Cómo evitar las estafas de phishing
Publicado: 2022-01-29Escribir malware es solo otro trabajo de codificación en estos días, pero es difícil. Los codificadores legítimos necesitan crear programas que hagan lo que deben hacer, en cooperación con el sistema operativo y cualquier otro proceso. Los codificadores de malware tienen la tarea adicional de crear programas que pueden ocultar sus actos nefastos del sistema operativo y de los programas antivirus. No es una manera fácil de ganar dinero. No es de extrañar, entonces, que algunos malhechores se salten el intento de burlar al sistema operativo y cambien a un objetivo mucho más fácil... ¡usted! Crean copias fraudulentas de sitios web populares y esperan a que las víctimas inicien sesión. Cuando ingresa sus credenciales en una de estas falsificaciones, le ha dado su cuenta a los estafadores. Sin embargo, mantenga los ojos abiertos y podrá evitar ser estafado.
El Factor COVID-19
Con un gran número de personas atrapadas en casa, buscando entretenimiento en Internet, los estafadores de phishing están en el paraíso de los cerdos. Para empezar, acaban de ganar una audiencia más grande para los fraudes ordinarios de robo de credenciales. Pero el miedo, la incertidumbre y la duda provocada por esta pandemia sin precedentes son el alimento perfecto para nuevos tipos de estafas.
Incluso en abril de 2020, Google informó que bloqueaba 18 millones de estafas relacionadas con virus todos los días. Google hace un buen trabajo; las estimaciones sugieren que bloquea el 99,9 por ciento de los correos electrónicos no deseados y de phishing. Sin embargo, eso significa que 18,000 mensajes no deseados llegaron a un número desconocido de víctimas todos los días.
Los estafadores de virus no solo buscan sus contraseñas; quieren tu dinero. Las estafas y las estafas han existido desde la humanidad, y funcionan en línea tan bien como en persona. Tenga cuidado con cualquier correo electrónico que tenga alguna conexión con la pandemia, especialmente si lo insta a hacer clic en un enlace o descargar un archivo. Si le preocupa el sentido de urgencia del correo electrónico falso, vaya directamente a la fuente en lugar de utilizar un enlace proporcionado.
Recuerde también que el cheque que espera del Tío Sam se llama "pago de estímulo económico". Si ve una frase como "cheque de estímulo", está viendo una estafa.
Personalmente, no me he encontrado con ningún fraude o estafa relacionada con COVID-19, quizás gracias a Google. Y los sitios web que busco para encontrar fraudes de phishing del mundo real para probar se centran en el robo de credenciales, no en otros tipos de estafas. Pero no dudo ni por un segundo que los estafadores de virus están ahí fuera, en vigor.
Para obtener consejos específicos sobre cómo protegerse de este tipo de amenazas, lea Cómo detectar y evitar las estafas relacionadas con el COVID-19.
Cómo funcionan las estafas de phishing
La clave para ejecutar una estafa de phishing de robo de credenciales es crear una réplica de un sitio web seguro que sea lo suficientemente bueno como para engañar a la mayoría de las personas, o incluso solo a algunas personas. Con las falsificaciones más elegantes, todos los enlaces van al sitio real. Bueno, todos los enlaces excepto el que envía su nombre de usuario y contraseña a los perpetradores. Como guinda del pastel, los estafadores pueden intentar crear una URL que parezca al menos un poco legítima. En lugar de paypal.com, quizás pyapal.com o paypal.security.reset.com.
Sin embargo, no todas las páginas de phishing están bien hechas. Algunos usan los colores incorrectos o no logran igualar la página que imitan. Otros tienen direcciones URL totalmente poco convincentes, como admin.dentistry.com/forms o X8el87.journal.com. Incluso estas falsificaciones poco convincentes pueden atrapar algunos tontos, aparentemente, o los estafadores se darían por vencidos.
Cuando ingresa su nombre de usuario y contraseña en un sitio de phishing, los propietarios del sitio obtienen acceso completo a su cuenta. Para evitar que se dé cuenta de que ha sido estafado, es posible que pasen las credenciales al sitio real, para que parezca que inició sesión normalmente. Su única pista puede venir cuando descubre que su cuenta bancaria está vacía, o que no puede iniciar sesión en su correo electrónico, y sus amigos dicen que están recibiendo spam de usted. Entonces, ¿cómo te blindas contra este tipo de ataque?
