Cómo evitar las estafas de phishing

"Oye, ¿quieres ganar algo de dinero? Esto es lo que haremos. Escribes un programa de caballo de Troya que supera los programas antivirus y roba los inicios de sesión de las cuentas bancarias. Lo distribuiré en miles de PC y dividiremos la toma "¿Qué? ¿No codificas? ¡Hmm, yo tampoco! ¡Lo sé! ¡Podemos construir algunos sitios de phishing y hacer que los tontos solo nos den sus contraseñas!"

Las variaciones en esta conversación ocurren todos los días. Escribir código de malware es difícil. Escribir un programa malicioso que pueda sobrevivir en un entorno lleno de antivirus es más difícil. En lugar de tratar de engañar al sistema operativo y su grupo de seguridad, los artistas de dinero rápido recurren a engañar al usuario con estafas de phishing, lo cual es mucho, mucho más fácil.

Cómo funcionan las estafas de phishing

La clave para ejecutar una estafa de phishing es crear una réplica de un sitio web seguro que sea lo suficientemente bueno como para engañar a la mayoría de las personas. Con las falsificaciones más elegantes, cada enlace va al sitio real. Bueno, todos los enlaces, excepto el que envía su nombre de usuario y contraseña a los autores. Como guinda del pastel, los estafadores pueden intentar crear una URL que parezca al menos un poco legítima. En lugar de paypal.com, quizás pyapal.com o paypal.security.reset.com.

Sin embargo, no todas las páginas de phishing están bien hechas. Algunos usan los colores incorrectos o no coinciden con la página que imitan. Otros tienen URL totalmente poco convincentes, como admin.dentistry.com/forms o X8el87.journal.com. Incluso estos fraudes débiles pueden captar unos pocos imbéciles, al parecer, o los estafadores se rendirían.

Cuando ingresa su nombre de usuario y contraseña en un sitio fraudulento, los estafadores obtienen acceso completo a su cuenta. Para evitar que te des cuenta de que has sido estafado, pueden pasar las credenciales al sitio real, por lo que parece que has iniciado sesión normalmente. Su única pista puede surgir cuando descubre que su cuenta bancaria está vacía, o que no puede iniciar sesión en su correo electrónico, y sus amigos dicen que están recibiendo correo basura de usted. Entonces, ¿cómo te proteges contra este tipo de ataque?

Eliminar lo obvio

Algunos sitios web falsos están demasiado mal implementados para convencer a cualquiera que esté prestando atención. Si se vincula a un sitio y solo parece basura, presione Ctrl + F5 para volver a cargar la página por completo, en caso de que la mala apariencia fuera una casualidad. Pero si todavía no se ve bien, aléjate.

Mira la página de arriba. El formato es extraño y la imagen a la derecha del cuadro de entrada de correo electrónico es defectuosa. Aparentemente, alguien, en algún lugar, piensa que esta página engañará a los usuarios de OurTime, un sitio de citas para los más de cincuenta. No sé cómo monetizarían las cuentas robadas, pero esta página de advertencia no convence.

Cuando crea una página de phishing, la verosimilitud es esencial. El uso de un servicio de alojamiento web gratuito que deja su banner en su página es una especie de regalo. Aun así, cada vez que realizo una prueba de protección contra phishing, me encuentro con un puñado de falsificaciones que ni siquiera lo intentan.

Verifica la dirección

Los navegadores web modernos se están alejando de un gran foco en la barra de direcciones. Ahora es la barra de búsqueda más dirección, como mínimo. Pero esa barra de direcciones es un recurso extremadamente importante cuando estás mirando una página para confirmar que es legítima. Los mejores rastreadores de phishing pueden detectar una URL fuera de lugar por el rabillo del ojo, sin siquiera pensarlo.

Tenga cuidado con los intentos de ocultar la porción de dominio real de la URL. Esa es la porción que precede inmediatamente al.com,.net,.co.uk final, etc. Todo lo que viene antes del dominio es solo un subdominio. Si existiera la URL fakery.paypal.com, sería un subdominio de paypal.com. Si en cambio ves paypal.fakery.com, bueno, ¡eso es pura falsificación!

Los ataques de phishing en cuentas de Dropbox u otras cuentas de almacenamiento en línea no tienen el valor garantizado que los ladrones obtienen al capturar inicios de sesión bancarios. Por el contrario, las personas no necesariamente aplican el mismo nivel de vigilancia a estas cuentas. Cualquier cosa puede aparecer en el almacenamiento en línea, desde una lista de pedidos de cookies de Girl Scouts hasta planes secretos para el próximo avance tecnológico. Pero eche un vistazo a la barra de direcciones en la imagen de arriba. ¡Al iniciar sesión en su propia cuenta de Dropbox, seguramente no verá las palabras "necesita dinero en efectivo" en la URL!

Es posible que haya escuchado sobre Sberbank en discusiones sobre las conexiones bancarias rusas de la organización Trump, o como víctima de piratería de cajeros automáticos. Sin embargo, probablemente no sea un cliente, por lo que una página de phishing de Sberbank no es una verdadera preocupación. Pero para nuestros amigos rusos, el hecho de que el dominio real de la URL en la barra de direcciones es "café" seguramente debería ser un regalo.

