Cómo identificar y protegerse contra el phishing

El phishing es una técnica de ingeniería social que busca que le usuarie entregue información clave, descargue o instale malware malicioso o proceda a realizar acciones contraproducentes para le propie usuarie (por ejemplo enviar dinero a un desconocido). El phishing solemos recibirlo especialmente por correo electrónico pero también por SMS, llamadas telefónicas u otros medios digitales. El phishing utiliza la suplantación de entidades de confianza para solicitar a la víctima realizar diferentes acciones y ejecutar el engaño. Phishing significa literalmente «pescar» porque normalmente se lanzan miles de este tipo de mensajes, esperando que unas pocas personas piquen en ellos.

A continuación detallamos algunos de los signos identificativos que nos pueden ayudar a saber si la petición que nos está llegando es o no phishing. Recomendamos seguir estos pasos si tenemos la más mínima duda de que el correo puede ser fraudulento.

¿Tenemos alguna relación con la entidad o institución que supuestamente se está dirigiendo a nosotres? Si no la tenemos seguramente ese mail sea un phishing. Si tenemos dicha relación pensemos a qué dirección de correo nos está llegando, si es el correo del trabajo/activismo o el correo que utilizamos para las gestiones burocráticas.

Si es un email de una entidad/institución/servicio que sí tenéis contratado, lo más recomendable antes de pinchar es ponerse en contacto con el servicio de Atención al Cliente del mismo para verificar que es esa entidad quien lo ha enviado. Podéis hacerlo por ejemplo llamado a un número de teléfono oficial o entrando a la web directamente desde el buscador que normalmente usáis.

A veces el diseño de los correos pueden contener imágenes relativas a la empresa o servicio en cuestión que suelen tener poca calidad  o estar desenfocadas, lo cual denota que no es una empresa/servicio verídica.

También debemos revisar el lenguaje del correo ¿es éste un lenguaje que utilizaría la institución/servicio/entidad? Comprobemos si tiene errores ortográficos.

Los correos fraudulentos suelen pedir de manera muy directa datos personales, contraseñas, tarjetas de crédito/debido, etc... que deben hacernos desconfiar. El mensaje suelen alarmar con "Alertas" de desactivación de cuentas bancarias u otras acciones que debes tomar de manera urgente para que accedas a un enlace, descargues un documento o envíes una información.

Revisa la dirección de correo del remitente, suelen ser muy similares a la verídica, con pequeños matices en el dominio después de la @ que no es dominio oficial. También pueden parecer completamente reales pero son alias y detrás se esconden direcciones completamente diferentes. Para ello tómate el tiempo de entrar en la web oficial de la institución/entidad/servicio que supuestamente te está contactando y comprobar el dominio y los correos que allí se muestran.

Sabemos que el gran peligro son los enlaces o los archivos adjuntos, como consejo recomendable, nunca pinchar, simplemente poner el cursor del ratón sobre el enlace y ver en la parte inferior a la izquierda, del navegador o del gestor mail, la URL real del enlace. Fíjate a dónde apunta para ver si es un dominio de confianza. Tanto si es muy diferente como si es solo un poco diferente nunca confiar de ese enlace.

Un ejemplo de phishing por correo con un enlace malicioso y cómo se ve la URL auténtica cuando pasamos el cursor por encima de los enlaces:

En el caso de recibir un correo/mensaje/chat phishing desde una supuesta cuenta de SinDominio te recordamos que desde SinDominio:

• Nunca vamos a pedir la contraseña de un usuario por correo, teléfono o mensaje.
• Es mejor no pincha en los enlaces de correos que dicen ser de Sindominio. Es mejor visitar la web de Sindominio escribiendo directamente la URL https://sindominio.net/ en tu navegador e ir al servicio que se necesita sin clicar en los enlaces del email. Por ejemplo para gestionar cosas de tu cuenta de Sindominio ve directamente a https://lowry.sindominio.net/
• Todas las herramientas de SinDominio están alojadas en algo.sindominio.net, verifica bien que el dominio termina en sindominio.net antes de introducir la contraseña en una web. Nunca introducir la contraseña de SinDominio en una web de otro dominio.
• Todas las webs de SinDominio usan cifrado HTTPS. Comprueba que la web que estamos visitando empieza por https:// y que el candado está verde.

Si descubres un phishing solo tienes que eliminar dicho correo. Si tienen dudas de si un correo es un phishing o no mantén la calma, haz todas las comprobaciones pertinentes, y como último recurso, puedes mandarlo a sd@sindominio.net para que lo revisemos.

Para más informaión podéis leer la guía de la EFF «Cómo evitar los ataques de phishing o suplantación de identidad»