Valeria recibe un mensaje de texto: «Su cuenta será bloqueada hoy. Ingrese aquí para evitarlo». Está en el bus, apurada, y casi toca el enlace. ¿Qué la frenó? Saber que un atacante no siempre necesita romper un programa: le alcanza con que usted le entregue sus datos o su plata. En esta página aprenderá a reconocer esos engaños y a responder a cada uno.
Qué es el phishing y cómo reconocerlo
El phishing es una forma de robo de identidad: el atacante se hace pasar por otro, o le saca datos para hacerse pasar por usted. Usarlo para estafar es un delito informático, algo muy distinto del hacking ético, donde un especialista prueba la seguridad de un sistema con permiso de su dueño para ayudar a corregirla.
Practica★☆☆Sin empezar
Explique qué es el phishing y qué suele pedir al final, casi siempre, un mensaje de phishing, sea cual sea la historia que cuente.
Explique qué es el phishing y qué suele pedir al final, casi siempre, un mensaje de phishing, sea cual sea la historia que cuente.
Recibe este SMS: «Su paquete no pudo entregarse. Abone $\text{₡}\ 495$ de gastos de aduana aquí: envios-aduana.info». Señale al menos dos detalles del mensaje que deben…
Recibe este SMS: «Su paquete no pudo entregarse. Abone $\text{₡}\ 495$ de gastos de aduana aquí: envios-aduana.info». Señale al menos dos detalles del mensaje que deben hacerle sospechar y explique qué ocurriría probablemente al pagar.
La figura muestra un correo que suplanta a un banco, con tres señales de engaño ya marcadas y un elemento más señalado con una interrogación. Explique por qué cada una…
La figura muestra un correo que suplanta a un banco, con tres señales de engaño ya marcadas y un elemento más señalado con una interrogación.
Explique por qué cada una de las tres señales marcadas delata el fraude y qué debería comprobar del elemento señalado con ? antes de hacer clic en nada.
En un chat de soporte técnico, un «agente» le pide su contraseña «para verificar su identidad». Explique por qué ningún servicio legítimo pide nunca la contraseña por…
En un chat de soporte técnico, un «agente» le pide su contraseña «para verificar su identidad». Explique por qué ningún servicio legítimo pide nunca la contraseña por chat, correo o teléfono, y redacte la respuesta que usted daría.
Por qué imitan marcas conocidas y cómo detectar el enlace falso
Por eso conviene distinguir el spam del phishing. El spam es publicidad masiva no pedida (una oferta de tenis): molesta, pero no suplanta a nadie ni le roba datos. Se marca como correo no deseado y se borra. El phishing, en cambio, intenta engañarle: no se responde, no se abre nada y se denuncia o se reporta como phishing.
Practica★☆☆Sin empezar
¿Por qué los mensajes de phishing imitan casi siempre marcas muy conocidas (bancos, empresas de paquetería, plataformas de video)? Explique qué consigue el atacante al…
¿Por qué los mensajes de phishing imitan casi siempre marcas muy conocidas (bancos, empresas de paquetería, plataformas de video)? Explique qué consigue el atacante al disfrazarse de una marca en la que la gente ya confía.
Explique la diferencia entre correo no deseado (spam publicitario) y phishing, ponga un ejemplo inventado de cada uno y describa qué conviene hacer con cada tipo de…
Explique la diferencia entre correo no deseado (spam publicitario) y phishing, ponga un ejemplo inventado de cada uno y describa qué conviene hacer con cada tipo de mensaje.
Escriba un ejemplo inventado de mensaje de phishing dirigido a adolescentes (el tema que quiera: conciertos, juegos, becas) y señale en su propio texto las tres trampas…
Escriba un ejemplo inventado de mensaje de phishing dirigido a adolescentes (el tema que quiera: conciertos, juegos, becas) y señale en su propio texto las tres trampas que ha colocado para engañar al lector.
Ingeniería social: jugar con la confianza, no con el código
Las técnicas de persuasión que más se repiten son cuatro: urgencia («ahora o nunca»), miedo («le van a bloquear la cuenta»), autoridad («le llamo del banco o de la empresa») y confianza («soy yo, su amigo»). Cuando un mensaje usa varias a la vez, deténgase y verifique por otro canal.
Una cuenta clonada copia el nombre y la foto de alguien que usted conoce (las fotos son públicas) y cambia un detalle mínimo del usuario: un punto, un guion de más. Después les escribe a sus contactos pidiendo plata. Dos señales la delatan: el usuario no es exactamente el original y es una cuenta nueva, con pocas publicaciones y seguidores, que le escribe por primera vez para pedir algo urgente.
