Casi todos han recibido alguna vez ese correo del banco o de la empresa de mensajería que avisa de un problema con un paquete o una transferencia, con la orden implícita de actuar de inmediato. Ese truco, viejo como el mundo pero maquillado para la era digital, se llama phishing. En el fondo es un engaño basado en la suplantación de identidad, donde el ciberdelincuente se hace pasar por alguien de confianza para que, sin darnos cuenta, le entreguemos las llaves de nuestra vida digital.
Lo más traicionero es que estos ataques no rompen la seguridad de un servidor con códigos imposibles. Van directos al eslabón más frágil, que es la psicología humana. Jugando con el miedo a perder dinero o con la urgencia de resolver un trámite, los atacantes consiguen que seamos nosotros mismos quienes abrimos la puerta al robo de contraseñas, datos bancarios o incluso a la instalación de software malicioso.
Cómo funciona el engaño y qué variantes existen
El proceso tiene una hoja de ruta bastante clara. Primero el atacante prepara un cebo convincente, ya sea un correo, un mensaje de texto o una web que es calco de la original. Luego lanza el anzuelo y espera. Si la víctima pica, normalmente pasa una de tres cosas: hace clic en un enlace hacia un formulario falso, descarga un archivo con virus o responde revelando datos privados. Con esa información, el criminal puede vaciar cuentas o usar la identidad para nuevos ataques.
No todos los ataques son iguales. El spear phishing va dirigido a una persona concreta, tras investigarla en redes sociales. El whaling apunta a altos ejecutivos. El smishing llega por SMS y el vishing por llamada telefónica, donde alguien finge ser agente de seguridad bancaria. El pharming manipula el DNS para llevarte a una web falsa aunque escribas la dirección correcta, y el phishing con HTTPS abusa del candado verde del navegador para dar sensación de seguridad.
Link affiliatoSeñales de alerta y cómo defenderse
La inteligencia artificial ha subido el listón. Ya no hay faltas de ortografía que nos pongan en guardia, porque los mensajes salen hiperpersonalizados y casi indistinguibles de uno real. Aun así, siempre queda algún detalle que chirría. La presión constante es una: si el mensaje exige actuar «ahora mismo» bajo amenaza de cerrar la cuenta, mejor desconfiar. Conviene también revisar la dirección del remitente, porque a veces basta una letra cambiada, y pasar el cursor sobre los enlaces antes de pulsar.
Como escudo, la autenticación de doble factor es probablemente lo más eficaz, ya que aunque roben la contraseña no podrán entrar sin el código del móvil. A esto se suma mantener el sistema actualizado, usar filtros antispam y, en las empresas, formar a los empleados con simulacros. Si el golpe ya ocurrió, toca cambiar todas las contraseñas afectadas, avisar al banco para bloquear tarjetas y pasar un antivirus a fondo. Los sitios fraudulentos pueden reportarse con herramientas como el formulario de Navegación Segura de Google.
Fuente
Imagen: androidayuda.com