Los ataques de phishing se han vuelto cada vez más sofisticados y selectivos. Esto hace que sea más importante que nunca que los usuarios de internet sepan identificar enlaces maliciosos. Los atacantes siguen aprovechando el error humano utilizando enlaces de phishing ingeniosamente camuflados para engañar a los usuarios. Los usuarios que hacen clic suelen revelar información confidencial, como credenciales de inicio de sesión, información personal e incluso datos financieros.
Analicemos algunos consejos de expertos sobre cómo identificar enlaces de phishing y protegerse de ser víctima de estos ataques.
El phishing es uno de los métodos de ciberataque más comunes y efectivos, ya que se aprovecha de la confianza humana. Los ciberdelincuentes crean correos electrónicos, mensajes de texto o publicaciones en redes sociales que parecen comunicaciones legítimas de organizaciones de confianza. Estos mensajes suelen contener enlaces maliciosos que, al hacer clic en ellos, redirigen a los usuarios a sitios web falsos, descargan malware o explotan vulnerabilidades. Otro ataque común, que vemos con mucha más frecuencia, consiste en que los hackers roban tokens de post-autenticación de tu navegador, lo que les permite acceder a tu cuenta de correo electrónico o, peor aún, a tu cuenta bancaria.
El Informe de Investigaciones de Violaciones de Datos de Verizon de 2023 examinó los ciberataques de los últimos 20 años y concluyó que la constante durante todo ese período fue que los ataques de phishing siguen siendo la principal causa de las violaciones de datos. Los ataques de phishing utilizan diversas técnicas para engañarnos, como la suplantación de dominio ( typo-squatting ), acortadores de URL, enlaces para cancelar la suscripción e incluso logotipos de seguridad para crear una falsa sensación de seguridad o legitimidad.
Una de las maneras más sencillas de comprobar la legitimidad de un enlace es pasar el ratón por encima (en una computadora de escritorio o portátil). Al hacerlo, la URL real aparecerá en un pequeño recuadro en la parte inferior izquierda de la pantalla. Si el enlace no coincide con el dominio del que dice provenir (por ejemplo, un correo electrónico que dice ser de PayPal pero enlaza a "paypa1.com"), es una señal de alerta. En dispositivos móviles, a menudo se puede mantener pulsado un enlace para ver la URL antes de abrirlo. Siempre verifique que la URL sea correcta antes de hacer clic. Si tiene dudas, busque en Google al proveedor para validar el dominio correcto.
Una táctica común de phishing consiste en usar errores ortográficos o cambios sutiles en una URL para que parezca legítima. Por ejemplo, un enlace de phishing podría usar "micros0ft.com" en lugar de "microsoft.com", o reemplazar letras con números y símbolos similares. Estos pequeños cambios pueden pasar desapercibidos fácilmente, sobre todo si tienes prisa. Además de las letras similares en un nombre de dominio, presta atención a la adición de una "S" al final del dominio. Para mayor seguridad, verifica la precisión de la URL realizando una búsqueda en Google o con inteligencia artificial del dominio correcto del proveedor.
La mayoría de los sitios web legítimos utilizan HTTPS (Protocolo Seguro de Transferencia de Hipertexto), indicado por un icono de candado en la barra de direcciones del navegador, para cifrar los datos entre el navegador y el sitio web. Sin embargo, los ciberdelincuentes se han dado cuenta de esto y algunos sitios web de phishing ahora utilizan HTTPS para parecer seguros. Si bien HTTPS es una buena señal, no es infalible. Siempre tenga en cuenta otros factores, como la fuente del correo electrónico, la URL y el contexto del mensaje.
Los acortadores de URL, como bit.ly o tiny.url, se usan comúnmente en publicaciones de redes sociales o correos electrónicos para comprimir enlaces largos. Si bien son útiles para fines legítimos, también ocultan el destino real del enlace. Por eso, los estafadores suelen usarlos para ocultar URL maliciosas. Si recibes una URL acortada, especialmente en mensajes no solicitados, es mejor evitar hacer clic en ella. Puedes usar herramientas para expandir URL, como CheckShortURL.com , para ver el enlace completo antes de decidir si visitas el sitio.
Otra técnica que utilizan los estafadores es crear URL con nombres de empresas legítimas incrustados en subdominios. Por ejemplo, un enlace de phishing podría ser "login.microsoft.com.attacker.com" para engañarte y hacerte creer que se trata de un sitio web de Microsoft. Presta siempre mucha atención al nombre de dominio real (en este caso, "attacker.com") y desconfía de cualquier subdominio inesperado. Las organizaciones legítimas rara vez utilizan subdominios complejos para páginas de inicio de sesión o comunicaciones oficiales. Si ves una URL inusualmente larga con caracteres adicionales, es probable que se trate de un intento de phishing.
Los mensajes que generan una sensación de urgencia —como las amenazas de cerrar tu cuenta o las advertencias de que tu información ha sido comprometida— están diseñados para que actúes sin pensar. Del mismo modo, los llamamientos emocionales que apelan a tus sentimientos también pueden ser una forma sutil de lograr que reacciones y hagas clic sin pensar. Incluso un botón de "Me gusta" en un correo electrónico puede contener comportamientos maliciosos ocultos en el código. Lo mismo ocurre con los enlaces para cancelar la suscripción. Nunca reacciones precipitadamente a ningún correo electrónico. Siempre tómate un momento para verificar la legitimidad del remitente antes de hacer clic en cualquier enlace de este tipo de mensajes.
