Evidentemente, el objetivo de este post no es enseñar a robar los datos bancarios de la gente, sino desmontar una de las técnicas más usadas por los ladrones y así poner en alerta a posibles víctimas de este fraude.
Hay varias vías por las que nos pueden robar los datos bancarios, algunas muy burdas y otras mucho más sofisticadas. El caso que os enseño hoy es uno de los más extendidos y, a la vez, de los más fáciles de llevar a cabo, pero por suerte también de identificar.
En el título uso la palabra phishing: un fraude basado en la ingeniería social en el que el estafador se hace pasar por una empresa de confianza, normalmente por correo electrónico o mensajería, para conseguir contraseñas, datos de tarjetas de crédito u otra información bancaria.
Os lo enseño con un ejemplo 100% real, y veréis que es muy sencillo identificar este intento de robo.
1. El correo
Nos llega un correo electrónico como el que os adjunto, donde queda muy claro que se trata de un engaño por varias razones.
La primera y más evidente es que un banco nunca nos pedirá ningún dato por correo electrónico. La segunda, también clara, es que el mensaje contiene errores gramaticales y de ortografía que hacen daño a la vista. ¿De verdad creéis que un banco se dirigiría a sus clientes con un «Grasias«?
Ejemplo:
Correu electrònic fictici
| De: Santander <servicios.trabajo@santander.com> |
| Per a: La teva adreça de correu |
| Asunto: Para confirmar los detalles de su cuenta |
| Text: Como parte de un proyecto para la evaluación de los datos facilitados en los servicios de suscripción de Santander y se encontró una discrepancia relativa a los datos personales en cuestión facilitados por usted en el momento de la firma del contrato.La inserción de los datos dañados puede ser motivo para la terminación de los servicios, de conformidad con el art. 135 y 137 / c aceptados por usted en el momento de la suscripción, así como constituir un delito penado por la ley de acuerdo con el art.415 CPP de 2002 sobre la ley contra el lavado de dinero y la transparencia de los datos proporcionados en la autocertificación.Para superar el problema y ‘necesaria para verificar y actualizar los datos all’anagrafica servicio en línea: 1. Envíe el formulario adjunto a tu dirección de correo electrónico para verificar su cuenta de Santander SuperNet. 2. Santander en dos pequeños depósitos a su cuenta bancaria. 3. Revise su cuenta bancaria en 3-5 días para depositar las cantidades.4. Santander ingrese a su cuenta e ingresar el importe del depósito exactamente. Grasias. |
| Por favor, entre en su cuenta y el proceso de verificación completa Santander Online (Aquí va el Link ) |
2. La web falsa
Si somos lo bastante ingenuos como para seguir el enlace, iremos a parar a una página que imita la del banco, pero si nos fijamos un poco veremos varias cosas que no encajan. La primera, la URL: la dirección no es la del banco. La segunda, que el acceso a una cuenta bancaria nunca, pero nunca, se hará desde una web que no sea https. Y la tercera, que en el formulario puedo escribir lo que quiera, que entrará igualmente.
3. Los datos de la tarjeta
La página siguiente tiene los mismos fallos que la anterior. En este caso nos piden los datos de la tarjeta de crédito y, evidentemente, podemos poner lo que queramos, que colará igualmente.
4. Vuelta a la web real
Una vez les hemos dado todo lo que querían, nos llevan directamente a la web real del banco para que todo resulte más creíble y no nos demos cuenta de que hemos entregado nuestros datos a un desconocido hasta que sea demasiado tarde.
Y básicamente así funciona el phishing. Como habéis visto, en la gran mayoría de los casos no es demasiado difícil de identificar. Espero que este post os ayude a ser más cuidadosos, y si algún día le evita un disgusto a alguno de vosotros, me daré por bien pagado.
Actualización: hoy los ataques de phishing son mucho más cuidados (sin faltas, con https e incluso por SMS o WhatsApp). La regla de oro sigue siendo la misma: no entréis nunca en el banco desde un enlace que os llegue; escribid la dirección vosotros mismos o usad la app oficial.
Traducción hecha con ayuda de IA a partir del artículo original.