El término phishing proviene de la palabra inglesa “fishing” (pesca), haciendo alusión al intento de hacer que los usuarios “muerdan el anzuelo” y quien lo practica se le llama phisher. En el mundo en el que vivimos tenemos a nuestra disposición una herramienta que está cambiando la forma de entender la vida y los negocios. Internet, la red de redes, debido a su facilidad de uso y cercanía, hace que aumente el número de operaciones y transacciones monetarias que se realizan pero, lamentablemente, el número de estafas que se comenten a través de este medio también.
Se descubre en Madrid la existencia de ciberdelincuentes que suplantaban a la Policía y a la Sociedad General de Autores, SGAE, a través de un virus que bloqueaba el ordenador del usuario y le exigía el pago de una multa de 50 euros por supuestamente haberse descargado canciones de forma ilegal. En Granada se detecta la aparición de cuatro modalidades de estafa en ofertas de empleo a través de la Red.
En Toledo se detuvieron a cinco personas por vender teléfonos móviles por internet que una vez pagados, mediante giro postal o ingreso en cuenta, nunca enviaban Antes de seguir, quiero que entiendas claramente lo que significa phising, y todo lo que engloba esa palabra.
Phishing
¿Qué es phishing?
Phishing es un término informático que denomina un tipo de delito encuadrado dentro del ámbito de las estafas cibernéticas, y que se comete mediante el uso de un tipo de ingeniería social caracterizado por intentar adquirir información confidencial de forma fraudulenta (como puede ser una contraseña o información detallada sobre tarjetas de crédito u otra información bancaria). El estafador, conocido como phisher, se hace pasar por una persona o empresa de confianza en una aparente comunicación oficial electrónica, por lo común un correo electrónico, o algún sistema de mensajería instantánea o incluso utilizando también llamadas telefónicas.
Dado el creciente número de denuncias de incidentes relacionados con el phishing, se requieren métodos adicionales de protección. Se han realizado intentos con leyes que castigan la práctica y campañas para prevenir a los usuarios con la aplicación de medidas técnicas a los programas.
Phishing es un término informático que denomina un tipo de delito encuadrado dentro del ámbito de las estafas cibernéticas, y que se comete mediante el uso de un tipo de ingeniería social caracterizado por intentar adquirir información confidencial de forma fraudulenta (como puede ser una contraseña o información detallada sobre tarjetas de crédito u otra información bancaria). El estafador, conocido como phisher, se hace pasar por una persona o empresa de confianza en una aparente comunicación oficial electrónica, por lo común un correo electrónico, o algún sistema de mensajería instantánea o incluso utilizando también llamadas telefónicas.
Dado el creciente número de denuncias de incidentes relacionados con el phishing, se requieren métodos adicionales de protección. Se han realizado intentos con leyes que castigan la práctica y campañas para prevenir a los usuarios con la aplicación de medidas técnicas a los programas.
Formas de hacer phishing
El phishing puede producirse de varias formas, desde un simple
mensaje a su teléfono móvil, una llamada telefónica, una web que simula
una entidad, una ventana emergente, y la más usada y conocida por los
internautas, la recepción de un correo electrónico. Vamos a ver que
formas de “pescar” existen:
- SMS (mensaje corto); La recepción de un mensaje donde le solicitan sus datos personales.
- Llamada telefónica; Pueden recibir una llamada telefónica en la que el emisor suplanta a una entidad privada o pública para que usted le facilite datos privados. Un ejemplo claro es el producido estos días con la Agencia Tributaria, ésta advirtió de que algunas personas están llamando en su nombre a los contribuyentes para pedirles datos, como su cuenta corriente, que luego utilizan para hacerles cargos monetarios.
- Página web o ventana emergente; es muy clásica y bastante usada. En ella se simula suplantando visualmente la imagen de una entidad oficial , empresas, etc pareciendo ser las oficiales. El objeto principal es que el usuario facilite sus datos privados. La más empleada es la “imitación” de páginas web de bancos, siendo el parecido casi idéntico pero no oficial. Tampoco olvidamos sitios web falsos con señuelos llamativos, en los cuales se ofrecen ofertas irreales y donde el usuario novel facilita todos sus datos, un ejemplo fue el descubierto por la Asociación de Internautas y denunciado a las fuerzas del Estado: Web-Trampa de recargas de móviles creada para robar datos bancarios.
