El correo electrónico es una de las principales formas de comunicación. No solo lo usamos diariamente para el trabajo sino también para estar en contacto con nuestros amigos y familia. Además, en la actualidad el correo electrónico es la vía que utilizan la mayoría de las compañías para proporcionar servicios en línea, como la confirmación de tu compra o tus estados de cuenta bancaria. Debido a que mucha gente alrededor del mundo depende del correo electrónico, este se ha convertido en uno de los principales métodos de ataque usados por los cibercriminales. En este boletín explicaremos que es el phishing, un método de ataque común en el correo electrónico, y los pasos a seguir para usarlo de forma segura.
Phishing: Se refiere a un ataque que utiliza el correo electrónico o servicios de mensajería de redes sociales para estafarte o engañarte y tiene como fin que realices una acción, como abrir un archivo adjunto o hacer clic en una liga. Al ser víctima de este tipo de ataques corres el riesgo que información altamente sensible pueda ser robada y/o que tu computadora sea infectada. Los atacantes trabajan arduamente para hacer sus correos de phishing convincentes. Por ejemplo, pueden hacer que su correo phishing parezca venir de alguien que tú conoces, como un amigo o alguna compañía de confianza que frecuentemente usas. Incluso agregan logotipos de tu banco o falsifican direcciones de correo electrónico para que el mensaje parezca legítimo. Posteriormente, envían estos correos de phishing a millones de personas. No saben quién será víctima del ataque, todo lo que saben es que entre más correos envíen, mayor será la probabilidad de éxito. El phishing es similar a usar una red para pescar, no sabes qué atraparás pero entre más grande sea la red más peces obtendrás. Existen diferentes formas de phishing que los atacantes usan para obtener lo que quieren.
Recolectar información: El objetivo del atacante es extraer información personal como pueden ser tus contraseñas, números de tarjeta de crédito o datos bancarios. Para hacer esto, te envían un correo electrónico con una liga que te lleva a un sitio web que parece legítimo. Este sitio web solicita proporcionar información de tu cuenta o datos personales; sin embargo la página es falsa. Cualquier información que ingreses irá directamente al atacante.
Tu mejor defensa es el sentido común. Si un correo electrónico o mensaje parece extraño, sospechoso o muy bueno para ser verdad, puede ser un ataque de phishing.
Ligas maliciosas: El objetivo del atacante es tomar control de tu dispositivo. Para hacer esto, te envían un correo electrónico con una liga. Si haces clic en ella, te llevará a un sitio web que ejecutará un ataque en tu dispositivo e infectará tu sistema en caso de ser exitoso.
Archivos adjuntos maliciosos: El objetivo del ataque es el mismo: infectar y tomar control de tu dispositivo. Pero en vez de una liga, el atacante envía un correo electrónico con un archivo adjunto infectado, como puede ser un documento de Word. Cuando abres el documento se desencadena la intrusión, lo que podría dar al atacante el control de tu sistema.
Fraudes: Algunos correos de phishing no son otra cosa que estafadores que se han movido al mundo digital. Tratan de engañarte diciéndote que ganaste la lotería, pretendiendo ser una caridad que necesita donaciones o solicitándote ayuda para transferir millones de dólares. Si respondes a cualquier mensaje, te dirán que primero necesitan un pago por sus servicios o acceso a tu cuenta bancaria; si lo haces te defraudarán y robarán tu dinero.
Protegiéndote a ti mismo:
En casi todos los casos, abrir y leer un correo electrónico es seguro. Para que un ataque de phishing funcione, los atacantes necesitan engañarte para que hagas algo. Afortunadamente hay indicios para identificar un ataque. Aquí están los más comunes:
El correo electrónico crea un sentido de urgencia, demandando “acción inmediata” antes de que algo malo suceda, como el cierre de tu cuenta. El atacante quiere apresurarte para que cometas el error sin pensar.
Recibes un correo electrónico con un archivo adjunto que no esperabas o un mensaje persuasivo para que abras el archivo. Algunos ejemplos podrían ser un correo diciéndote que tiene un adjunto con los detalles de despidos sin previo aviso, información salarial de los empleados o una carta del servicio tributario avisándote que estás siendo procesado.
En vez de usar tu nombre, el correo usa un saludo genérico como “Estimado cliente”. La mayoría de las compañías o amigos que te contactan saben tu nombre.
El correo electrónico solicita información altamente sensible, como tu número de tarjeta de crédito o contraseñas.
El correo dice que proviene de una organización oficial, pero tiene una mala gramática u ortografía, o proviene de una dirección de correo electrónico personal como @gmail.com, @yahoo.com o @hotmail.com.
La liga parece extraña o no oficial. Un consejo es colocar el ratón sobre la liga hasta que un mensaje emergente muestre a dónde lleva la liga en realidad. Si la liga en el correo electrónico no coincide con el mensaje emergente, entonces no hagas clic en ella. En los dispositivos móviles si presionas la liga con el dedo se obtiene la misma ventana emergente. Algo más seguro es copiar y pegar la URL del correo electrónico en tu explorador web o escribiendo la liga correctamente.
Recibiste un mensaje de alguien que conoces, pero el tono o las palabras que usa simplemente no suenan a él o ella. Si tienes sospechas, llama al remitente para verificar si lo envió. Es fácil para un atacante crear un correo electrónico que parezca ser de un amigo o un compañero de trabajo. Si crees que un correo electrónico o mensaje es un ataque de phishing, simplemente bórralo. Por último, el sentido común es tu mejor defensa.
Tomado de: https://www.cucert.cu/index.php/noticias/1766-para-prevenir-el-phishing
Publicado el 15 de marzo de 2016.
Pingback: Mensajes que solicitan datos. ¿Una estafa en curso?. | Seguridad Informática. Universidad de Oriente, CUBA.