Elimina lo obvio
Algunos sitios web falsos están demasiado mal implementados para convencer a cualquiera que esté prestando atención. Si se vincula a un sitio y parece basura, presione Ctrl+F5 para recargar totalmente la página, en caso de que la mala apariencia fuera una casualidad. Pero si todavía no se ve bien, manténgase alejado.
Echa un vistazo a la página de arriba. El formato es extraño, y es más extraño a medida que cambia el ancho de la ventana del navegador. Las etiquetas de los campos de correo electrónico y contraseña se mueven de forma diferente a los campos de entrada de datos correspondientes. ¿Qué tan difícil hubiera sido centrar todo el contenido?
Cuando crea una página de phishing, la verosimilitud es esencial. Usar un servicio de alojamiento web gratuito que deja su banner en su página o su dominio en su URL es una especie de obsequio. Aun así, cada vez que ejecuto una prueba de protección contra phishing, encuentro un puñado de falsificaciones como esta que ni siquiera lo intentaron. ¿Quién creería que Facebook usa 000webhostapp.com?
Verifique la dirección
Los navegadores web modernos se están alejando de un gran enfoque en la barra de direcciones. Ahora es la barra de búsqueda y dirección, como mínimo. Pero esa barra de direcciones es un recurso extremadamente importante cuando miras una página para confirmar que es legítima. Los mejores rastreadores de phishing pueden detectar una URL fuera de lugar con el rabillo del ojo, sin siquiera pensar en ello.
Tenga cuidado con los intentos de ocultar la parte del dominio real de la URL. Esa es la parte que precede inmediatamente al .com, .net, .org, etc. final. Todo lo que viene antes del dominio es solo un subdominio. Si existiera la URL fakery.paypal.com, sería un subdominio de paypal.com. Si, en cambio, ve paypal.fakery.com, bueno, ¡eso es pura falsedad!
Los ataques de phishing a las cuentas de Dropbox u otras cuentas de almacenamiento en línea no tienen el valor garantizado que obtienen los ladrones al capturar los inicios de sesión bancarios. Por el contrario, las personas no aplican necesariamente el mismo nivel de vigilancia a estas cuentas. Cualquier cosa puede aparecer en el almacenamiento en línea, desde una lista de pedidos de galletas de Girl Scouts hasta planes secretos para una misión a Marte. Del mismo modo, no hay mucho potencial de ingresos obvio en la captura de inicios de sesión para la transmisión de medios, pero el acceso a esa cuenta podría comprometer alguna cuenta más importante con las mismas credenciales. Eche un vistazo a la barra de direcciones en la imagen de arriba. ¡Incluso si inicia sesión en Netflix estafando las credenciales de un amigo idiota, seguramente no verá "amigo idiota" en la URL!
Aquí hay otra rareza. Claramente, la URL no representa a Xfinity, a Comcast ni a ninguna marca relacionada. Pero más allá de eso, el navegador muestra una gran bandera roja, señalando que el certificado de seguridad del sitio ha sido revocado. Sí, los webmasters de sitios válidos ocasionalmente cometen errores y dejan que sus certificados caduquen, pero esta página es claramente un fraude.
Busca la cerradura
El sistema de comunicaciones del Protocolo de transferencia de hipertexto (HTTP) utilizado para la comunicación básica por Internet es un vestigio de los primeros días de la red mundial. No es seguro, porque nadie imaginó que otros hicieran cosas malas en el naciente internet. Bueno, la gente mala está aquí, y la única forma sensata de conectarse es usar el protocolo seguro HTTPS. Los navegadores web muestran un icono de candado para las páginas HTTPS. Chrome va un paso más allá y marca activamente los sitios HTTP como "No seguros". Nunca debe iniciar sesión en ningún sitio que no use HTTPS.
"Pero espere", puede argumentar, "¿qué pasa con un sitio legítimo que simplemente no ha llegado a ser seguro?" Lo siento, no lo compro. En esta era de HTTPS Everywhere no hay excusa. Un sitio que quiere que inicies sesión sin usar HTTPS, incluso si no es un fraude, simplemente no es legítimo.