Phishing BBVA
Phishing Caja Madrid 1
Phishing Caja Madrid 2
- Correo electrónico, el más usado y más conocido por los internautas. El procedimiento es la recepción de un correo electrónico donde SIMULAN a la entidad o organismo que quieren suplantar para obtener datos del usuario novel. Los datos son solicitados supuestamente por motivos de seguridad, mantenimiento de la entidad, mejorar su servicio, encuestas, confirmación de su identidad o cualquier excusa, para que usted facilite cualquier dato. El correo puede contener formularios, enlaces falsos, textos originales, imágenes oficiales, etc., todo para que visualmente sea idéntica al sitio web original. También aprovechan vulnerabilidades de navegadores y gestores de correos, todo con el único objetivo de que el usuario introduzca su información personal y sin saberlo lo envía directamente al estafador, para que luego pueda utilizarlos de forma fraudulenta: robo de su dinero, realizar compras, etc.
Phishing Hotmail
Tipos y modalidades de phising
- Smishing: Es un término informático para denominar un nuevo tipo de delito o actividad criminal usando técnicas de ingeniería social empleado mensajes de texto dirigidos a los usuarios de Telefonía móvil.
- Vishing: Es una práctica criminal fraudulenta en donde se hace uso del Protocolo Voz sobre IP (VoIP) y la ingeniería social para engañar personas y obtener información delicada a través de llamadas telefónicas, como puede ser información financiera o información útil para el robo de identidad. El término es una combinación del inglés “voice” (voz) + phishing. Un ejemplo claro es el producido con la Agencia Tributaria, donde se advirtió de que algunas personas estaban llamando en su nombre a los contribuyentes para pedirles datos, como su cuenta corriente, que luego utilizan para hacerles cargos monetarios.
- Pharming: Es la explotación de una vulnerabilidad en el software de los servidores DNS (Domain Name System) o en el de los equipos de los propios usuarios, que permite a un atacante redirigir un nombre de dominio (domain name) a otra máquina distinta. De esta forma, un usuario que introduzca un determinado nombre de dominio que haya sido redirigido, accederá en su explorador de internet a la página web que el atacante haya especificado para ese nombre de dominio.
Estafas más comunes en Internet
Estafa #1 Encuestas en redes sociales
Es una de las más denunciadas según la organización de consumidores
FACUA. Suelen ser anuncios engañosos que surgen mientras se navega por
las redes sociales, donde se pide realizar un test de personalidad o una
encuesta de satisfacción. Solicitan el número de móvil y le dan de alta
al afectado en un servicio de mensajes «premium», donde paga por
recibir publicidad en el móvil. Puede costar más de 60 euros al mes y en
la mayoría de los casos, el contenido que se ha contratado (enlaces,
politonos…) ni siquiera llega a tu teléfono.
Estafa #2 Ofertas de trabajo falsas
Usan el número de cuenta del estafado para transferencias de 3.000 euros
Concentran un 25% de las estafas en Internet
según el Instituto Nacional de Teconologías de la Comunicación (INTECO).
Existen varias modalidades. La más habitual es aquella en la que el
puesto de trabajo que ofrecen conlleva un pago por adelantado de
pequeñas cantidades, 40, 50 euros, para gastos administrativos o envío
de documentación. Una variante de este timo, y muy peligrosa, es cuando
la víctima hace de «puente» de los estafadores para blanquear dinero sin
su conocimiento. En el argot policial se conoce como «mula phising»
Usan el número de cuenta del estafado para realizar transferencias a
otras cuentas, por ejemplo de 3000 euros, a cambio de recibir una
comisión de 500 euros.
Estafa #3 Cartas nigerianas
Esta estafa consiste en ilusionar a la víctima con una fortuna
inexistente que ha heredado y persuadirla para que pague una suma de
dinero por adelantado, como condición para acceder a su premio. Las
cartas manuscritas están dejando paso a correos electrónicos que envían
los estafadores, procendentes principalmente de países africanos como
Nigeria, Sierra Leona o Costa de Marfil.
Estafa #4 Multas por descargas ilegales
Esta modalidad de estafa se ha puesto en marcha recientemente y se
trata de un envío masivo de correos maliciosos, en nombre de la Policía,
que requiere el pago de 100 euros por haber accedido «supuestamente» al
contenido ilegal de páginas de pornografía infantil. De este timo, ha
surgido el reciente virus que suplantaba a la SGAE y que consistía en
exigir multas por descargarse canciones.
