# data[].attributes.body
El "phishing" se le llama a la manera fraudulenta de obtener información personal como contraseñas, usuarios, información bancaria... haciéndose pasar por una entidad de confianza a través de una comunicación electrónica de cualquier tipo. Normalmente se lleva a cabo enviando a un gran número de personas (aunque también puede ser un ataque individualizado) un email o SMS que contiene un link, este link te lleva a página idéntica a la página de la entidad real y te pide que introduzcas tu contraseña, usuario, información bancaria…

# data[].attributes.body
Para no ser víctima de este tipo de estafa lo más importante es aplicar el sentido común. Adicionalmente podemos activar la verificación en dos pasos en todas nuestras cuentas, esto hace que sea más complicado acceder a nuestra cuenta de manera ilícita. Lo que hace este sistema es enviarnos un código de verificación a nuestro email o móvil a parte de tener que iniciar sesión en nuestra cuenta. En este caso el ciberdelincuente tendría que tener acceso a nuestras credenciales y a nuestro email o móvil, haciéndolo mucho más seguro.

# data[].attributes.headline
Ciberdelincuentes aprovechan la situación para cometer ataques "phishing"

# data[].attributes.subject
Ciberdelincuentes aprovechan la situación para cometer ataques "phishing"

# data[].attributes.attachment_link.readable_text
Los ciberdelincuentes aprovechan que la ciudadanía pasa más tiempo conectada a Internet para intensificar sus estafas

El presidente del Gobierno, Pedro Sánchez, comparecía públicamente para hacer una valoración de los efectos del Covid-19 en España poco después de que la pandemia mostrara su verdadera magnitud. Una maratoniana intervención en la que, entre otros sorprendentes datos, destacaba que el tráfico de Internet había crecido un 80 por ciento. Una consecuencia obvia del confinamiento decretado en el estado de alarma, pero que pone de relieve la actual realidad de millones de españoles.

Un estado de conexión permanente que se ha convertido en una oportunidad para los ciberdelincuentes. Redes organizadas que operan a nivel internacional y que están adaptando su modus operandi para utilizar el coronavirus como gancho. Esta son algunas de las modalidades detectadas por los cuerpos de seguridad.

Compras online

La compra online de mascarillas o trajes de protección es un claro ejemplo de la capacidad de adaptación de los ciberestafadores. Este fraude consiste en la creación de páginas web en las que falsas empresas ofertan mascarillas, equipos de protección individual (EPI), geles desinfectantes y diversos productos sanitarios que actualmente son muy demandados por las ciudadanía y las administraciones para combatir la pandemia. Cuando la víctima realiza la compra, facilita datos como el número de tarjeta, que los estafadores utilizarán posteriormente para apoderarse del dinero de la cuenta corriente.

Como ocurre durante la campaña comercial de Navidad o el black friday, periodos en los que este tipo de fraude se extiende, los estafadores esperan varios días para asestar el golpe definitivo y así captar el mayor número de víctimas.

Para evitar convertirse en una de ellas, la Policía Nacional recuerda que siempre que vayamos a hacer una compra en internet hay que asegurarse de que nos encontramos en un sitio web seguro, comprobando que la dirección comienza con el protocolo de transferencia de hipertexto https. Una acción que también es muy útil es revisar las opiniones de otros clientes en esa página, ya que si es una tapadera, suelen advertirlo.

Familiar enfermo

Los ciberdelincuentes no suelen tener muchos escrúpulos, por lo que a los expertos policiales no les resulta extraño que incluso utilicen el gancho de un familiar enfermo para engañar a la víctima.

Antonio Gómez, responsable de la unidad de Ciberdelincuencia de la Comisaría Provincia de Málaga, explica que los delincuentes se hacen pasar por personal de clínicas y telefonean explicando al interlocutor que un familiar ha sido hospitalizado por coronavirus y que hay que abonar una serie de tratamientos para que mejore su estado.

Estamos ante redes organizadas que llegan a habilitar call centers desde los que realizan un bombardeo de llamadas, explica Gómez, que apunta que se basan en la ingeniería social para vencer las dudas de las víctimas. Para ello juega un papel fundamental el contexto de temor y nerviosismo derivado de la pandemia.

"Contactan con centenares y centenares de personas y les es rentable conque únicamente pique una", agrega este investigador.

El phishing de la administración sanitaria

Todo un clásico de las ciberestafas. Como un virus, muta para adaptarse a nuevos escenarios en los que captar a un mayor número de víctimas. Su modus operandi es menos refinado que los métodos que requieren una interlocución y se basa en el envío masivo de correos electrónicos. Si tradicionalmente los delincuentes se hacen pasar por una entidad bancaria, en este caso suplantan a un ministerio, administración regional o institución sanitaria que supuestamente reclama unos datos importantes. Para facilitarlos pide que se acceda a un enlace con un formulario que suele ser la herramienta a través de la que la víctima aporta información sensible, a la que acceden los estafadores para posteriormente desvalijarle las cuentas bancarias, señala la citada fuente.

Al igual que ocurre en los casos de phishing bancario, las autoridades policiales recuerdan que las administraciones no piden a sus clientes las contraseñas por correo electrónico o mensajes al móvil.

El phishing del ERTE

Es exactamente igual que el anterior, pero dando un giro a la puesta en escena. En esta variedad, el email supuestamente lo remite un servicio de empleo y va dirigido a posible afectados por un Expediente de Regulación Temporal de Empleo (ERTE), a los que se les reclama una serie de documentación para recibir el salario y que finalmente acaba desvelando datos que permiten a los estafadores acceder a sus cuentas.

