25 de junio de 2019

Qué es el phishing y cómo protegerse #WhitePaper

Seguro que alguna vez en los últimos meses has recibido en tu buzón de correo electrónico algún mensaje enviado por alguna empresa conocida (sobre todo de entidades bancarias) que realmente no es lo que dicen ser. Este tipo de envíos con la intención de engañar al usuario es lo que se conoce popularmente con el nombre de phishing o suplantación de identidad, un tipo de ataque que puede causar muchos problemas si no se toman las medidas de seguridad adecuadas.

 

 

Qué es el phishing

El phishing es una de las modalidades de estafa más utilizadas en la actualidad por los atacantes para intentar conseguir datos de gran importancia del usuario como su número de tarjeta de crédito, o cualquier información que después pueda ser utilizada de forma fraudulenta.

El estafador, conocido habitualmente con el nombre de phisher, hace uso de técnicas de ingeniería social, haciéndose pasar por una persona o empresa de total confianza y contactando mediante algún formato electrónico, generalmente un email idéntico al que suelen enviar esos contactos de confianza. Si la persona que recibe estos correos no tiene ciertos conocimientos, no será capaz de detectar que se trata de un fraude.

En estos mensajes se suele informar al usuario que tiene que entrar en una url para indicar de nuevo sus datos o algo similar, pero realmente, donde estamos entrando es a una dirección web totalmente falsa, en la que lo único que conseguiremos será proporcionar nuestra información al atacante.

Tradicionalmente el phishing está asociado al mundo del correo electrónico, pero además de esta vía, también se puede dar por otros medios como las redes sociales, llamadas telefónicas, el envío de SMS/MMS o incluso el uso del correo postal.

 

Cómo funciona el ataque mediante la suplantación de identidad

El funcionamiento de este tipo de ataques para conseguir información relevante del usuario es muy sencillo. Lo primero que hace el atacante es crearse una apariencia de un ente de confianza.

El siguiente paso sería realizar el envío de los mensajes por algún medio de propagación, mensajes que irán destinados a miles de usuarios. Entre estos usuarios, habrá un cierto porcentaje que se fiarán del mensaje y seguirán las instrucciones que indique el mensaje. Hecho esto, el usuario habrá proporcionado información de gran valor al atacante. Las consecuencias de esto principalmente son:

• Robo de dinero de la cuenta bancaria.
• Uso indebido de las tarjetas de crédito.
• Envío de publicidad en su nombre.
• Suplantación de identidad.

 

Cómo detectar el phishing

Cuando recibimos un correo que pensamos que puede tratarse de un correo de suplantación de identidad, podemos fijarnos en varios aspectos para corroborar si se trata de un email bueno o de una estafa. Estos puntos son:

• Revisar el campo “De” del correo: En este campo es donde aparece la información de quién envía el mensaje. Si aquí aparece una dirección que no coincide con la empresa que envía el email, ya es un punto a favor para desconfiar de él. La pega es que este campo es fácilmente manipulable y en este tipo de correos suele aparecer una dirección que coincide con el dominio que con el que aparece en el mensaje.
• Enlaces: Si en el cuerpo del mensaje apareciese algún tipo de enlace, nos situaríamos encima de él sin hacer ningún clic. Ya sea en la parte inferior de nuestro programa de mail o bien mediante una pequeña ventana emergente, veremos la url hacia donde nos llevará ese enlace. Si esa dirección es extraña y no coincide con el contenido del email, entonces podemos afirmar que se trata de un correo phishing.
• Faltas de ortografía: Es muy importante que estemos pendiente de la información que contiene el email y detectar si incluye algún tipo de falta de ortografía o incongruencias gramaticales. De ser así, es un motivo más para desconfiar del correo.
• Idioma no habitual: si la empresa nos contacta en otro idioma al habitual, recibimos un correo de alguien en el extranjero o uno de nuestros conocidos nos escribe en otro idioma, también debemos sospechar.
• Adjuntos: si desconoces al remitente no conviene descargar los adjuntos, y si lo haces pasa el antivirus antes de abrirlos.

 

Consejos para protegerse del phishing

Recuerda que:

• Hostalia nunca te solicitará tus claves por correo electrónico
• No pinches nunca en enlaces sospechosos que recibas por correo electrónico
• Desconfía especialmente de remitentes desconocidos
• En caso de haber proporcionado contraseñas o tarjetas de crédito, cambia tus contraseñas y contacta con tu banco para informarles del posible incidente con tu tarjeta

En general te recomendamos:

• Desconfiar de cualquier correo electrónico donde se cometan varias faltas de ortografía o gramaticales, cuyo remitente sea sospechoso o que no tenga logos de empresas si éstas son de cierta entidad
• Evitar en la medida de lo posible pulsar enlaces en correos electrónicos, aunque hayan sido recibidos de una dirección en la que confiemos, y de hacerlo revisar especialmente si solicitan datos de identidad, credenciales o medios de pago, haciendo las siguientes comprobaciones:
  • Comprobar que la dirección que aparece en la barra de direcciones es correcta y está bien escrita
  • Comprobar que se está accediendo por HTTPS (la dirección en la barra de direcciones empieza por “https://”), y hacer clic en el icono del candado al lado de la dirección en la barra de direcciones, para verificar el certificado de la organización que gestiona el sitio web
  • Si es posible verificar con el emisor del mensaje que se trata de un envío lícito, no responder al mensaje sino emplear los canales de comunicación oficiales que le consten para contactar
• Utiliza contraseñas seguras según las recomendaciones del siguiente documento albergado en nuestra web: https://www.hostalia.com/news/junio11/WP_Hostalia_utiliza-contrasena-segura.pdf (puedes comprobar que la página anterior es segura comparando el texto que aparece en la ventana de su navegador y haciendo clic en el icono del candado para verificar que la web está asociada a la empresa que gestiona el dominio “hostalia.com”)

Puedes obtener más información sobre avisos de campañas similares en la siguiente página web del INSTITUTO NACIONAL DE SEGURIDAD: https://www.incibe.es/protege-tu-empresa/avisos-seguridad

Aunque el phishing sea uno de los mecanismos más utilizado para intentar captar la información privada del usuario, siguiendo estas simples recomendaciones y haciendo uso de nuestro sentido común evitaremos que roben nuestros datos.

 

 

Comentarios

1 comentario