Busque la cerradura

El sistema de comunicaciones del Protocolo de transferencia de hipertexto (HTTP) utilizado para la comunicación básica de Internet es un remanente de los primeros días de la red mundial. No es seguro, porque nadie imaginaba a otros haciendo cosas malas en el naciente internet. Bueno, la gente mala está aquí, y la única forma sensata de conectarse es utilizando el protocolo seguro HTTPS. Los navegadores web muestran un icono de candado para páginas HTTPS. Chrome da un paso más allá, marcando activamente los sitios HTTP como "No seguros". Nunca debe iniciar sesión en ningún sitio que no use

"Pero espere", puede argumentar, "¿qué pasa con un sitio legítimo que simplemente no ha llegado a ser seguro?" Lo siento, no lo compro. En esta era de HTTPS en todas partes no hay excusa. Un sitio que quiere que inicie sesión sin usar HTTPS, incluso si no es fraude, simplemente no es legítimo.

Las dos páginas de la imagen anterior desean que inicie sesión con sus credenciales de PayPal. Ambos son fraudes. Pero el que está en el fondo es más atroz. Sí, el dominio es "jljq", que es lo suficientemente sospechoso. Pero la falta de un candado le permite saber que no puede ser legítimo.

Hay otra pista aquí, para los orientados visualmente. Mire el color del gran botón de inicio de sesión; No es lo mismo en las dos páginas. La página de primer plano coincide con el color del sitio real de PayPal; el fondo no lo hace.

A veces, simplemente no puedes verlo mirando. El sitio web del Commonwealth Bank llama a su sistema bancario en línea Netbank. La página segura en netbank.com que se muestra arriba parece legítima. Si no está seguro, un vistazo rápido a los datos whois del dominio puede ayudarlo a tomar una decisión. Creo que podemos estar de acuerdo, es muy poco probable que el sitio real del Commonwealth Bank estacione su alojamiento con CrazyDomains.com.

Considera la fuente

Lo has escuchado un millón de veces. No haga clic en enlaces en mensajes de correo electrónico de personas que no conoce. No haga clic en los enlaces de los mensajes de personas que conoce, ya que pueden haber sido pirateados. Este es un buen consejo! Hacer clic en un enlace aleatorio podría llevarlo a un sitio de alojamiento de malware o un fraude. Cuando el enlace lo lleva a una página de inicio de sesión, es especialmente importante tener en cuenta la fuente.

Es concebible que reciba un mensaje de correo electrónico de su banco, aunque muchos bancos evitan esa forma de comunicación. Si hizo clic en un enlace en un sitio no relacionado y terminó en el inicio de sesión para el Banco de Karabraxos, es muy probable que sea falso.

Pero, ¿qué sucede si su banco, el IRS o PayPal realmente están tratando de comunicarse con usted sobre un problema con su cuenta? La solución es simple: omita el enlace e inicie sesión en el servicio directamente, como lo haría normalmente.

Obtenga ayuda para combatir el phishing

Superar a los estafadores, detectar sus artimañas más astutas, te da una buena sensación, seguro. Pero es posible que no seas tan listo mañana, por lo que vale la pena buscar ayuda en la lucha contra las estafas de phishing. Los navegadores modernos tienen protección contra sitios fraudulentos integrados y hacen un trabajo decente. La mayoría de los productos antivirus y de suite de seguridad agregan su propia protección contra el phishing; el mejor de estos obtiene puntajes tan altos como 100 por ciento de protección en nuestras pruebas.

El uso de un administrador de contraseñas también lo ayuda a mantenerse alejado de los fraudes. Con la mayoría de estos productos, puede visitar un sitio seguro e iniciar sesión con un solo clic. Y si de alguna manera logra llegar a un sitio fraudulento, el hecho de que su administrador de contraseñas no complete las credenciales de inicio de sesión guardadas es una gran señal de alerta.

• Cómo evitar Scareware Cómo evitar Scareware
• 7 signos de que tienes malware y cómo deshacerte de él 7 signos de que tienes malware y cómo deshacerte de él
• Trucos simples para recordar contraseñas increíblemente seguras Trucos simples para recordar contraseñas increíblemente seguras
• 12 cosas simples que puedes hacer para estar más seguro en línea 12 cosas simples que puedes hacer para estar más seguro en línea

Los internautas más inteligentes usan una red privada virtual o VPN para sus actividades en línea. El uso de una VPN protege sus datos en tránsito, ya que los datos viajan en forma cifrada al servidor VPN. También ofrece cierta protección contra el acoso cibernético, porque su tráfico parece provenir del servidor VPN, no de su dirección IP local. Pero enrutar el tráfico web a través de una VPN no ayuda en absoluto contra el phishing. Cuando entrega sus credenciales a los propietarios de un sitio de phishing, no importa cómo llegaron allí. Los ataques de phishing se dirigen a usted , no a sus dispositivos o sistemas de comunicación.

El phishing es más frecuente de lo que te imaginas. Para obtener las imágenes de este artículo, acabo de obtener las últimas cinco o seis docenas de fraudes verificados de un sitio popular de rastreo de phishing y los busqué, buscando buenos ejemplos. Sí, las páginas fraudulentas se ponen en una lista negra rápidamente, pero los estafadores simplemente se apagan y aparecen con una nueva página de estafa.

Protégete del phishing

Para evitar la vergüenza de regalar sus datos confidenciales a un fraude, utilice los recursos disponibles, como los administradores de contraseñas y el sistema de detección de phishing en su antivirus. Pero mantenga sus propios ojos abiertos, para detectar cualquier fraude que pase. Si una página proviene de un enlace sospechoso, si no hay un bloqueo HTTPS en la barra de direcciones, si se ve mal de alguna manera, ¡no lo toque! Su vigilancia dará sus frutos.