El Instituto Nacional de Ciberseguridad alerta sobre una nueva campaña de phishing que pretende robar los datos bancarios de los usuarios.
El phishing se ha convertido en la rutina de internet, recibir correos falsos que pretenden estafarnos es una realidad a la que ya se han enfrentado más de una vez gran parte de los propietarios de una cuenta de correo electrónico. La parte positiva de esta persecución, es que los usuarios de internet están cada día más concienciados y entrenados frente a estos ataques.
Los ciberdelincuentes deben esforzarse más y buscar nuevas técnicas para engañar a sus víctimas, recurren a empresas muy conocidas o instituciones especiales para reforzar la sensación de confianza y seguridad y que bajemos la guardia. Correos, por ejemplo, es una de las más utilizadas, junto a Google o Amazon.
Ejemplo de ello es este nuevo correo que ha detectado el Instituto Nacional de Ciberseguridad. Se trata de una estafa estándar de phishing, pero bastante conseguida en detalles y diseño. Esto hace que sea más complicado detectar el engaño.
En las imágenes cedidas por el INCIBE no se aprecian erratas ni en el asunto del correo ni en el cuerpo. El asunto solicita que confirmemos el pago de los gastos de envío para poder enviar un paquete. Para aquellos que no estén esperando nada, las alertas saltarán más fácilmente. También deberíamos sospechar de que correos solicite pagar los gastos de un envío por correo electrónico, cuando lo habitual es llevar el paquete a las oficinas más próximas y allí pagar por su envío.
Como es habitual en este tipo de estabas, al pinchar en el botón para confirmar ese supuesto pago, se abre una ventana en el navegador donde se solicitan los datos bancarios. La web parece real, su diseño se asemeja bastante con la de correos, pero no es auténtica.
INCIBE ha ocultado en las capturas la dirección desde la que se manda el correo electrónico y la url a la que nos dirige la el botón, pero esas suelen ser pistas muy buenas para detectar el engaño si no integran dominios reales o no son webs seguras que empiecen por «https».
El siguiente paso, tras ingresar los datos bancarios, es incluir un código que deberían mandarnos por SMS para verificar nuestra identidad. Por supuesto, las víctimas no reciben ningún SMS y los ciberdelincuentes ya tienen en su poder los datos bancarios y contraseñas de esa persona.
«Cuando se introducen las credenciales solicitadas, siempre devuelve un error, aunque sean correctas. Además, si se hace clic en acceso con Certificado Digital o DNIe se indica que esta funcionalidad está deshabilitada, y si se intenta realizar un registro de un nuevo usuario, devuelve un error en el cual se indica que se intente más tarde«, explican en INCIBE.
Se sospeche o no de un correo o SMS, es importante verificar la información antes de utilizar cualquier enlace o archivo adjunto en el mensaje. Se puede entrar con el navegador en la web de Correos o de la empresa que sea y buscar la información por nuestra cuenta, antes que seguir las indicaciones del correo.
Si con todas estas precauciones creemos ser víctimas de algún engaño, es importante avisar a nuestra entidad bancaria lo antes posible para que nos ayuden a evitar cualquier movimiento de la cuenta y cambiar todas las contraseñas y nombres de usuarios que tengamos similares en correos, perfiles de redes sociales, otros bancos y demás suscripciones online.