UNIR Revista
La técnica de ciberdelincuencia a través de la que se suplanta la identidad de otro para tratar de conseguir información confidencial es lo que se denomina phishing y está a la orden del día.
Todo usuario de correo electrónico ha recibido alguna vez un email en el que, simulando hablar en nombre de una compañía determinada u organismo público, lo instaban a hacer clic en un link para introducir datos como su DNI, contraseña bancaria o número de la tarjeta de crédito. A esta metodología de ingeniería social se la conoce como phishing y es una de las técnicas fraudulentas más empleadas en la actualidad.
La lucha contra la ciberdelincuencia es un sector en plena expansión y quienes deciden apostar por esta especialización gozan de excelentes expectativas laborales. El Máster en Ciberdelincuencia online de UNIR aporta las herramientas necesarias para identificar, entender y reconocer las actividades ilícitas en el mundo digital, tanto dirigidas hacia empresas como hacia particulares.
¿Qué es el phishing?
Lo primero que se debe tener claro para entender qué es el phishing es que se trata de una técnica de ciberdelincuencia que se ha convertido en una de las amenazas más comunes del entorno digital. Consiste en suplantar la identidad de entidades o personas de confianza con la finalidad de obtener información sensible de las víctimas, como datos personales, contraseñas bancarias o credenciales de acceso.
El término proviene de la palabra inglesa fishing, que significa pesca, aludiendo a la manera en la que los ciberdelincuentes actúan, puesto que lanzan un anzuelo para intentar pescar los datos de sus presas. Este tipo de estafas se han vuelto cada vez más sofisticadas, adaptándose a las nuevas tecnologías y plataformas digitales.
Según se recoge en el informe de la consultora Interisle Consulting Group titulado Phishing Landscape 2024: A Study of the Scope and Distribution of Phishing, más del 90 % de los ciberataques comienzan con el phishing. Este dato pone de manifiesto la enorme relevancia que tienen este tipo de fraudes por internet y la necesidad de estar bien informados para poder protegernos.
Algunas de las formas en las que el phishing puede manifestarse son:
- Correos electrónicos. Es el método más común, consistente en el envío de un mail que parece provenir de una fuente legítima.
- SMS o WhatsApp. En este caso recibe el nombre de smishing y la vía de acceso es la mensajería instantánea.
- Llamadas telefónicas. Cuando los estafadores se hacen pasar por representantes de empresas o entidades oficiales para cometer el delito se habla de vishing.
- Redes sociales. El phishing en redes sociales consiste en el uso de perfiles falsos o mensajes directos para realizar el engaño.
- Sitios web falsos. También se pueden crear réplicas de páginas web legítimas con el fin de capturar datos de los usuarios que caigan en la trampa.
Entender que el phishing no se limita a un solo canal de comunicación, sino que está en constante evolución para adaptarse a las nuevas tecnologías y hábitos de los usuarios es fundamental para comprenderlo y evitarlo.
Tipos de ataques de phishing
Los ataques de phishing no han dejado de evolucionar desde que surgieron, dando lugar a diferentes variantes. Algunos de los más comunes son:
- Phishing bancario. Se centra en suplantar la identidad de entidades financieras para obtener los datos bancarios de sus usuarios.
- Spear phishing. Es un ataque que se dirige a individuos o empresas específicas, por lo que utiliza información personalizada para aumentar la credibilidad del engaño.
- Whaling. Aunque se parece al spear phishing, en este caso el ataque se centra en altos ejecutivos o figuras importantes dentro de una organización.
- Clone phishing. Consiste en replicar correos electrónicos legítimos, pero adjuntando enlaces o archivos maliciosos.
- Pop-up phishing. Emplea las ventanas emergentes en determinados sitios web para engañar a los usuarios y obtener información sobre ellos.
- Evil twin. Crea redes Wi-Fi falsas que imitan a las legítimas, con la finalidad de interceptar los datos de los usuarios que se conectan a ellas.
¿Cómo reconocer el phishing?
Conocer qué es el phishing y cómo evitarlo es el primer paso para combatirlo. Así, saber detectar un intento de phishing o suplantación de identidad resulta crucial para protegerse de este tipo de ataques. Esta son algunas claves para reconocer el phishing:
- Remitente. Es preciso verificar cuidadosamente la dirección del correo electrónico que consideremos sospechoso, ya que los ciberdelincuentes suelen utilizar dominios que se parecen a los oficiales, pero que difieren en algún detalle.
- Urgencia y presión. Los mensajes susceptibles de ser phishing, a menudo están redactados de forma que el remitente sienta una urgencia tal que lo obligue a actuar sin pensar.
- Solicitud de ciertos datos. Las entidades legítimas nunca nos pedirán datos sensibles o confidenciales por correo electrónico o mensajes, por lo que si nos los están requiriendo, debería hacernos sospechar.
- Diseño poco cuidado y faltas de ortografía. Cuando el diseño de la web o del correo electrónico parezca de baja calidad y tenga faltas ortográficas, es mejor desconfiar.
- Saludo genérico. Si el mensaje no cuenta con un saludo personalizado, hay que desconfiar, puesto que las entidades de las que somos clientes se dirigirán a nosotros por nuestro nombre.
- Archivo adjunto. Un correo que solicita descargar un archivo adjunto, sobre todo si posee varias extensiones, es altamente sospechoso de ser
Según los datos del estudio realizado por el Instituto Nacional de Ciberseguridad (INCIBE), el phishing continúa siendo el suceso más destacado por su importancia y su recurrencia, con un total de 14.261 incidentes gestionados en 2023.
Ejemplos de phishing
Para entender mejor qué es el phishing informático, siempre es conveniente conocer casos prácticos de cómo se llevan a cabo estas ciberestafas. El phishing tiene ejemplos variados hoy en día y estos son algunos de los más comunes:
- Correo de una supuesta entidad bancaria. Recibir un email que parece ser de nuestro banco solicitando que actualicemos las credenciales de acceso por motivos de seguridad es uno de los ejemplos de phishing más habituales hoy en día.
- Notificación de paquete entregado. Otro engaño común consiste en recibir un mensaje que simula ser de una empresa de paquetería en la que se solicita hacer clic en un enlace para programar una nueva entrega de un paquete.
- Atractiva oferta de trabajo. Se envía por email una oferta de trabajo con un salario extraordinario y unas condiciones excelentes, pero que requiere el envío de información personal detallada.
- Alerta de cuenta de redes sociales comprometida. Este intento de phishing consiste en enviar un mensaje que parece provenir de una red social en el que se informa de que nuestra cuenta ha sido jaqueada y es preciso cambiar la contraseña.
- Promoción de una tienda online En este caso el engaño implica enviar un correo con ofertas de una tienda famosa a las que se debe acceder por medio de un enlace que redirige a una página web falsa.
Todos estos ejemplos de phishing sirven para ilustrar la gran variedad de técnicas que los ciberdelincuentes utilizan para engañar a sus víctimas y poder estar prevenidos ante este tipo de fraudes por internet.
El phishing es, hoy en día, una de las amenazas más recurrentes que debe enfrentar la ciberseguridad. Conocerlo bien resulta fundamental para no caer en estas trampas, que con la llegada de la inteligencia artificial se han hecho más sofisticadas.
