Recibí un mensaje sospechoso: cómo verificar antes de actuar

Por Marcelo Felman ·

Recibiste un correo pidiendo actuar rápido: confirmar cuenta, verificar transferencia, descargar archivo, firmar un acuerdo. Parece legítimo pero algo no cierra. ¿Es real o te engañan?

En ese momento de duda, cuando una solicitud no es clara, verifica por otro canal antes de actuar. En caso de dudas, no accedas a las peticiones. Contrasta la información directamente con la persona o empresa que supuestamente te está contactando a través de otras vías.[3]

Tres ataques que se parecen pero no son iguales

Cuando escuchas "phishing", es fácil meter todo en la misma bolsa. Pero para defenderte mejor, conviene separar tres tipos emparentados que funcionan de manera muy distinta.[1]

Phishing: el correo masivo

El phishing a secas es una campaña de engaño dirigida a muchas personas a la vez.[1] Son mensajes genéricos que podrían estar automatizados, enviados a mucha gente con la esperanza de que un porcentaje haga clic.[1]

¿Qué buscan los atacantes? Obtener información confidencial como contraseñas o números de tarjeta de crédito.[2] También instalan programas maliciosos en tus dispositivos.[2]

Spear phishing: el correo dirigido a ti

Spear phishing significa que el atacante investigó más y personaliza el mensaje para ti.[1]

Luego, el atacante busca información sobre ti a través de Internet, las filtraciones de datos y las redes sociales.[3]

Después, crea un mensaje que parece ser para ti específicamente. Usa la información recopilada para ajustar el mensaje a tu perfil.[3]

Esto hace que parezca más personalizado: es un ataque diseñado para ti.[3]

Whaling: el phishing dirigido a los que mandan

Whaling es spear phishing pero apuntado a personas con poder, dinero o privilegios dentro de una organización.[1]

Señales de alerta: tómalas como pistas, no como prueba

En caso de dudas, no accedas a las peticiones. Contrasta la información directamente con la persona o empresa que supuestamente te está contactando a través de otras vías.[3]

Lo que ves en el correo

Remitente desconocido. El correo viene de alguien que no asocias con la empresa que dice representar.[2]

Errores gramaticales u ortográficos. El mensaje tiene faltas de ortografía o errores de construcción que no esperarías de un banco o empresa formal.[2] Los correos dirigidos a ti (spear phishing) pueden parecer reales.[3]

Piden información que no pedirían. Las empresas legítimas no solicitan a través de correo electrónico contraseña, PIN, clave de firma, o número de documento (DNI).[2] Si ves una solicitud de estos datos, verifica por otro canal.[3]

Enlaces o archivos sospechosos. El correo incluye un enlace que parece ir a un sitio legítimo pero apunta a una página falsa, o un archivo adjunto que puede contener virus.[2]

Urgencia o amenazas. El mensaje te dice que si no actúas ahora, tu cuenta se cerrará, serás multado, o algo malo sucederá. El atacante busca que actúes rápido sin pensar.[2]

Qué cambia en spear phishing

En los correos dirigidos a ti específicamente, los atacantes utilizan la información recopilada para elaborar un mensaje que se ajusta al perfil de la víctima.[3]

Cómo verificar en 3 pasos

Cuando recibas un correo sospechoso, haz esto:

1. Detente. No hagas clic en enlaces ni descargues archivos hasta verificar.[2]

2. Verifica usando otro canal. Contrasta la información directamente con la persona o empresa que supuestamente te contacta por una vía diferente a la del correo: usa un número de teléfono o dirección web que ya conoces, no los datos del mensaje sospechoso.[3]

3. Verifica URLs y evita hacer clic directamente en los enlaces de correos electrónicos.[3]

Si ya hiciste clic o si pagaste

Si sospechas que has sido víctima de este tipo de ciberataque, actúa rápidamente para minimizar las consecuencias.[3]

Cambia tus contraseñas. Si crees que compartiste datos de acceso, cambia inmediatamente las contraseñas de tu email, banco y redes sociales.[3]

Llama a tu banco. Si compartiste número de tarjeta, clave de firma, o cualquier dato bancario, notifica a tu banco lo antes posible.[2] Muchos bancos pueden ofrecerte medidas para proteger tu cuenta, como el bloqueo temporal o la supervisión de actividad sospechosa.[3]

Escanea tu dispositivo. Si descargaste un archivo o hiciste clic en un enlace, escanea tu dispositivo con un antivirus en busca de malware o virus.[2]

Vigila tu información. Busca regularmente tu nombre y datos personales en Internet para detectar si alguien está usando tu información sin permiso.[2]

Denuncia. Si se filtró información confidencial o datos de acceso a cuentas de usuario, denuncia el incidente a las autoridades.[3]

Lo que esto no hace

Este artículo se enfoca en correo electrónico y no cubre otros canales ni la recuperación de cuentas o la limpieza de dispositivos.

Siguiente paso: actúa hoy

Si dudas de un correo, verifica por otro canal.[3] Si ya fuiste víctima, cambia contraseñas cuando se haya compartido información de acceso, y notifica a tu banco cuando se hayan compartido datos bancarios.[2][3]

Consulta estas guías de ayuda del mismo autor:

Fuentes

  1. Phishing, spear phishing y whaling: diferencias (video YouTube, subtítulos auto-generados)
  2. Phishing | Ciudadanía | INCIBE
  3. Spear phishing: cuando un correo fraudulento va dirigido a una víctima concreta

Nota importante: Los subtítulos del video (fuente 1) son auto-generados por YouTube y no fueron verificados contra el audio original.