Si recibes un correo electrónico inesperado con un archivo adjunto o un enlace, incluso de un contacto conocido, verifica con el remitente antes de hacer clic. Su correo electrónico podría haber sido comprometido y podrías estar cayendo en una de las tácticas de ataque más comunes entre los hackers: el fraude por correo electrónico empresarial (BEC) . Al verificar con el remitente, no le envíes un correo electrónico, ni lo llames ni le envíes un mensaje de texto. Intenta contactarlo de cualquier manera, excepto por correo electrónico, ya que el hacker podría tener acceso a su bandeja de entrada.
Los correos electrónicos de phishing suelen usar saludos vagos como "Estimado cliente" en lugar de dirigirse a usted por su nombre. Esto es una señal de alerta de que el remitente probablemente no tenga acceso a su información personal.
Recuerda que el método de ataque favorito de los hackers son los correos electrónicos de phishing. Les cuesta muy poco enviar correos increíblemente complejos y convincentes a millones de personas. Su objetivo es que reacciones rápidamente, sin pensarlo, ante sus ataques. Sé inteligente, desconfía y siempre revisa los enlaces y remitentes antes de hacer clic en cualquier cosa. ¿Pero qué pasa si haces clic por accidente? Dado que esto sucede, aquí te explicamos qué debes hacer si te encuentras en esta situación.
Si hace clic accidentalmente en un enlace de phishing, actúe rápidamente para minimizar el daño potencial:
Si se descarga malware, desconectarse de internet puede impedir que se comunique con un servidor remoto. Esto impide que el equipo infectado ejecute instrucciones del hacker, como cifrar archivos, enviarlos al hacker o descargar malware. Apagar el equipo impedirá que se ejecuten más rutinas de cifrado. Esto permite al equipo arrancar en modo seguro o desde una unidad de arranque para inspeccionar y, potencialmente, prevenir más daños y eliminar la infección.
Tendrán las herramientas y la supervisión necesarias para examinar qué sucedió después de hacer clic. También pueden ayudarle a escanear su computadora en busca de malware, cerrar la sesión de todos los usuarios de su cuenta de correo electrónico, restablecer sus credenciales de autenticación y mucho más. ¡Están ahí para esta situación!
Utilice software antivirus y antimalware para escanear su dispositivo en busca de cualquier actividad sospechosa o archivos que puedan haberse descargado.
Si ingresó credenciales de inicio de sesión, cambie inmediatamente las contraseñas de la cuenta comprometida y de cualquier otra cuenta que use las mismas credenciales.
Siempre que sea posible, habilite la 2FA para agregar una capa adicional de seguridad a sus cuentas, dificultando así el acceso de los atacantes.
Las claves de acceso son claves criptográficas únicas que solo sirven para desbloquear tu cuenta en un sitio web. Esto las hace incluso mejores que las contraseñas complejas tradicionales y la autenticación multifactor, que pueden ser robadas o eludidas, respectivamente. Esto las convierte en una poderosa herramienta de defensa contra ataques de hackers.
Ahora que ya sabe cómo detectar y evitar ataques de phishing, necesita practicar estas habilidades con simulaciones de phishing. La práctica debe extenderse a todos los trabajadores del conocimiento de su organización. Al igual que con la actividad física, usted y su personal deben practicar continuamente estos consejos para desarrollar la memoria muscular. Si deja de hacer ejercicio, perderá la forma física. Si deja de practicar simulaciones de phishing, reaccionará y cometerá un grave error, o alguno de sus empleados lo hará. Inscríbase en una simulación de phishing positiva y educativa que enseñe y recompense buenos comportamientos, como revisar los correos electrónicos con atención y no reaccionar a ellos. Evite las pruebas de phishing que penalizan malos comportamientos, como hacer clic en enlaces falsos, pero que no informan adecuadamente a los usuarios finales sobre qué inspeccionar.
CyberHoot le ofrece la solución ideal para fomentar la alfabetización digital en sus empleados. Los capacitamos, evaluamos y recompensamos por sus buenas prácticas de inspección trimestre tras trimestre y año tras año.
Los ataques de phishing siguen evolucionando y los ciberdelincuentes son cada vez mejores a la hora de disfrazar enlaces maliciosos para que parezcan legítimos. Sin embargo, siguiendo los consejos y recomendaciones de expertos que se ofrecen en este artículo, puedes reducir las probabilidades de ser víctima de una estafa de phishing. Infórmate mejor para estar más seguro.
¿Aún no estás listo para registrarte, pero quieres saber más? Asiste a nuestro seminario web mensual para ver una demostración de CyberHoot, hacer preguntas y descubrir las novedades.
Descubra y comparta las últimas tendencias, consejos y mejores prácticas en ciberseguridad, junto con nuevas amenazas a las que debe prestar atención.
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Lo sabemos desde hace tiempo...
LEER MÁS
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Un CAPTCHA debería comprobar si...
LEER MÁS
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Tengo la suerte de tener...
LEER MÁSObtenga una visión más clara de los riesgos humanos, con un enfoque positivo que supera las pruebas de phishing tradicionales.
