Los cibercriminales usan una variedad de trucos para que sus estafas resulten convincentes. Además de crear una falsa sensación de urgencia, aquí tienes señales de alerta que te ayudarán a detectar intentos de phishing.
1. Enlaces y archivos adjuntos
Un componente central de todo intento de phishing es un enlace o archivo adjunto malicioso. Los estafadores suelen usar acortadores de URL o crear enlaces que se ven similares a los genuinos, pero con cambios sutiles (por ejemplo, "Paypal-login.net" en lugar de "Paypal.com"). No hagas clic en enlaces sospechosos sin antes pasar el cursor sobre ellos para ver la URL real. Desconfía si la URL de destino te da una sensación extraña o no coincide con la empresa que dice representar. La misma regla aplica a archivos adjuntos o archivos no solicitados, en especial aquellos con extensiones como .zip, .exe o .scr. Es probable que alguien esté haciendo phishing en tu bandeja de entrada y quiera acceder a tu información confidencial.
2. Saludos genéricos
Las empresas legítimas suelen dirigirse a ti por tu nombre en un correo. Pero los correos de phishing son más impersonales, con introducciones como "Estimado cliente", "Miembro valioso" o incluso "Hola". Esto se debe a que los estafadores envían estos mensajes en masa y (todavía) no tienen tus datos personales.
3. Gramática y ortografía deficientes
Incluso con IA y técnicas de phishing más sofisticadas, los hackers siguen cometiendo errores gramaticales, errores ortográficos y torpezas en la redacción. Un correo supuestamente de un banco importante o una empresa tecnológica lleno de errores tipográficos es una señal clara de que algo anda mal y tus credenciales están en riesgo.
4. Solicitudes de información personal
Si tu banco, el IRS o grandes empresas (piensa en Apple o Amazon, por ejemplo) te piden información confidencial como tu contraseña, tu número de seguro social o los datos de tu tarjeta de crédito por correo electrónico, se trata de un intento de phishing. Las solicitudes para "verificar" tu cuenta ingresando datos personales son un intento directo de robar tus credenciales, no una actualización legítima de los datos de tu cuenta por parte de la empresa.
5. Dirección de correo del remitente que no coincide
Siempre revisa la dirección de correo del remitente. A primera vista, puede parecer real, pero al examinarla más de cerca, a menudo encontrarás inconsistencias. Por ejemplo, un correo que finge ser de Netflix podría venir de "[email protected]" en lugar de un dominio oficial "@netflix.com". Los estafadores suelen crear dominios que difieren solo en uno o dos caracteres del real, lo que dificulta que los usuarios finales noten la diferencia. Mira este video para aprender más.
6. Formato inusual
El diseño del mensaje, el logo o el diseño general no coinciden del todo con las comunicaciones oficiales de la organización. Los colores podrían ser ligeramente distintos, podrían faltar datos de contacto o estos podrían ser falsos en el diseño, o el logo podría tener una resolución más baja de lo normal. Presta atención a las diferencias sutiles de formato que te alerten sobre comportamientos maliciosos.
7. Ofertas o recompensas demasiado buenas para ser verdad
Ganaste un concurso en el que no recuerdas haber participado, hay un megadescuento o una oportunidad exclusiva... si solo haces clic en el enlace. Los estafadores usan premios y recompensas como carnada en las estafas de phishing para robar información personal. Si parece demasiado bueno para ser verdad, lamentablemente, probablemente lo sea.
Phishing real, consecuencias reales
Aquí tienes algunos tipos de estafas de phishing a los que debes prestar atención.
- Señuelos de buzón de voz: Los atacantes aprovechan las llamadas perdidas y los mensajes de voz para engañar a las víctimas. Te engañan para que hagas clic en un enlace para "escuchar el mensaje de voz" o "leer una transcripción". En realidad, esto lleva a una página maliciosa que roba tus credenciales o instala malware.
- Códigos QR: Para evitar el escrutinio de seguridad en torno a enlaces maliciosos, hemos visto que los atacantes recurren a códigos QR en su lugar. Hay menos conciencia entre los usuarios finales sobre la seguridad del código QR, y a menudo los escanean con dispositivos personales, fuera de los controles de seguridad de la organización.
Suplantación de firma electrónica: Los atacantes usan enlaces maliciosos a documentos de firma electrónica, en especial imitaciones que se parecen a Docusign y Adobe. Cuando las víctimas hacen clic para "revisar el documento", son redirigidas a un sitio malicioso que roba credenciales o instala malware.
