Que é o phishing?
O phishing é un tipo de "enxeñaría social" que trata de obter, mediante enganos, datos persoais do usuario (datos bancarios, números de tarxetas de crédito, contrasinais, datos de conta ou outro tipo de información).
O phisher "pescador" solicita con carácter de urxencia a confirmación ou o envío de determinados datos. Os autores destas fraudes posúen elevados coñecementos informáticos e técnicos e, por norma xeral, utilizan o envío masivo de mensaxes de xeito indiscriminado, para poderen chegar así a milleiros de destinatarios (en modo de spam). Para poderen chegar ao maior número de persoas posible, utilizan mensaxes e ofertas atractivas para as súas vítimas. A súa forma de actuar é redireccionar as vítimas, mediante o engano, a sitios web falsos, semellantes a páxinas web reais, normalmente relacionadas con páxinas web de banca en liña, redes sociais, contas de correo ou semellantes, mediante a utilización de mensaxes de correo electrónico falsas, SMS e mensaxes de telefonía móbil (WhatsApp). Por medio destas páxinas, normalmente o usuario debe introducir os seus datos bancarios (co fin de actualizalos), reiniciar as súas credenciais (debido a problemas técnicos nos servidores), realizar calquera transacción (a través da cal cómpre comprobar o usuario) ou simplemente acceder a un novo servizo para que o usuario se beneficie dalgunha oferta.
As ligazóns que este tipo de engano adoitan achegar son páxinas que emulan webs verdadeiras e redirixen cara a outro servidor aparentemente igual ao orixinal, controlado polo atacante.
Este tipo de aplicacións, incluídas dentro da categoría de roubo de información persoal ou financeira, pódense clasificar do seguinte xeito:
- Uso de nomes de compañías xa existentes: os cibercriminais adoptan a imaxe corporativa e a funcionalidade do sitio web dunha empresa xa existente.
- Uso do nome dun empregado real dunha empresa para enviar correo phishing:: neste caso, a vítima pode comprobar que realmente existe a persoa que di falar en nome da empresa.
- Enderezos web de aparencia correcta: o aspecto do correo fraudulento adoita conducir o lector cara a sitios web con aspecto similar ao da empresa que están a utilizar para roubar a información.
- Factor medo: para o defraudador é fundamental conseguir unha resposta inmediata por parte do usuario, co cal as mensaxes adoitan ser ameazas con algún tipo de perda, xa sexa económica ou da propia conta, no caso de que non se sigan as instrucións indicadas. Esta necesidade dunha rápida resposta por parte dos defraudadores débese principalmente a que o servidor no que se aloxa o sitio web fraudulento se pecha ao pouco de que se informe a compañía de que os seus clientes están a ser obxecto deste tipo de prácticas.
- "Man-in-the-middle" (home no medio): o defraudador sitúase entre o usuario e a páxina web real, actuando a modo de proxy, capaz de escoitar toda a comunicación entre ambos. Aproveitamento de vulnerabilidade de tipo "Cros-Site Scripting': simulando unha web segura pertencente a unha entidade bancaria. Aproveitamento de vulnerabilidades en navegadores.
Tipos de phishing
- Tradicional : este tipo está ligado a unha soa páxina web, onde se aloxan os contidos do portal falso.
- Pharming ou redirector: consiste en redireccionar o usuario do dominio dunha web de confianza a outra falsa, idéntica a primeira vista, desde onde poderán subtraer os seus datos persoais ou bancarios. O usuario é redirixido á páxina falsa do banco de xeito automático, sen necesidade de premer en ligazón ningunha.
- Spear phishing : é unha estafa dirixida a persoas ou grupos reducidos, seleccionados previamente e aos que se lles fixo un seguimento. Para iso, crean unha conta ou correo electrónico personalizado dalgunha persoa ou empresa coñecida, para xerar confianza. Este tipo de phishing ten como finalidade o acceso a datos confidenciais (por exemplo segredos comerciais). O correo ten un ficheiro adxunto e, ao abrírmolo, permitimos o acceso ao noso computador e a todos os datos almacenados.
- Smishing : é un tipo de phishing dirixido a usuarios de telefonía móbil, no cal, por medio de mensaxes, lle comunican que gañou un premio, que se deu de alta nun servizo. Para o activar, cómpre chamar a un número no que se solicitan os datos bancarios.
- Vishing : é un tipo de phishing no que os ciberdelincuentes marcan números de teléfonos dunha determinada zona. Cando a chamada é contestada, unha gravación alerta o interlocutor de que a súa tarxeta de crédito foi utilizada de forma fraudulenta, e que ten que chamar a un número determinado, no que lle solicitan os 16 díxitos da tarxeta para verificala. Deste xeito, o ciberdelincuente pode levar a cabo compras e operacións fraudulentas por vía telefónica ou internet.
Riscos, factores e consecuencias
O principal risco deste tipo de actividades fraudulentas é que o phisher dispoña de información persoal ou bancaria, e poida acceder a información privada. As principais formas de acceso son a través da seguinte información:
- Número de seguro social.
- Número de tarxeta de débito ou de crédito.
- Contrasinal.
- Números de conta bancaria.
- Información sobre o inicio de sesión ou o contrasinal de banca por internet.
Consecuencias
Os delincuentes informáticos son extremadamente audaces para enganar a xente. Ao que conseguen a información persoal ou bancaria da persoa usuaria, poden cometer diferentes fraudes:
- Suplantar a identidade doutra persoa para contratar unha liña de teléfono móbil, á que chegarán os cargos das chamadas.
- Utilizar o número de tarxeta de crédito para facer compras por internet.
- Apropiarse de bens de xeito indebido (por exemplo, modificar un sistema financeiro para que este desvíe pequenas cantidades de diñeiro a unha conta fantasma).
- Modificar programas mediante un virus ou fallos no disco ríxido, un apagamento para perder o que almacenamos no noso computador: fotos, películas, música, documentos, etc.
As fraudes informáticas van en aumento, pola grande cantidade de persoas usuarias que existen dentro deste ámbito. Isto é de suma importancia para os consumidores, xa que están nun constante perigo.
This project has been funded with support from the European Commission. This publication reflects the views only of the author, and the Commission cannot be held responsible for any use which may be made of the information contained therein.