Estafa #5 Venta de productos Online
Anuncios que parecen chollos pero luego ocultan una sorpresa
Consejos para evitar las estafas en internet
Las 10 normas principales para defenderse contra el Phishing
- Nunca deje de aplicar los parches necesarios en su sistema operativo, evitando, así la explotación de las vulnerabilidades conocidas del software. Instale los parches de los fabricantes del software luego de su distribución, pues los hackers logran crear rápidamente programas malintencionados utilizando componentes prefabricados para explotar la vulnerabilidad antes de que la mayoría de las personas descargue la corrección. Una computadora con todos los parches detrás de un firewall es la mejor defensa contra la instalación de Troyanos y programas espías.
- Descargue la versión más reciente de su navegador para asegurar que también esté totalmente actualizado y utilice las tecnologías más recientes.
- El origen de un e-mail, la ubicación de una página y el uso del cifrado SSL se pueden falsificar. Los iconos de candado de los navegadores también se pueden falsificar. Usted debe estar seguro de que se está utilizando el SSL (busque “https:” en la URL) y verificar el nombre de dominio del sitio para saber si el sitio es legítimo. Sin embargo, debido a los trucos de los hackers, no es posible confiar sólo en dichas verificaciones como señales absolutas de seguridad de la comunicación o del sitio.
- Nunca haga clic en enlaces dentro de un e-mail y siempre ignore los e-mails que solicitan acciones, tales como “Su cuenta será cerrada”. Llame a la empresa en cuestión a través de un número de teléfono obtenido fuera del e-mail.
- Tenga mucho cuidado al descargar cualquier software de la Web. Los programas espías pueden “venir a cuestas” de programas legítimos, o el software puede contener programas de captura de tecleo o screen scrapers para robar su información. Usted debe evitar completamente los salvapantallas gratis y otros regalos. También tenga cuidado al abrir adjuntos de e-mail – un vídeo, gráfico o PDF— aunque sea de alguien conocido. Un software de exploración de virus le protegerá, definiendo si hay virus ocultos antes de que usted abra el adjunto.
- Use programas que verifiquen automáticamente si una URL es legítima antes de que usted acceda al sitio. Usted también puede verificar la legitimidad de una cierta URL con una búsqueda por WHOIS, como www.DNSstuff.com, que posee una herramienta de búsqueda que exhibe la información de contacto de dominios/IP de virtualmente cualquier país.
- Use un proveedor de acceso a Internet (ISP) que implemente tecnologías y políticas anti-spam y anti-phishing sólidas. Por ejemplo, AOL bloquea los sitios de phishing conocidos para que los clientes no los puedan acceder. La organización SpamHaus lista los 10 peores ISP del momento en esta categoría.
- Examine sus estados de cuenta bancarios y de tarjeta de crédito luego de recibirlos para verificar si hay algún débito no autorizado. Si su estado de cuenta se retrasa en más de dos días, llame a la administradora de su tarjeta de crédito o a su banco para confirmar su dirección de correspondencia y sus balances.
- Sea uno de los primeros en adoptar nuevas tecnologías. Los bancos y las empresas de tarjetas de crédito están utilizando nuevas técnicas de confirmación para hacer más seguras las transacciones por Internet. Por lo tanto, no deje de sacar provecho de ellas. El sector de informática también está trabajando en tecnologías de autenticación tales como ID del Remitente, Nombre de Dominio y S/MIME para reducir drásticamente la eficacia de los ataques de phishing.
- Proteje tu ordenador con un buen software de seguridad y no dejes de mantenerlo actualizado. Los hackers poseen bases de datos que contienen millones de direcciones de e-mail. Atacan la vulnerabilidad de aplicaciones de e-mail y navegadores Web, además de la vulnerabilidad de diseño de ciertos sitios.
A quién recurrir en caso de estafa
En
caso de sufrir una estafa o fraude por internet a través de un sitio
web, antes de proceder con una denuncia formal ante un ente
gubernamental, lo ideal es recopilar todas las pruebas posibles o información intercambiada con el supuesto representante de la página,
llámese correos electrónicos, publicidad del sitio web, comprobantes,
facturas, datos de la empresa (en caso estuviese especificado en la
página web), etc.
Si no tienes forma de contactarte con algún representante de la web, y
no te dan una solución satisfactoria, entonces formaliza la denuncia
ante la Policía o la Guardia Civil de tu país. Ambos
entes de seguridad tienen unidades específicas para combatir los fraudes
y delitos a través de Internet, tienen especialistas informáticos que
realizan investigaciones para seguirle las pistas y determinar la
identidad de los infractores.
