Phishing: qué es y cómo protegerse de la ciberpesca
¿Qué es el Phishing?
El phishing, también conocido como ciberpesca, es un término informático que engloba un conjunto de técnicas diseñadas para engañar a una víctima. El objetivo principal es ganarse su confianza, haciéndose pasar por una persona, empresa o servicio de confianza (suplantación de identidad). Una vez establecida esa confianza, se manipula a la víctima para que realice acciones que no debería, como revelar información confidencial o hacer clic en enlaces maliciosos.
Para lograr el engaño, los ciberdelincuentes, conocidos como ‘phishers’, suelen recurrir a la ingeniería social. Explotan instintos humanos básicos como la necesidad de ayudar, la eficiencia, la adulación (aprovechando la vanidad o baja autoestima) o la búsqueda de oportunidades, como en el caso de quienes buscan empleo. Un ejemplo común es el envío masivo de correos electrónicos o la aparición de publicidades que prometen premios o beneficios falsos, actuando como un ‘cebo’ para que la víctima haga clic en un enlace.
Aunque el objetivo más frecuente es robar información sensible (contraseñas, datos bancarios), el phishing también puede utilizarse para instalar software malicioso (malware), sabotear sistemas o robar dinero directamente a través de fraudes. Se considera una de las técnicas más empleadas para el robo de contraseñas.
¿Cómo Funciona el Phishing?
El término ‘phishing’ proviene de la palabra inglesa ‘fishing’ (pesca), haciendo alusión a la práctica de lanzar un cebo y esperar a que las víctimas ‘muerdan el anzuelo’. Los cebos pueden ser muy variados.
Existen diversas técnicas de phishing, que se pueden clasificar según su objetivo, el medio utilizado o el modo de operación. Algunas de las más frecuentes son:
- Phishing general (Bulk Phishing o Spray and pray): Consiste en el envío masivo de correos electrónicos a un gran número de usuarios. Estos mensajes suplantan la identidad de entidades de confianza (como bancos) y buscan engañar al receptor para obtener información. A menudo incluyen enlaces a dominios maliciosos, donde el texto visible del enlace puede ser una URL legítima, pero el enlace real dirige a un sitio fraudulento.
- Vishing: Es similar al phishing tradicional, pero el engaño se realiza a través de llamadas telefónicas. El término es una contracción de ‘voice’ (voz) y ‘phishing’. Un ejemplo típico es cuando un ciberdelincuente, tras haber robado información, llama a la víctima haciéndose pasar por personal del banco. Utilizando mensajes alarmistas, intenta que la víctima revele códigos SMS o tokens digitales necesarios para autorizar transacciones fraudulentas.
- Smishing: El engaño se produce mediante mensajes de texto (SMS) o aplicaciones de mensajería instantánea (como WhatsApp). Un ejemplo común es recibir un mensaje que simula ser de tu banco, alertando sobre una compra sospechosa y proporcionando un número de teléfono falso para contactar. Al llamar, el ciberdelincuente solicita información confidencial para ‘cancelar’ la compra. Otra variante incluye enlaces a webs fraudulentas.
- QRishing: Utiliza códigos QR manipulados. Al escanear un código QR fraudulento, la víctima es redirigida a una página web o aplicación suplantada, diseñada para obtener su información privada.
- URL Phishing: Se enfoca en engañar al usuario para que crea que está accediendo a una URL legítima cuando en realidad es un sitio malicioso. Esto puede ocurrir al escribir dominios con errores tipográficos cercanos al legítimo, seguir enlaces que parecen correctos o mediante el uso de caracteres similares.
¿Por Qué Importa en Seguridad y Cómo Protegerse?
El phishing es una amenaza significativa porque explota la confianza y la psicología humana, permitiendo a los ciberdelincuentes acceder a información valiosa que puede ser utilizada para cometer fraudes, robo de identidad o extorsión. La creciente sofisticación de estos ataques hace que sea crucial estar alerta.
Para protegerse, es fundamental seguir estas recomendaciones:
- Desconfía de comunicaciones no solicitadas: Sé escéptico ante correos electrónicos, mensajes o llamadas que soliciten información personal o financiera, especialmente si son urgentes o alarmistas.
- Verifica la identidad: Si recibes una comunicación de una entidad que parece legítima pero te genera dudas, contacta directamente con ellos a través de sus canales oficiales (teléfono o web que conozcas previamente), no uses los datos proporcionados en el mensaje sospechoso.
- No hagas clic en enlaces sospechosos: Pasa el ratón por encima de los enlaces en correos electrónicos para ver la URL real antes de hacer clic. Si parece extraña, no la visites.
- Revisa la URL de los sitios web: Asegúrate de que la dirección web sea correcta y segura (empiece por ‘https://’ y tenga un icono de candado).
- Utiliza contraseñas seguras y únicas: Emplea contraseñas complejas y diferentes para cada servicio. Considera el uso de un gestor de contraseñas.
- Activa la autenticación de dos factores (2FA): Siempre que sea posible, habilita esta capa adicional de seguridad que requiere un segundo método de verificación además de la contraseña.
- Mantén tu software actualizado: Las actualizaciones suelen incluir parches de seguridad que protegen contra vulnerabilidades conocidas.
- Educa y conciénciate: Estar informado sobre las tácticas de phishing es la mejor defensa. Comparte esta información con familiares y amigos.
Aunque existen esfuerzos legislativos y medidas técnicas para combatir el phishing, la concienciación y la prudencia del usuario siguen siendo la primera línea de defensa.
Referencia: Wikipedia