Phishing: Ciberataque de suplantación de identidad por email y SMS

Hemos sido víctimas de phishing.
¿Qué hacemos?

El phishing consiste en el envío de un SMS o un mail fraudulento, destinado a engañar a la víctima, para animarla a comunicar datos personales y/o bancarios, haciéndose pasar por un tercero de confianza.

¿Qué hacer si somos víctima de phishing? Solicitar la anulación del pago, presentar una queja, denunciar ante los organismos competentes… Hay muchas opciones que a menudo desconocemos.

Índice de contenidos:

Phishing: definición

¿Como protegerse contra una tentativa de phishing?

¿Víctima de phishing, qué hacer?

En pocas palabras: Infografía phishing

Phishing: definición

La pesca de datos del usuario

El phishing es una técnica destinada a engañarnos e inducirnos a compartir información confidencial y/o datos bancarios (número de tarjeta de crédito) haciéndose pasar por una institución o persona de confianza.

Puede ser a través de un falso correo electrónico, SMS o llamada telefónica …: del banco, de una red social, de un operador de telefonía, de un proveedor de energía, de una página de comercio por internet, de una administración pública, etc.

Objetivo de un ciberataque de Phishing

Robar información confidencial, personal o profesional (contraseñas, números de cuenta, datos bancarios…) para usarlas con intenciones fraudulentas.

¿Cómo protegernos contra una tentativa de phishing?

• No comunicar nunca informaciones confidenciales por mail o teléfono
  Ninguna administración pública o empresa privada nos pedirá nuestros datos bancarios o nuestras contraseñas por correo electrónico o teléfono.

• Antes de clicar en un enlace dudoso, pasemos el cursor de nuestro ratón por encima (¡Sin clicar!)
  Ello nos permite ver la dirección a la que realmente lleva ese enlace. Podemos verificar su veracidad.
  Otra opción: ir directamente a la página web del organismo en cuestión, a través de nuestro enlace favorito, el que hayamos creado nosotros mismos, ese que escribimos en nuestro buscador habitual.

• Verificar la dirección de la página web que aparece en nuestro navegador
  Si no corresponde exactamente a la página que pretende ser, seguramente se trate de una página fraudulenta. A veces, un único carácter de la dirección puede cambiar y así lograr engañarnos. Ante la menor duda, no debemos proporcionar ninguna información y cerrar inmediatamente la web que nos preocupa.

• En caso de duda, si es posible, contactemos directamente al organismo emisor
  Para confirmar la veracidad del mensaje o llamada que hemos recibido.

• Utilicemos contraseñas diferentes y complejas para cada página y aplicación
  Para evitar que el robo de una de nuestras contraseñas comprometa todas nuestras cuentas personales. También podemos utilizar gestores de contraseñas del tipo KeePass para almacenar de forma segura nuestras diferentes contraseñas.

• Si la página lo permite, verificar la fecha y hora de la última conexión a nuestra cuenta
  Con el fin de identificar si ha habido algún acceso ilegítimo.

• Si la página nos lo permite, activemos el doble factor de autentificación para hacer que su acceso sea más seguro.

¿Cómo reconocer un mail de phishing?

Si bien las tentativas de phishing están cada vez mejor realizadas, un mail fraudulento presenta, a menudo, signos que nos alertan y que es posible detectar, como:

• Oferta demasiado tentadora
• Mensaje de apariencia sospechosa
• Documento adjunto inesperado
• Dirección de envío fantasiosa

Para ayudarnos e reconocer un mail de phishing, el INCIBE nos ayuda. Y no dudes en leer nuestro post relacionado.

¡He sido víctima de phishing! ¿Qué hago?

• Ante la menor duda, debemos contactar al organismo interesado. En caso de duda, debemos contactar, si es posible directamente, al organismo interesado para confirmar el mensaje o la llamada que hemos recibido.
• Oponernos inmediatamente. Si, por inadvertencia, hemos comunicado elementos de información sobre nuestros medios de pago o si hemos notado débitos fraudulentos en nuestra cuenta, debemos solicitar inmediatamente ante nuestro banco o institución financiera la anulación de dicho débito o pago.
• Conservar las pruebas y, en especial, el mensaje de phishing recibido (incluso si no lo hemos abierto).
• Denunciar. Si vemos que hay informaciones personales que pueden servir a usurpar nuestra identidad o si constatamos débitos fraudulentos en nuestras cuentas bancarias, debemos presentar una denuncia ante la policía o la guardia civil. También podemos denunciar ante el INCIBE o el OSI proporcionando todas las pruebas que tengamos.
• Cambiar inmediatamente nuestras contraseñas. Si, accidentalmente, hemos comunicado una contraseña, debemos cambiarla inmediatamente en la página o servicio en cuestión, así como también en todas las demás páginas o servicios en los que hayamos usado esa contraseña comprometida (aquí nuestros consejos para gestionar de la mejor forma nuestras contraseñas).
• Si hemos recibido un mensaje sospechoso, evitemos clicar en los documentos adjuntos o en cualquier enlace que contenga.Si el mensaje contiene un enlace, lo primero que debemos hacer es pasar el cursor de nuestro ratón sobre ese enlace (¡sin clicar!). Así podremos ver la dirección real hacia la que redirige y verificar su verdadero origen.Si hemos clicado en el enlace, verifiquemos la dirección de la página de Internet que aparece en nuestro navegador. Si no corresponde EXACTAMENTE a la empresa o institución en cuestión, seguro que se trata de una página fraudulenta. A veces, una única letra o carácter de la dirección puede ser diferente, para hacernos equivocar.No dudemos en verificar si la dirección de la página web (URL) o el nombre de marca son auténticos.
• Denunciemos la dirección de las páginas webs sospechosas al INCIBE-CERT. Ante una página web sospechosa, no debemos dudar en denunciarla al INCIBE-CERT quien bloqueará esa dirección y solicitará su supresión.
• ¿Necesitas más consejos?
  Si necesitas asesoramiento respecto de qué debemos hacer en caso de sospechar que hemos sido o somos víctimas de phishing, no dudemos en contactar a ESCUDA al 931 931 848 o rellenando este formulario.

Testimonio de una víctima de phishing:

“Cuando estaba de baja por enfermedad, recibí un mail de la seguridad social que me anunciaba el reembolso de más de 200 euros, de mis gastos de salud, que estaba esperando. Cliqué en el enlace y llegué a una página que parecía oficial. Esa web me proponía ser reembolsado inmediatamente si daba mi número de tarjeta. No desconfié y lo hice, pero el reembolso no llegó nunca. Contacté con la seguridad social para informarme y la persona que respondió me anunció que me habían estafado. Avisé a mi banco de inmediato para bloquear mi tarjeta, pero ya se habían realizado varios débitos en mi cuenta.”

Panadero de la región de Lleida