada tipo de mensaje.
Escribe un ejemplo inventado de mensaje de phishing dirigido a adolescentes (el tema que quieras: conciertos, juegos, becas) y señala en tu propio texto las tres trampas…
Escribe un ejemplo inventado de mensaje de phishing dirigido a adolescentes (el tema que quieras: conciertos, juegos, becas) y señala en tu propio texto las tres trampas que has colocado para engañar al lector.
Ingeniería social: jugar con la confianza, no con el código
Las técnicas de persuasión que más se repiten son cuatro: urgencia («ahora o nunca»), miedo («te van a bloquear»), autoridad («te llamo del banco o de la empresa») y confianza («soy yo, tu amigo»). Cuando un mensaje usa varias a la vez, frena y verifica por otro canal.
Una cuenta clonada copia el nombre y la foto de alguien que conoces (las fotos son públicas) y cambia un detalle mínimo del usuario: un punto, un guion de más. Después les escribe a sus contactos pidiendo plata. Dos señales la delatan: el usuario no es exactamente el original y es una cuenta nueva, con pocas publicaciones y seguidores, que te escribe por primera vez para pedir algo urgente.
Otro caso clásico: alguien llama a tu casa diciendo que es técnico de la empresa de internet y te pide instalar un programa «para arreglar la conexión». Usa autoridad (habla en nombre de la empresa) y urgencia (la conexión «está fallando»). La familia debe cortar, y llamar al número oficial de la empresa que figura en la factura. Nunca hay que instalar nada ni dar claves por pedido de un llamado inesperado.
Practica★☆☆Sin empezar
En un chat de soporte técnico, un «agente» te pide tu contraseña «para verificar tu identidad». Explica por qué ningún servicio legítimo pide nunca la contraseña por…
En un chat de soporte técnico, un «agente» te pide tu contraseña «para verificar tu identidad». Explica por qué ningún servicio legítimo pide nunca la contraseña por chat, correo o teléfono, y redacta la respuesta que darías.
Explica en qué consiste una cuenta clonada en una red social, cómo se fabrica una (misma foto, nombre con un punto o un guion de más) y qué dos señales delatan que no es…
Explica en qué consiste una cuenta clonada en una red social, cómo se fabrica una (misma foto, nombre con un punto o un guion de más) y qué dos señales delatan que no es la cuenta original de tu amigo.
Una cuenta con el nombre y la foto de tu prima te escribe pidiendo dinero urgente por un problema. Explica qué comprobaciones harías antes de responder y por qué el…
Una cuenta con el nombre y la foto de tu prima te escribe pidiendo dinero urgente por un problema. Explica qué comprobaciones harías antes de responder y por qué el nombre y la foto de una cuenta no garantizan quién está detrás.
Define qué es la ingeniería social y aplícalo a este caso: una persona llama a tu casa haciéndose pasar por técnico de la empresa de internet y pide instalar un programa…
Define qué es la ingeniería social y aplícalo a este caso: una persona llama a tu casa haciéndose pasar por técnico de la empresa de internet y pide instalar un programa «para arreglar la conexión». Señala qué técnicas de persuasión usa y cómo debería actuar tu familia.
Tu mamá recibe un mensaje: «Mamá, perdí el celular, este es mi nuevo número. Necesito que me hagas una transferencia urgente». Explica la táctica del «hijo en apuros»,…
Tu mamá recibe un mensaje: «Mamá, perdí el celular, este es mi nuevo número. Necesito que me hagas una transferencia urgente». Explica la táctica del «hijo en apuros», qué comprobación desharía el engaño al instante y qué norma familiar (por ejemplo, una palabra clave acordada) propondrías.
Los sorteos de personas influyentes en redes siguen el mismo patrón, y cada requisito tiene su objetivo. Seguir varias cuentas da seguidores y visibilidad al organizador. Completar el formulario le entrega tus datos personales. Pagar los «gastos de envío» le da plata, y muchas veces tus datos de pago. El premio casi nunca existe.
Otro cebo es el QR manipulado: un sticker con un código distinto, pegado sobre el oficial (en un cartel de parqueo de pago o en el menú de un restaurante). Al escanearlo te lleva a una web falsa que imita el sistema de pago y te roba los datos de la tarjeta o de tu billetera en el celular.
Otro caso: llega un correo que parece enviado desde tu propia dirección y dice que te grabaron con la cámara y que pagues para que no lo difundan. Falsificar el remitente es fácil, porque el campo «De» del correo se puede escribir a mano; no significa que hayan entrado a tu cuenta. El engaño se apoya en el miedo y la vergüenza. Lo que hay que hacer es no pagar, no responder, guardar el correo como prueba, cambiar tu contraseña por las dudas y contarle a un adulto de confianza. Si la amenaza es real o insistente, se denuncia.
Practica★★☆Sin empezar
Un correo anuncia que has ganado un celular en un sorteo en el que no recuerdas haber participado; para «enviártelo» piden tu nombre completo, tu dirección y una foto de…
Un correo anuncia que has ganado un celular en un sorteo en el que no recuerdas haber participado; para «enviártelo» piden tu nombre completo, tu dirección y una foto de tu carnet de identidad. Analiza qué datos están intentando conseguir, para qué podrían usarse después y qué deberías hacer con ese correo.