Otro caso clásico: alguien llama a su casa diciendo que es técnico de la empresa de internet y le pide instalar un programa «para arreglar la conexión». Usa autoridad (habla en nombre de la empresa) y urgencia (la conexión «está fallando»). La familia debe cortar y llamar al número oficial de la empresa que figura en la factura. Nunca hay que instalar nada ni dar claves por pedido de una llamada inesperada.
Practica★☆☆Sin empezar
Explique en qué consiste una cuenta clonada en una red social, cómo se fabrica una (misma foto, nombre con un punto o un guion de más) y qué dos señales delatan que no…
Explique en qué consiste una cuenta clonada en una red social, cómo se fabrica una (misma foto, nombre con un punto o un guion de más) y qué dos señales delatan que no es la cuenta original de su amigo.
Una cuenta con el nombre y la foto de su prima le escribe pidiendo dinero urgente por un problema. Explique qué comprobaciones haría antes de responder y por qué el…
Una cuenta con el nombre y la foto de su prima le escribe pidiendo dinero urgente por un problema. Explique qué comprobaciones haría antes de responder y por qué el nombre y la foto de una cuenta no garantizan quién está detrás.
Defina qué es la ingeniería social y aplíquelo a este caso: una persona llama a la casa haciéndose pasar por técnico de la compañía de internet y pide instalar un…
Defina qué es la ingeniería social y aplíquelo a este caso: una persona llama a la casa haciéndose pasar por técnico de la compañía de internet y pide instalar un programa «para arreglar la conexión». Señale qué técnicas de persuasión usa y cómo debería actuar su familia.
Su mamá recibe un mensaje: «Mamá, perdí el celular, este es mi nuevo número. Necesito que me haga una transferencia urgente». Explique la táctica del «hijo en apuros»,…
Su mamá recibe un mensaje: «Mamá, perdí el celular, este es mi nuevo número. Necesito que me haga una transferencia urgente». Explique la táctica del «hijo en apuros», qué comprobación desharía el engaño al instante y qué norma familiar (por ejemplo, una palabra clave acordada) propondría.
Los sorteos de personas influyentes siguen el mismo patrón, y cada requisito tiene su objetivo. Seguir varias cuentas da seguidores y visibilidad al organizador. Completar el formulario le entrega sus datos personales. Pagar los «gastos de envío» le da plata, y muchas veces sus datos de pago. El premio casi nunca existe.
Otro cebo es el QR manipulado: un sticker con un código distinto, pegado sobre el oficial (en un rótulo de parqueo de pago o en el menú de una soda). Al escanearlo lo lleva a una web falsa que imita el sistema de pago y le roba los datos de la tarjeta o de la cuenta de SINPE Móvil.
Otro caso: llega un correo que parece enviado desde su propia dirección y dice que lo grabaron con la cámara y que pague para que no lo difundan. Falsificar el remitente es fácil, porque el campo «De» del correo se puede escribir a mano; no significa que hayan entrado a su cuenta. El engaño se apoya en el miedo y la vergüenza. Lo que hay que hacer es no pagar, no responder, guardar el correo como prueba, cambiar su contraseña por las dudas y contarle a un adulto de confianza. Si la amenaza es real o insistente, se denuncia ante el OIJ (Organismo de Investigación Judicial).
Mensajes virales y permisos engañosos
Un engaño también puede propagarse solo. Un mensaje viral («regalan tenis, reenvíe a 5 grupos») usa la confianza: llega de un compañero real, así que se reenvía sin pensar. Quienes lo reenvían, sin que nadie les robe la cuenta, distribuyen el fraude por el atacante y le dan credibilidad. La web falsa suele pedir además dos cosas peligrosas: autorizar notificaciones del navegador (después llegan anuncios falsos y enlaces maliciosos aunque no tenga la página abierta) e instalar un perfil de configuración en el celular (puede cambiar ajustes como la red o los certificados y permitir que le espíen o le redirijan a páginas falsas).
Practica★★★Sin empezar
En un grupo de mensajería del cole se viraliza el siguiente mensaje enviado por un compañero: «¡Regalan tenis de marca por su aniversario! Entre en…
En un grupo de mensajería del cole se viraliza el siguiente mensaje enviado por un compañero: «¡Regalan tenis de marca por su aniversario! Entre en www.marca-promocion.com/regalo, responda 3 preguntas y reenvíe esto a 5 grupos para recibir su cupón». La web solicita autorizar notificaciones del navegador e instalar un perfil de configuración en el celular para «validar el cupón».
a) Explique el mecanismo de ingeniería social que aprovecha el atacante para que sean las propias víctimas quienes distribuyan el fraude de forma orgánica sin haber vulnerado sus cuentas.
b) Prediga técnicamente qué riesgos asume un usuario al aceptar la instalación de un perfil de configuración desconocido en su teléfono celular.
c) Diseñe una lista de 3 pautas técnicas de filtrado que cualquier usuario debería aplicar antes de reenviar un enlace recibido en un grupo, evaluando la URL, los incentivos y los permisos solicitados.
