Phishing

phishing

El phishing es una técnica basada en ingeniería social que busca captar información confidencial/sensible del usuario en forma fraudulenta para obtener por lo general algún tipo de rédito económico.

Los delincuentes buscan obtener información financiera (tarjetas de créditos, cuentas bancarias), correos electrónicos, contraseñas, números de teléfonos, etc. para así llevar adelante la estafa.

El vector de ataque más común es mediante la recepción de un e-mail (correo electrónico). Por el cual un supuesto organismo (entidad financiera, bancaria, empresa, etc.) nos solicita datos personales o complementarios, guiándonos hacía un sitio Web falso para completar dicho “tramite”. También el engaño puede darse a través de la infección de nuestro dispositivo mediante la descarga de algún archivo infectado con malware o la visita a un sitio Web infectado para así robar nuestros datos.

A modo de ejemplo debajo se puede observar una captura de pantalla de un mensaje de e-mail solicitando la verificación de datos personales de una tarjeta de crédito para evitar la interrupción del servicio de la misma. Requiriendo hagamos clic en una dirección Web incluida en el cuerpo del mensaje a fin de cumplimentar el tramite, o sea, la estafa.

En la imagen se denota que el dominio (ya dado de baja) no se corresponde a un sitio “seguro” (https), ésta es una de las cuestiones a tener en cuenta para reconocer este tipo de estafas. Debajo podemos leer todas las recomendaciones para evitar ser víctima de este tipo de delitos.

A continuación podemos visualizar un muy buen video explicativo sobre la temática que estamos abordando, elaborado por la Jefatura de Gabinete de Ministros, Presidencia de la Nación, año 2009.

Claramente esta modalidad de delito viene creciendo en el mundo con estadísticas que son alarmantes.  La empresa Kaspersky (solo en el primer trimestre del año 2016) reporto 34 983 315 reacciones en su sistema antiphishing.  (Gudkova, D. y otros, 2016).

Los países más afectados, de acuerdo a la cantidad de usuarios atacados fueron:

  • Brasil à 21,5%
  • China à 16,7%
  • Reino Unido à 14,6%
  • Japón à 13,8%
  • India à13,1%
  • Australia à 12,9%
  • Bangladesh à 12,4%
  • Canadá à 12,4%
  • Ecuador à 12,2%
  • Irlanda à 12,0%

phishing

En el siguiente grafico se pueden observar las categorías de las organizaciones más atacadas. Entre las cuales se destacan:

  • Portales de Internet Globales à 28,69%
  • Bancos à 23,92%
  • Sistemas de pago à 11,84%
  • Redes Sociales à 9,75%
  • Tiendas online à 8,40%
  • Juegos online à 6,29%
  • Proveedores de telefonía e Internet à 4,27 %
  • Otros

phishing

Las empresas más elegidas por los phishers (persona que lleva adelante el ataque) son las más populares entre los usuarios. Entre ellas encontramos a Yahoo, Microsoft y Facebook.

A modo de ejemplo debajo podemos observar una supuesta pantalla de ingreso a la red social Facebook, donde se puede ver claramente que el dominio del sitio no se corresponde con la página web original.

Otras variantes del phishing son el smishing, cuando el engaño se lleva adelante a través de teléfonos celulares o el vishing mediante telefonía IP.

Algunas recomendaciones para evitar el phishing

  • Me gustaEvitar el correo SPAM o basura. No enviar mensajes en cadena ya que los mismos generalmente son algún tipo de engaño (HOAX) – No registrarse en sitios de baja confianza – Cuando se envíen mensajes de correo a muchos destinatarios hacerlo con la opción CCC.
  • No enviar datos sensibles (datos bancarios, financieros, contraseñas, etc.) por correo electrónico.
  • Rechazar correos electrónicos desconocidos. Analizar los archivos adjuntos en caso de descargarlos.
  • No responder solicitudes de información que lleguen por e-mail, por ejemplo solicitando información confidencial de parte tarjetas de crédito, bancos, financieras, etc. Difícilmente una entidad de este tipo solicitaría esta información de forma no personal.
  • Verificar la certificación digital del sitio web, observando que la dirección comience con https y no http. La “s” al final nos indica que estamos navegando por un sitio “seguro”. (*)

(*) Es importante aclarar aquí, que un sitio que comienza con https, nos indica que la comunicación de los contenidos se realiza mediante la encriptación de los mismos, es decir, de forma cifrada. Esto no implica la originalidad del sitio respecto de la pertenencia a la entidad que pueda a no pertenecer el mismo o sea que el sitio puede ser falso independientemente que empiece con https.

Se han registrado varios casos recientemente de sitios falsos que utilizaban el protocolo https en sus dominios, resultando ser páginas falsas montadas por delincuentes para estafar a los usuarios.

Esto se debe a que hoy en día los mecanismos de obtención de la certificación digital para un sitio seguro se han facilitado enormemente e incluso es un trámite gratuito cuando antes no lo era.

Por otra parte, las entidades encargadas de llevar adelante la certificación (CAs) deberían de verificar la originalidad del sitio web respecto de la organización a la cual dice pertenecer el sitio. Sin embargo, la realidad  demuestra que no lo hacen de manera eficaz, dado los casos de phishing acontecidos con páginas Web que aludían pertenecer a las empresas Mastercard y Mercado Libre.

Por ultimo, para identificar la originalidad de un sitio Web además de verificar que comience con https,  se recomienda escribir manualmente el nombre del mismo en la barra de direcciones del navegador. (Borguello C. , 2017).

Con el objeto de contribuir a la lucha contra el phishing puedes denunciar estos casos en:

phishing

Compartir este contenido en...Share on Facebook
Facebook
Tweet about this on Twitter
Twitter