El phishing de credenciales es un tipo de ciberataque en el que los criminales te engañan para que entregues voluntariamente tus credenciales de inicio de sesión. No es un hackeo sofisticado, pero es increíblemente efectivo para los atacantes. Crean sitios web, correos o mensajes falsos que parecen legítimos para robar tus nombres de usuario y contraseñas y obtener acceso no autorizado a tus cuentas.

Así es como suele ocurrir un ataque típico de phishing de credenciales:

1. La preparación: los atacantes crean una página de inicio de sesión falsa que se parece inquietantemente a un sitio legítimo (como tu banco, correo o trabajo) que esperarías ver en tus mensajes.

2. El anzuelo: te envían un correo, mensaje de texto o mensaje desde otras aplicaciones de colaboración (Slack, Teams, etc.), insistiendo en que debes iniciar sesión de inmediato para resolver un problema.

3. El gancho: como eres una persona responsable, haces clic en el enlace e ingresas tus credenciales porque parece el sitio web real.

4. La cosecha: tu información de inicio de sesión acaba de llegar directamente al atacante.

Lo que hace que el phishing de recolección de credenciales sea tan peligroso es que los atacantes obtienen acceso instantáneo a tus cuentas sin necesidad de herramientas de hackeo sofisticadas. Tu confianza es el eslabón más débil en un ciberataque de recolección de credenciales. Y si no tienes MFA activado, es el fin del juego. Entran más rápido de lo que puedes desplazarte hasta el final de la página.

Giro inesperado. La recolección de credenciales y el phishing no son lo mismo. Veamos las diferencias porque son importantes para tus estrategias de seguridad.

El phishing es el término general más amplio para cualquier ciberataque que use el engaño para embaucar a las víctimas. Puede incluir cosas como:

• Distribución de malware

• Fraude financiero

• Robo de identidad

• Ingeniería social

El phishing de recolección de credenciales es un tipo específico de ataque de phishing enfocado únicamente en recolectar credenciales de inicio de sesión. Piénsalo así: todos los cuadrados son rectángulos (phishing), pero no todos los rectángulos son cuadrados (phishing de recolección de credenciales).

Los ataques de recolección de credenciales están enfocados por completo en tus credenciales de inicio de sesión. Son sumamente valiosas para los atacantes, y aquí te explicamos por qué:

• Se venden en mercados de la dark web

• Se usan para acceder a múltiples cuentas (tu recordatorio amistoso para dejar de reutilizar contraseñas)

• Se utilizan para ataques más sofisticados en el futuro

¿Listo para ponerte en el lugar del atacante? Veamos las tácticas de phishing de credenciales más comunes que usan los atacantes para robar tus contraseñas.

Phishing de credenciales por correo electrónico

Este es el enfoque por excelencia, y los atacantes siguen usándolo porque funciona. Envían correos que parecen provenir de fuentes confiables, como:

• Tu banco: "Se detectó actividad sospechosa. Verifica tu cuenta de inmediato."

• Departamento de TI: "Tu contraseña vence hoy. Actualízala ahora para mantener el acceso."

• Servicios populares: "Tu suscripción de Netflix fue suspendida. Haz clic aquí para reactivarla."

Estos correos suelen tener un tono dramático para hacerte actuar rápido, y están decorados con logotipos de apariencia oficial y enlaces a sitios web falsos muy convincentes.

Suplantación de sitios web

Si navegas distraídamente, como solemos hacer todos, podrías pasar por alto "amaz0n.com", que se parece mucho (pero no es igual) a "amazon.com". Los atacantes son expertos en crear sitios web idénticos usando:

• Nombres de dominio similares (suplantación de dominios por errores tipográficos)

• Diseño visual idéntico

• Certificados SSL válidos para mostrar el ícono de candado "seguro"

• URL realistas que redirigen a sitios maliciosos

Smishing y vishing

Los atacantes aprovechan cualquier tipo de comunicación para intentar robar tus valiosas credenciales. Así que no pongas todos los huevos en la canasta de tu bandeja de entrada: tu teléfono y tus redes sociales tampoco están exentos:

• Smishing: también conocido como phishing por SMS, consiste en enlaces a páginas de inicio de sesión falsas a través de mensajes de texto. Si tu cuenta de peaje está peligrosamente baja otra vez, créenos, no es el DMV el que te está enviando el mensaje. 

• Vishing: también conocido como phishing de voz, es cuando los atacantes intentan convencerte de compartir tus credenciales durante una llamada telefónica. Piensa en soporte técnico, pidiéndote acceso para "arreglar algo". 

• Mensajes en redes sociales: uno de esos supuestos 5.161 "amigos" que tienes podría compartir enlaces maliciosos que te pidan tus credenciales.

Compromiso de correo electrónico empresarial

Los atacantes conocen a su audiencia. En entornos corporativos, apuntan a cuentas de alto valor mediante:

• Hacerse pasar por ejecutivos de alto nivel o personal de TI

• Crear portales de inicio de sesión internos falsos

• Copiar la identidad visual y la terminología de la empresa

• Apuntar a empleados que saben que tienen acceso

Aquí tienes tu guía rápida de prevención de phishing de credenciales para ayudarte a detectar estas señales de alerta:

Lenguaje urgente o amenazante: "¡Actúa ahora o tu cuenta será cerrada!"

Saludos genéricos: "Estimado cliente" en lugar de tu nombre real

Direcciones de remitente sospechosas: revisa con cuidado. ¿Tu banco normalmente te envía correos sobre mover dinero entre cuentas?

Solicitudes inesperadas: ¿por qué Netflix necesitaría que verifiques tu número de seguro social para mantener tu cuenta activa? (Spoiler: no lo hacen.)

Mala gramática y ortografía: las empresas legítimas revisan sus comunicaciones antes de enviarlas a bases de datos masivas de correo 

URL que no coinciden: antes de hacer clic en cualquier enlace, tómate dos segundos para pasar el mouse sobre él y revisarlo con atención. ¿La URL coincide con el sitio web oficial de la empresa? Si no coincide, sigue de largo e ignóralo. 

Archivos adjuntos de remitentes desconocidos: nunca abras archivos adjuntos a menos que sepas quién los envía. Mejor aún, si sabes quién es, llámalo o envíale un mensaje para confirmar que realmente te envió el archivo. Los archivos adjuntos maliciosos son una forma común que usan los atacantes para distribuir malware.

Ofertas demasiado buenas para ser verdad: ¡ganaste un viaje a Tahití! Qué raro, porque no recuerdas haber participado en ningún concurso para ganar este premio único en la vida, ¡pero no importa! Solo haz clic en el enlace para compartir tus credenciales y así te enviarán toda la información. O bien, mantente alerta y desconfía de los correos que prometen grandes recompensas o ganancias financieras de la nada. Si parecen demasiado generosos, probablemente lo sean.

Solicitudes de información confidencial: las organizaciones legítimas, como tu banco, no piden información confidencial, como contraseñas o datos de tarjetas de crédito, por correo electrónico. Si tienes dudas, contacta a la empresa directamente por canales oficiales.

Al mantenerte alerta y reconocer estas tácticas comunes de phishing para robo de credenciales, puedes tomar medidas sólidas para proteger tu organización y a ti mismo de las amenazas cibernéticas. No confíes ciegamente en mensajes con enlaces sospechosos. Verifica la situación antes de hacer algo que involucre las credenciales de tu cuenta. No le des de comer al phishing: piensa antes de hacer clic.