Phishing, qué es y cómo evitarlo

Phishing o suplantación de identidad es un término informático que denomina un modelo de abuso informático que se comete mediante el uso de un tipo de ingeniería social. Se caracteriza por intentar adquirir información confidencial de forma fraudulenta.

La información que se obtiene puede ser tan variada como una contraseña, información detallada sobre tarjetas de crédito o cualquier información bancaria. Se considera phising también, la lectura por parte de terceras personas, de las letras y números que se marcan en el teclado de un ordenador o computadora.

El cibercriminal, conocido como phisher, se hace pasar por una persona o empresa de confianza en una aparente comunicación oficial electrónica, por lo común un correo electrónico, o algún sistema de mensajería instantánea. O, incluso, utilizando también llamadas telefónicas.

Dado el creciente número de denuncias de incidentes relacionados con el phishing o pharming, se requieren métodos adicionales de protección. Se han realizado intentos con leyes que castigan la práctica y campañas para prevenir a los usuarios con la aplicación de medidas técnicas a los programas.

Decálogo para luchar contra el phishing

El Media Center de Panda, una de las más potentes compañías antivirus del mundo, recomienda este decálogo para evitar este tipo de estafas y fraudes.

En la introducción de este decálogo se apunta que “hasta ahora los hackers han utilizado los correos electrónicos para lanzar este tipo de ataques, pero con el uso masivo de redes sociales y smartphones con conexión a Internet, las vías de ataque se están multiplicando.

Estos correos electrónicos o mensajes incluyen un enlace que lleva al usuario a un sitio web en teoría conocido, pero que es una copia del original donde se solicita información confidencial. De esta manera, usuarios demasiado confiados y que no dispongan de una protección antivirus adecuada, podrían verse involucrados en este tipo de ataques que tienen como principal objetivo el robo de datos personales”.

El decálogo que se propone es el siguiente:

Aprende a identificar claramente los correos electrónicos sospechosos de ser phishing.
Verifica la fuente de información de tus correos entrantes.
Nunca entres en la web de tu banco pulsando en links incluidos en correos electrónicos.
Refuerza la seguridad de tu ordenador.
Introduce tus datos confidenciales únicamente en webs seguras.
Revisa periódicamente tus cuentas.
No sólo de banca online vive el phishing.
El phishing sabe idiomas.
Ante la mínima duda sé prudente y no te arriesgues.
Infórmate periódicamente sobre la evolución del malware.

Otras medidas para combatir el phishing

En España, la Guardia Civil toma buena nota de este tipo de delitos. Para ello, ha creado el Grupo de Delitos Telemáticos, que ha identificado un buen ejemplo para reconocer esta técnica fraudulenta y evitarla:

Unos cibercriminales están enviando correos electrónicos emulando ser la Agencia Tributaria Española, comunicando a los receptores, de los miles de correos enviados, que tras unos cálculos se va a proceder al reembolso de una cantidad de dinero. Para proceder al cobro deberán acceder, a través de un enlace propuesto en el propio correo, a una página web que emula ser la propia Agencia Tributaria.
Sin embargo, el objeto de esta web maliciosa que no es realmente la de la Agencia, es obtener todos los datos relativos a la tarjeta de crédito de la víctima, incluidos los datos de seguridad de la tarjeta.

Las medidas que se proponen desde el Grupo de Delitos Telemáticos de la Guardia Civil para combatir este fraude son:

La Agencia Tributaria, así como cualquier entidad bancaria, nunca solicitará mediante correo electrónico tus credenciales de acceso a banca online o datos de tus cuentas bancarias y tarjetas de crédito.
Nunca debes aportar tus credenciales bancarias mediante correo electrónico. Aunque en el mismo te soliciten urgentemente las mismas ante cualquier vicisitud. Siempre que recibas este tipo de solicitudes lo debes consultar con tu entidad o directamente, en este caso con la propia Agencia Tributaria.
Cuando recibas un correo electrónico de cualquier entidad debes siempre comprobar que el correo proviene de una cuenta de correo electrónico corporativa. Nunca debes dar como válidos los que provengan de cuentas de correo ajenas al servicio que se pone en contacto contigo.
Si en el correo electrónico te proponen un acceso a una página web comprobarás que la dirección de la misma corresponde con el organismo oficial, en este caso la Agencia Tributaria, o el banco que presuntamente te contacta. No dando continuidad a ninguna acción cuando se detecten direcciones web extrañas.
Si tienes instalados en tus dispositivos, incluidos los móviles, una solución antivirus, y tienes el navegador actualizado, es posible que recibas un aviso de intento de phishing en el caso de acceder a una página maliciosa.