Un correo anuncia que usted ha ganado un celular en un sorteo en el que no recuerda haber participado; para «enviárselo» piden su nombre completo, su dirección y una…
Un correo anuncia que usted ha ganado un celular en un sorteo en el que no recuerda haber participado; para «enviárselo» piden su nombre completo, su dirección y una foto de su cédula. Analice qué datos están intentando conseguir, para qué podrían usarse después y qué debería hacer con ese correo.
En la zona de parqueo de pago de su ciudad, el rótulo oficial tiene un código QR para pagar, pero alguien ha pegado encima una calcomanía con otro código, como se…
En la zona de parqueo de pago de su ciudad, el rótulo oficial tiene un código QR para pagar, pero alguien ha pegado encima una calcomanía con otro código, como se muestra en la figura.
Explique qué riesgo tiene pagar escaneando el código marcado con ?, cómo comprobaría cuál es el sistema de pago oficial y qué alternativa segura existe para pagar sin usar ese código.
Usted recibe un correo que parece enviado desde su propia dirección: afirma haberlo grabado con la cámara y pide dinero para no difundir las imágenes. Explique cómo es…
Usted recibe un correo que parece enviado desde su propia dirección: afirma haberlo grabado con la cámara y pide dinero para no difundir las imágenes. Explique cómo es posible falsificar el remitente de un correo, por qué este engaño se basa en el miedo y la vergüenza, y qué debe hacer —y qué no— al recibirlo.
Una persona influyente anuncia el «sorteo» de unos auriculares: para participar hay que seguir varias cuentas, rellenar un formulario con sus datos y pagar los «gastos…
Una persona influyente anuncia el «sorteo» de unos auriculares: para participar hay que seguir varias cuentas, rellenar un formulario con sus datos y pagar los «gastos de envío». Analice qué tres objetivos distintos consigue el organizador con cada requisito y por qué el premio probablemente no existe.
Cada engaño busca algo distinto, pero empiezan igual. El phishing bancario busca sus claves y datos de la cuenta, para vaciarla. El sorteo falso con foto de la cédula busca datos personales para suplantarle (pedir créditos, abrir cuentas). La cuenta clonada busca que sus familiares le transfieran plata. En los tres, el primer contacto llega de alguien que parece confiable y mete urgencia.
No todos los engaños son iguales de efectivos. El phishing genérico («ganó un cheque, haga clic») sirve para cualquiera y casi nadie cae. El contextualizado usa datos de su trabajo o estudio, tiene una urgencia creíble y llega en un momento de prisa, por ejemplo un viernes a última hora. Por eso engaña a una parte mucho mayor de las personas.
Practica★★☆Sin empezar
Compare el objetivo final de tres engaños: un phishing bancario, un sorteo falso que pide foto de la cédula y una cuenta clonada que pide dinero a sus familiares. ¿Qué…
Compare el objetivo final de tres engaños: un phishing bancario, un sorteo falso que pide foto de la cédula y una cuenta clonada que pide dinero a sus familiares. ¿Qué busca conseguir cada uno y qué tienen en común los tres en su primera fase de contacto?
En un simulacro de ciberseguridad en una empresa de software de 200 empleados, el departamento técnico envía dos campañas de phishing simulado: Correo A (Genérico): «Ha…
En un simulacro de ciberseguridad en una empresa de software de 200 empleados, el departamento técnico envía dos campañas de phishing simulado:
Correo A (Genérico): «Ha ganado un cheque regalo de 100,00 colones. Haga clic aquí para canjearlo». Enviado un martes a las 10:00 h.
Correo B (Contextualizado): «Urgente: Error de sincronización en el repositorio de código antes del despliegue. Confirme sus credenciales antes de las 18:00 h para no perder sus cambios». Enviado un viernes a las 17:45 h.
Resultados: En el correo A cayó el 2,5 % de la plantilla; en el correo B cayó el 38,0 %, incluyendo a ingenieros sénior.
a) Interprete los datos obtenidos: ¿qué factores cognitivos, temporales y de contexto explican la enorme diferencia de éxito entre ambos correos?
b) Rebata técnicamente la afirmación de un directivo que afirma: «Con formar mejor a los empleados es suficiente; la culpa es del usuario que no mira bien el enlace».
c) Proponga dos medidas técnicas a nivel de sistema (como llaves FIDO2 o gestores de contraseñas corporativos) que impidan el robo de la cuenta incluso si el usuario cae en el engaño del correo B.
Vuelva al principio: Valeria frenó porque reconoció los tres ingredientes del engaño (suplantación, urgencia y petición final) y verificó por el canal oficial antes de tocar nada.
¡A practicar! 8 ejercicios de nivel medio en este apartado