Si no nota el dominio .ru, esta página puede parecer una página de inicio de sesión legítima de Amazon. Tenga en cuenta, sin embargo, que no hay bloqueo y que la dirección comienza con http:, no https:. No toque esta página; es malvado!
Recomendado por Nuestros Editores
A veces, simplemente no se puede saber mirando. El sitio web de Commonwealth Bank llama a su sistema bancario en línea Netbank. La página segura de netbank.com que se muestra arriba parece legítima. Si no está seguro, un vistazo rápido a los datos de whois para el dominio puede ayudarlo a tomar una decisión. Creo que podemos estar de acuerdo, es muy poco probable que el sitio real del Commonwealth Bank estacione su alojamiento con CrazyDomains.com.
Considere la fuente
Lo has escuchado un millón de veces. No haga clic en enlaces en mensajes de correo electrónico de personas que no conoce. No hagas clic en los enlaces de los mensajes de personas que conoces, ya que pueden haber sido pirateados. ¡Este es un buen consejo! Hacer clic en un enlace aleatorio podría llevarlo a un sitio de alojamiento de malware o a un fraude. Cuando el enlace lo lleva a una página de inicio de sesión, es especialmente importante considerar la fuente.
Es posible que reciba un mensaje de correo electrónico de su banco, aunque muchos bancos evitan esa forma de comunicación. Si hizo clic en un enlace en un sitio no relacionado y terminó en el inicio de sesión del Banco de Armorica, es muy probable que sea falso.
Nuestras utilidades antivirus mejor valoradas
Ver todo (4 artículos)
Pero, ¿qué pasa si su banco, el IRS o PayPal realmente están tratando de comunicarse con usted por un problema con su cuenta? La solución es simple: omita el enlace e inicie sesión en el servicio directamente, como lo haría normalmente.
Obtenga ayuda para combatir el phishing
Burlar a los estafadores, detectar sus artimañas más astutas, te da una buena sensación, seguro. Pero es posible que mañana no esté tan listo, por lo que vale la pena obtener ayuda en la lucha contra las estafas de phishing. Los navegadores modernos tienen protección integrada contra sitios fraudulentos y hacen un trabajo decente. La mayoría de los productos antivirus y de paquetes de seguridad agregan su propia protección contra el phishing; los mejores obtienen puntajes de hasta 100 por ciento de protección en nuestras pruebas.
El uso de un administrador de contraseñas también lo ayuda a mantenerse alejado de los fraudes. Con la mayoría de estos productos, puede visitar un sitio seguro e iniciar sesión con un solo clic. Y si de alguna manera logra llegar a un sitio fraudulento, el hecho de que su administrador de contraseñas no complete las credenciales de inicio de sesión guardadas es una gran señal de alerta.
Los internautas más inteligentes usan una red privada virtual o VPN para sus actividades en línea. El uso de una VPN protege sus datos en tránsito, porque los datos viajan en forma encriptada al servidor VPN. También ofrece cierta protección contra el acoso cibernético, porque su tráfico parece provenir del servidor VPN, no de su dirección IP local. Pero enrutar el tráfico web a través de una VPN no ayuda en absoluto contra el phishing. Cuando proporciona sus credenciales a los propietarios de un sitio de phishing, no importa cómo llegaron allí. Los ataques de phishing se dirigen a usted , no a sus dispositivos o sistemas de comunicación.
El phishing es más frecuente de lo que cree. Para obtener las imágenes de este artículo, tomé las últimas cinco o seis docenas de fraudes verificados de un popular sitio de seguimiento de phishing y los analicé en busca de buenos ejemplos. Sí, las páginas fraudulentas se incluyen rápidamente en la lista negra, pero los estafadores simplemente se cierran y aparecen con una nueva página fraudulenta.
Protéjase del phishing
Para evitar el dolor de ser estafado con el efectivo que tanto necesita, o la vergüenza de entregar sus datos confidenciales a un fraude, utilice los recursos disponibles, como los administradores de contraseñas y el sistema de detección de phishing en su antivirus. Pero mantén tus propios ojos abiertos, para detectar cualquier fraude que pase. Si una página proviene de un enlace sospechoso, si no hay un bloqueo HTTPS en la barra de direcciones, si se ve mal de alguna manera, ¡no la toques! Su vigilancia dará sus frutos.