Busca otro al que engañar, yo no voy a picar
El correo electrónico se ha convertido en una herramienta de trabajo indispensable para el desarrollo del día a día de cualquier empresa. Los ciberdelincuentes, conscientes de esta realidad, no dudarán en utilizarlo para acceder a la información que cualquier organización pueda gestionar a través de este medio.
Por este motivo, queremos ayudarte a identificar los correos falsos denominados phishing en los que los delincuentes suplantan la identidad de una organización con fines maliciosos. El objetivo de este tipo de correos fraudulentos es muy amplio, pero en su mayoría buscan conseguir información confidencial como credenciales de acceso o información bancaria, infectar los dispositivos corporativos con cualquier clase de malware como el ransomware o el ingreso directo en una cuenta bancaria controlada por los ciberdelincuentes.
A continuación se detallan algunos trucos para detectar los correos maliciosos:
- ¡Fíjate en el remitente!
La dirección de correo electrónico del remitente no coincide exactamente con el nombre de la entidad a la que pretende suplantar, utilizando en su lugar una dirección muy similar a la legítima. En este caso tendremos que seguir analizando el correo para comprobar su autenticidad o contactar con dicha entidad por otro medio para cerciorarnos.
En otras ocasiones es evidente que la dirección de correo no tiene nada que ver con el servicio suplantado:
- Revisa la dirección donde recibes el correo y el cuerpo del mensaje
- La dirección de correo en la que recibes el mensaje no es con la que te registraste o la que proporcionaste a la empresa o institución que está contactando contigo. Si posees más de una cuenta de correo, fíjate si la cuenta en la que has recibido el mensaje se corresponde con la que tienes asociada a ese servicio.
El mensaje comienza con un saludo genérico del tipo "Estimado cliente", “Estimado contribuyente”, o un número de factura ocultado parcialmente por asteriscos sin ningún otro dato que te identifique. La mayoría de las empresas no utilizan mensajes genéricos cuando se dirigen a ti personalmente.
El mensaje es distinto a los que sueles recibir en nombre de esa entidad: se dirigen de una forma diferente, los importes de las facturas no son los habituales, solicitan datos inusuales, etc. Lo más común es que en el mensaje intenten apremiarnos con el pago de una factura que de no hacerlo efectivo puede incrementar la cantidad supuestamente adeudada, o tentar con un falso reembolso de un supuesto cobro erróneo.
El mensaje solicita información personal, un número de tarjeta de crédito o cuenta bancaria, o las credenciales de acceso a una cuenta. Por ejemplo, en el caso del fraude del CEO un empleado con un alto cargo o el contable de la empresa, con capacidad para hacer transferencias o acceso a datos de cuentas, recibe un correo supuestamente de su jefe (CEO, presidente o director de la empresa). En este mensaje le pide ayuda para realizar una operación financiera confidencial y urgente.
- Revisa los enlaces
El enlace que recibes en el correo parece legítimo por lo que hay que fijarse en la URL de la página a la que nos dirige. En algunas ocasiones la dirección de la web falsa es muy parecida a la legítima (solamente se diferencia en algún carácter incluido en la URL de manera estratégica para pasar desapercibido, como por ejemplo los signos de puntuación). En otras ocasiones, únicamente con fijarnos un poco, podremos ver que la URL difiere mucho de la auténtica. Ante la duda lo recomendable es no seguir el enlace del correo y acceder al servicio escribiendo la URL original en el navegador. Por otro lado, que la web no disponga del protocolo seguro de transferencia https es un claro indicativo de que no es la web legítima.
En otros casos, el diseño de la web fraudulenta es más sofisticado y sí dispone de https por lo que deberemos fijarnos en el dominio al que estamos accediendo y comprobar el certificado de seguridad:
- ¡No te fies de los adjuntos!
Es habitual que en el día a día de la oficina debido al trato con clientes, proveedores de servicios, entidades financieras, etc. recibamos documentos, informes o facturas adjuntas. Sospecha cuando el remitente sea desconocido o no hayas solicitado dicha información. Estos adjuntos suelen tener código malicioso que se ejecuta al abrirlos o al realizar ciertas acciones como la habilitación de macros.
Además de conocer estos modelos de correos maliciosos, ten siempre en cuenta los consejos que te ofrecen este tipo de servicios dentro de su web en la sección de seguridad:
- Escribe directamente la URL de la empresa en el navegador, en lugar de llegar a ella a través de enlaces disponibles desde páginas de terceros o en correos electrónicos.
- No accedas al servicio online para realizar trámites bancarios desde ordenadores públicos, no confiables o que estén conectados a redes wifi públicas. En caso de tener que hacer una gestión urgente utiliza la cobertura 3G/4G de tu dispositivo móvil.
- En caso de acceder desde la aplicación de la empresa, revisa que sea una aplicación legítima y los permisos que tiene concedidos.
Este tipo de indicaciones te serán muy útiles para detectar phishing, pero además recuerda que debes instalar un antivirus con antiphishing para correo y páginas web. No olvides mantenerlo actualizado, así como el resto de software de tus sistemas y de web para evitar fallos de seguridad. Si necesitas soporte o asistencia, porque te has visto afectado por alguno de estos engaños, INCIBE te ofrece su servicio de Respuesta y Soporte ante incidentes de seguridad. Sé más listo que ellos, no muerdas el anzuelo y Protege tu empresa.