Ejercicios: Engaños y ataques a las personas

Explica qué es el phishing y qué suele pedir al final, casi siempre, un mensaje de phishing, sea cual sea la historia que cuente.

Recibes este SMS: «Su paquete no pudo entregarse. Abone $0,99\ \text{€}$ de gastos de aduana aquí: envios-aduana.info». Señala al menos dos detalles del mensaje que deben hacerte sospechar y explica qué ocurriría probablemente al pagar.

La figura muestra un correo que suplanta a un banco, con tres señales de engaño ya marcadas y un elemento más señalado con una interrogación.

Explica por qué cada una de las tres señales marcadas delata el fraude y qué deberías comprobar del elemento señalado con ? antes de pulsar nada.

¿Por qué los mensajes de phishing imitan casi siempre marcas muy conocidas (bancos, empresas de paquetería, plataformas de vídeo)? Explica qué consigue el atacante al disfrazarse de una marca en la que la gente ya confía.

Explica la diferencia entre correo no deseado (spam publicitario) y phishing, pon un ejemplo inventado de cada uno y describe qué conviene hacer con cada tipo de mensaje.

Escribe un ejemplo inventado de mensaje de phishing dirigido a adolescentes (el tema que quieras: conciertos, juegos, becas) y señala en tu propio texto las tres trampas que has colocado para engañar al lector.

En un chat de soporte técnico, un «agente» te pide tu contraseña «para verificar tu identidad». Explica por qué ningún servicio legítimo pide nunca la contraseña por chat, correo o teléfono, y redacta la respuesta que darías.

Explica en qué consiste una cuenta clonada en una red social, cómo se fabrica una (misma foto, nombre con un punto o un guion de más) y qué dos señales delatan que no es la cuenta original de tu amigo.

Una cuenta con el nombre y la foto de tu prima te escribe pidiendo dinero urgente por un problema. Explica qué comprobaciones harías antes de responder y por qué el nombre y la foto de una cuenta no garantizan quién está detrás.

Define qué es la ingeniería social y aplícalo a este caso: una persona llama a casa haciéndose pasar por técnico de la compañía de internet y pide instalar un programa «para arreglar la conexión». Señala qué técnicas de persuasión usa y cómo debería actuar tu familia.

Un correo anuncia que has ganado un móvil en un sorteo en el que no recuerdas haber participado; para «enviártelo» piden tu nombre completo, tu dirección y una foto de tu DNI. Analiza qué datos están intentando conseguir, para qué podrían usarse después y qué deberías hacer con ese correo.

En la zona de aparcamiento de pago de tu ciudad, el cartel oficial tiene un código QR para pagar, pero alguien ha pegado encima una pegatina con otro código, como se muestra en la figura.

Explica qué riesgo tiene pagar escaneando el código marcado con ?, cómo comprobarías cuál es el sistema de pago oficial y qué alternativa segura existe para pagar sin usar ese código.

Recibes un correo que parece enviado desde tu propia dirección: afirma haberte grabado con la cámara y pide dinero para no difundir las imágenes. Explica cómo es posible falsificar el remitente de un correo, por qué este engaño se basa en el miedo y la vergüenza, y qué debes hacer —y qué no— al recibirlo.

Una persona influyente anuncia el «sorteo» de unos auriculares: para participar hay que seguir varias cuentas, rellenar un formulario con tus datos y pagar los «gastos de envío». Analiza qué tres objetivos distintos consigue el organizador con cada requisito y por qué el premio probablemente no existe.

Tu madre recibe un mensaje: «Mamá, he perdido el móvil, este es mi nuevo número. Necesito que me hagas una transferencia urgente». Explica la táctica del «hijo en apuros», qué comprobación desharía el engaño al instante y qué norma familiar (por ejemplo, una palabra clave acordada) propondrías.

Compara el objetivo final de tres engaños: un phishing bancario, un sorteo falso que pide foto del DNI y una cuenta clonada que pide dinero a tus familiares. ¿Qué busca conseguir cada uno y qué tienen en común los tres en su primera fase de contacto?

Un atacante estudia durante semanas las redes públicas de una trabajadora: conoce su empresa, el nombre de su jefa y sus horarios. Con esa información envía un correo que imita a la jefa y pide una transferencia urgente. Explica por qué este ataque dirigido es más peligroso que un phishing masivo, cómo se conoce esta variante y qué norma de empresa lo habría desactivado.

Compara el phishing por correo electrónico, el smishing por SMS y el vishing por llamada de voz: qué tienen en común los tres, en qué cambia la forma de detectarlos y qué precaución específica exige cada canal.

Redacta tres reglas para detectar un enlace peligroso antes de pulsarlo y explica cómo se comprueba la dirección real de un enlace sin abrirlo, tanto en un ordenador como en un móvil.

En un grupo grande de WhatsApp de «chollos» alguien comparte un enlace con una oferta irresistible que resulta ser phishing. Analiza por qué el contexto de confianza del grupo baja la guardia de sus miembros, quién es responsable de verificar antes de reenviar y qué normas de higiene digital pondrías en ese tipo de grupos.

Escribe el guion de una escena de tres minutos para representar en tutoría: una persona recibe un SMS de phishing y la escena se representa dos veces, una cayendo en la trampa y otra evitándola. Incluye qué hace distinto el personaje en cada versión y la conclusión final para el público.

Una tienda real sufre una brecha de seguridad y los atacantes escriben a sus clientes haciéndose pasar por ella, citando compras que realmente hicieron. Explica por qué este phishing con datos verdaderos es casi indetectable por el contenido del mensaje y qué defensas siguen funcionando aunque «todo parezca correcto».

Comenta la frase «yo jamás caería en un phishing». Razona qué papel juegan el exceso de confianza, la prisa y el cansancio en las caídas de personas expertas, y explica por qué los hábitos rutinarios de comprobación protegen más que la seguridad en uno mismo.

Unos atacantes pagan un anuncio en un buscador para que su web falsa aparezca la primera al buscar el nombre de un banco. Explica en qué se diferencia esta trampa del phishing por correo, por qué es especialmente eficaz y qué hábito de acceso a los servicios críticos la neutraliza por completo.