En la zona de parqueo de pago de tu ciudad, el cartel oficial tiene un código QR para pagar, pero alguien ha pegado encima un adhesivo con otro código, como se muestra…
En la zona de parqueo de pago de tu ciudad, el cartel oficial tiene un código QR para pagar, pero alguien ha pegado encima un adhesivo con otro código, como se muestra en la figura.
Explica qué riesgo tiene pagar escaneando el código marcado con ?, cómo comprobarías cuál es el sistema de pago oficial y qué alternativa segura existe para pagar sin usar ese código.
Recibes un correo que parece enviado desde tu propia dirección: afirma haberte grabado con la cámara y pide dinero para no difundir las imágenes. Explica cómo es posible…
Recibes un correo que parece enviado desde tu propia dirección: afirma haberte grabado con la cámara y pide dinero para no difundir las imágenes. Explica cómo es posible falsificar el remitente de un correo, por qué este engaño se basa en el miedo y la vergüenza, y qué debes hacer —y qué no— al recibirlo.
Una persona influyente anuncia el «sorteo» de unos auriculares: para participar hay que seguir varias cuentas, llenar un formulario con tus datos y pagar los «gastos de…
Una persona influyente anuncia el «sorteo» de unos auriculares: para participar hay que seguir varias cuentas, llenar un formulario con tus datos y pagar los «gastos de envío». Analiza qué tres objetivos distintos consigue el organizador con cada requisito y por qué el premio probablemente no existe.
Cada engaño busca algo distinto, pero empiezan igual. El phishing bancario busca tus claves y datos de la cuenta, para vaciarla. El sorteo falso con foto de la cédula de identidad busca datos personales para suplantarte (pedir créditos, abrir cuentas). La cuenta clonada busca que tus familiares te transfieran plata. En los tres, el primer contacto llega de alguien que parece confiable y mete urgencia.
Practica★★☆Sin empezar
Compara el objetivo final de tres engaños: un phishing bancario, un sorteo falso que pide foto del carnet de identidad y una cuenta clonada que pide dinero a tus…
Compara el objetivo final de tres engaños: un phishing bancario, un sorteo falso que pide foto del carnet de identidad y una cuenta clonada que pide dinero a tus familiares. ¿Qué busca conseguir cada uno y qué tienen en común los tres en su primera fase de contacto?
Vuelta al principio: Valentina frenó porque reconoció los tres ingredientes del engaño (suplantación, urgencia y petición final) y verificó por el canal oficial antes de tocar nada.
Practica★★★Sin empezar
En un grupo de mensajería escolar se viraliza el siguiente mensaje enviado por un compañero: «¡Regalan zapatillas de marca por su aniversario! Entra en…
En un grupo de mensajería escolar se viraliza el siguiente mensaje enviado por un compañero: «¡Regalan zapatillas de marca por su aniversario! Entra en www.marca-promocion.com/regalo, responde 3 preguntas y reenvía esto a 5 grupos para recibir tu cupón». La web solicita autorizar notificaciones del navegador e instalar un perfil de configuración en el celular para «validar el cupón».
a) Explica el mecanismo de ingeniería social que aprovecha el atacante para que sean las propias víctimas quienes distribuyan el fraude de forma orgánica sin haber vulnerado sus cuentas.
b) Predice técnicamente qué riesgos asume un usuario al aceptar la instalación de un perfil de configuración desconocido en su teléfono celular.
c) Diseña una lista de 3 pautas técnicas de filtrado que cualquier usuario debería aplicar antes de reenviar un enlace recibido en un grupo, evaluando la URL, los incentivos y los permisos solicitados.
En un simulacro de ciberseguridad en una empresa de software de 200 empleados, el departamento técnico envía dos campañas de phishing simulado: Correo A (Genérico): «Has…
En un simulacro de ciberseguridad en una empresa de software de 200 empleados, el departamento técnico envía dos campañas de phishing simulado:
Correo A (Genérico): «Has ganado un cheque regalo de 100,00 bolivianos. Haz clic aquí para canjearlo». Enviado un martes a las 10:00 h.
Correo B (Contextualizado): «Urgente: Error de sincronización en el repositorio de código antes del despliegue. Confirma tus credenciales antes de las 18:00 h para no perder tus cambios». Enviado un viernes a las 17:45 h.
Resultados: En el correo A cayó el 2,5 % del personal; en el correo B cayó el 38,0 %, incluyendo a ingenieros sénior.
a) Interpreta los datos obtenidos: ¿qué factores cognitivos, temporales y de contexto explican la enorme diferencia de éxito entre ambos correos?
b) Rebate técnicamente la afirmación de un directivo que afirma: «Con formar mejor a los empleados es suficiente; la culpa es del usuario que no mira bien el enlace».
c) Propón dos medidas técnicas a nivel de sistema (como llaves FIDO2 o gestores de contraseñas corporativos) que impidan el robo de la cuenta incluso si el usuario cae en el engaño del correo B.