Cerrar panel

Cerrar panel

Cerrar panel

Cerrar panel

Un ejemplo de phishing paso a paso

¿Cómo funciona el phishing? En este post vamos a poner un ejemplo de cómo se realiza un phishing bancario y qué se encuentra la víctima de la estafa paso a paso: desde que recibe el correo electrónico hasta que cae en la trampa que acaba robándole sus datos.

El phishing es una estafa informática con la que se convence a una persona para que de a sus “estafadores” algún tipo de información bancaria relevante, como puede ser su clave de acceso a la banca electrónica o los datos de su tarjeta de crédito. En este tipo de estafas, se convence a la vícitima, por lo que en informática se conocen como técnicas de ingeniería social.

Todo comienza con un correo electrónico no deseado, o spam, que en este caso no superó el filtro del servicio de correo electrónico gratuito. A pesar de ello, como a veces el correo legítimo no atraviesa los filtros y se queda con el no deseado, comprobar esta “bandeja” no resultaría extraño. Otra opción podría ser que el filtro de correo electrónico no hubiera sido capaz de detener el intento de estafa. El texto que contiene este correo es el siguiente:

“Todas las cuentas deben ser actualizados antes del 14-09-2016 con ayuda del nuevo sistema de seguridad por teléfono. Su cuenta no se ha actualizado y nos hemos visto obligados a suspender temporalmente el acceso online. Para actualizar tu cuenta y tener una mayor seguridad bancaria, por favor haga clic en el siguiente enlace:
www.urlfraudulenta.com
Gracias por su tiempo!”

Como podemos observar, el correo es bastante escueto y está mal redactado (falta el signo de abrir exclamación). No obstante, la ortografía y gramática utilizadas en este tipo de estafas han mejorado notablemente en los últimos años, ya que al comienzo estaban plagadas de incorrecciones.

Otra característica que debería hacernos sospechar es la url, ya que si nos paramos a examinarla, podríamos darnos cuenta de que no nos está dirigiendo a la página que parece, sino que lo hace a otra completamente distinta. En este caso ha sido un e-mail de alguien que se identifica como la entidad bancaria X. Supongamos que a pesar de las advertencias, caemos en la trampa. En ese caso, tras pinchar en el enlace que abrimos en una nueva pestaña nos aparece el siguiente texto:

“¡Sitio web reportado como falsificación!
Este sitio web en nanop.oohyaa.com ha sido reportado como una falsificación web y ha sido bloqueado basándose en sus preferencias de seguridad.
Las falsificaciones de webs son diseñadas para intentar engañar al usuario para que revele información personal o financiera imitando fuentes en las que confía.
Introducir cualquier información en esta página web puede resultar en un robo de identidad o en otro tipo de fraude.”

A pesar de esta fuerte advertencia del navegador, que quizás podría echarnos para atrás, supongamos que seguimos adelante. O tal vez no aparece la advertencia porque utilizamos un navegador anticuado o porque no haya sido reportada como una web diseñada con malas intenciones. Y por lo tanto, ¿qué es lo próximo que nos encontramos?

Tenemos una página web que imita a la de la entidad bancaria X, aunque no se trata de ella. Podemos además comprobar que la url, aunque contiene las letras que corresponden con el nombre de la entidad X, no se trata de la url del banco. Una solución bastante efectiva ante estas circunstancias podría ser la de teclear nosotros mismos la url de nuestra entidad financiera evitando acceder a través del enlace proporcionado.

A partir de aquí, todo lo que introduzcamos en esta web fraudulenta será registrado y utilizado en nuestra contra. Si le proporcionamos los datos de nuestra tarjeta de crédito, gastarán todo el crédito disponible. Si le facilitamos datos suficientes como para realizar una transferencia, transferirán todo el saldo disponible de nuestra cuenta a otra. Y por supuesto, ese dinero será prácticamente imposible de recuperar.

En definitiva, resulta imprescindible tener en cuenta los filtros que nos advierten de que el correo electrónico no es legítimo, además de los indicios que pueden llegar a hacernos sospechar.

Otras historias interesantes