Visitando la respectiva web, podrás encontrar modelos y/o formularios
para proceder con la denuncia, de este modo te facilitarán el trabajo.
En el caso de España, por ejemplo, el formulario para denunciar fraude por internet ante la policía es el siguiente:
Mas datos:
- Brigada de Investigación Tecnológica
- Email: delitos.tecnologicos@policia.es
- Enviar email
- Dirección Web General de la Guardia Civil (Guardiacivil.es)
- Grupo de Delitos Informáticos
- Email:delitostelematicos@guardiacivil.org
- Enviar email
Si la estafa se realizó a través de una web donde los usuarios
publican sus productos y/o servicios en forma de anuncio, tipo ebay o
mercado libre, ve al sitio y consulta si disponen de algún sistema de
protección al consumidor. Por ejemplo, eBay ofrece un sistema de
resolución de conflictos y protección de pagos a las personas que hayan
comprado productos en su web con paypal.
Otra forma de denunciar estos delitos o fraudes por internet consiste dirigirte a la Oficina del Consumidor de tu país (los nombres varían en cada lugar).
Como he comentado antes, debes recopilar todas las pruebas que tangas a la mano,
es vital, de tal forma que tengas toda la información posible respecto
al sitio y la comunicación que tuviste con ellos. Ahí presentas una
denuncia por incumplimiento de servicio.
Si puedes, ve a alguna Asociación de Consumidores para recibir asesoramiento e incluso puedas interponer una demanda judicial.
Si usaste un banco para la transacción, tienes la opción de intentar
devolver el cargo de la compra, para ello deberás acudir al banco y
pedir este reintegro incluso en el caso de que se trate de un pago con
tarjeta.
Si la empresa tiene su sede en tu país de orígen puedes tener más
suerte con la reclamación, pero si la empresa es extranjera lo tienes
más difícil, puesto que no son aplicables las leyes de tu país. En este
caso lo mejor será intentar la devolución del cargo vía banco.
Si usaste otra forma de pago, guarda siempre esos comprobantes para
acudir y denunciarlos a la policía, aunque difícilmente recuperarás tu
dinero.
Siempre se recomienda desconfíar de aquellos vendedores que sólo
ofrecen la transferencia como forma de pago y que no dan un teléfono de
contacto o evitan hablar por teléfono bajo cualquier excusa. Nunca se
debe enviar dinero a través de Western Union, MoneyGram, Bidpay o
similares, ya que no se puede garantizar transacciones con desconocidos.
Dónde aprender más
- Comisión Federal de Comercio de Estados Unidos: La FTC trabaja para prevenir las prácticas comerciales fraudulentas, engañosas y desleales en el mercado y proveer información para ayudar a los consumidores a identificar, detener y evitar dichas prácticas. Para presentar una queja o para obtener información gratuita sobre temas de interés del consumidor visite ftc.gov/consumidor o llame sin cargo al 1-877-FTC-HELP (1-877-382-4357); TTY: 1-866-653-4261. Para más información, vea el video Cómo Presentar una Queja disponible en ftc.gov/videosenespanol. La FTC ingresa las quejas presentadas por los consumidores a una base de datos segura y herramienta investigativa llamada Red Centinela del Consumidor que es utilizada por cientos de agencias de cumplimiento de las leyes civiles y penales en los Estados Unidos y del extranjero.
- Centro de Recepción de Quejas de Delitos en Internet: El Centro de Recepción de Quejas de Delitos en Internet (Internet Crime Complaint Center, IC3 por su sigla en inglés) es un grupo conformado por el FBI y el National White Collar Crime Center que funciona como un instrumento de recepción de quejas relacionadas con delitos perpetrados en internet para impulsar la investigación y desarrollo de las quejas y referir las querellas penales a las agencias de seguridad competentes del ámbito federal, estatal, local o internacional y/o a las agencias regulatorias correspondientes para que efectúen la investigación que consideren pertinente. Visite www.ic3.gov (en inglés).
- Departamento de Estado de EE.UU.: La misión del Departamento de Estado de EE.UU. es establecer un mundo más seguro, democrático y próspero para el beneficio del pueblo estadounidense y de la comunidad internacional. Como parte de esa misión, el Departamento de Estado procura minimizar el impacto del delito internacional sobre los Estados Unidos y sus ciudadanos, entre estos delitos se incluyen las estafas transfronterizas perpetradas en internet. Para obtener información gratuita visite en internet www.state.gov (en inglés).