La avalancha de empresas que se han acogido a ERTEs como consecuencia del Covid-19, que ha afectado a más de 600.000 trabajadores en el país, ha proporcionado un ecosistema ideal para la propagación de este tipo de ciberfraude. Por eso se recomienda cerciorarse muy bien de que el remitente del correo es quien dice ser.

Junto a estos delitos propios de la expansión de las nuevas tecnologías, las autoridades policiales alertan de la distorsión que produce la propagación de bulos e informaciones sin contrastar. Una práctica que parece incrementarse en estos tiempos y que incluso ha llevado a la Policía Nacional a elaborar una guía para ayudar a detectarlos.

Conforme a los criterios de

The Trust Project

# data[].attributes.attachment_link.keywords[]
expediente de regulación temporal de empleo

# data[].attributes.attachment_link.title
Los fraudes del coronavirus: No piques o te desplumarán

# data[].attributes.attachment_link.description
Los ciberdelincuentes aprovechan que la ciudadanía pasa más tiempo conectada a Internet para intensificar sus estafas El presidente del Gobierno, Pedro Sánchez, comparecía públicamente para hacer una valoración de los efectos del Covid-19 en España poco después de que la pandemia mostrara su verdadera magnitud.

# data[].attributes.headline
Ciberdelincuentes clonan la web de Hacienda para poder robarte

# data[].attributes.subject
Ciberdelincuentes clonan la web de Hacienda para poder robarte

# data[].attributes.attachment_link.readable_text
El miedo a sufrir un ciberataque hace que nos andemos cada vez más con pies de plomo cuando navegamos por la Red. Sin embargo, a la vez que nosotros extremamos precauciones, los ciberdelincuentes también perfeccionan sus técnicas para conseguir engañarnos.

La última institución española que ha advertido de un posible caso de(o suplantación de identidad) ha sido la Agencia Tributaria. Según denuncia en su web, con motivo de la nueva campaña de la declaración de la renta que arranca el próximo 4 de abril, un año más se han detectado varios correos electrónicos y SMS fraudulentos que simulan la identidad e imagen del organismo público.

En ellos se hace referencia a falsos reembolsos de impuestos para los que el usuario, si quiere recibirlos, tendrá que acceder a una web maliciosa y rellenar un formulario con sus datos de cuentas bancarias y tarjetas de crédito. Además, se invita a descargar una supuesta nueva aplicación que, bajo el nombre de TAPE, no es más que un dañino malware. "Según los casos detectados, se encarga de cifrar archivos del equipo y exigir un pago para liberarlos o bien instala un troyano capaz de robar credenciales personales e información sensible", advierten desde la entidad.

Para no dejarse engañar, la AEAT aconseja desconfiar de cualquier petición de información que no provenga directamente del dominio de su página web o de su sede electrónica. Sin embargo, detectar los fraudes puede resultar complicado en muchos casos dada la destreza de los ciberdelincuentes.

Qué es el phishing: definición y significado

Como ya hemos comentado, el phishing consiste, a grandes rasgos, en suplantar la identidad de una empresa o entidad, por lo que lo primordial para estos atacantes es elegir una marca en la que los usuarios confíen y copiarla lo mejor posible. Grandes empresas, bancos o instituciones públicas son los más suplantados.

El 91% de estos ataquescomienzan con un simple correo electrónico. Tu banco solicita tus datos para mantener activa la cuenta o una marca de referencia te pide rellenar una sencilla encuesta: reclamos simples en los que cualquiera pudiera caer. El email puede contener textos originales, imágenes oficiales y enlaces que, en un principio, nos pueden parecer confiables.

Lo mismo ocurre con las webs a las que nos dirigen: el formato y los contenidos son idénticos. Para ello, los atacantes practican la ciberocupación, que consiste en hacerse con dominios de marcas que pertenecen a terceros. En los casos más llamativos, sin embargo, al tratarse de empresas o entidades reconocidas, lo que se buscan son dominios con ligeras variaciones que no levanten sospechas entre los usuarios: desde añadir al nombre de registro el objeto de la actividad (banco, tienda, shop ...) hasta referencias geográfica que incluso vayan separadas por guión (-madrid, -es...)

Para copiar la información, estos ciberdelincuentes utilizan fórmulas automatizadas para que nada se les escape. Algunas de las herramientas más usadas son las conocidas como , muy usados para rastrear e integrar contenidos de páginas de terceros en sus webs copiadas. Además, en estas suplantaciones, es común ver formularios de registro que dicen recompensar de algún modo al usuario o enlaces a noticias o promociones llamativas. Los más avanzados incluso permiten que los internautas se registren y vean un falso perfil para no levantar sospechas. Incluso los hay que facilitan números de teléfono de contacto o invitan a la víctima a que se conecte por Skype para redondear el timo.

Todos estos mecanismos pueden darse a la vez o por separado. Así, puedes encontrar desde sitios totalmente clonados hasta aquellos que solo copian los contenidos y el logotipo o utilizan un nombre diferente.

Ejemplos de phishing

De la misma manera que las webs maliciosas pueden adoptar formas diversas y combinables para engañar, las tácticas en torno a la suplantación también son variadas. Entra las primeros que surgieron están las estafas de pago adelantado, que consisten en pagar una pequeña cantidad de dinero a cambio de un beneficio que nunca llega. Un clásico que llegó a los correos de spam procedente de las cartas: en el siglo XIX, varios timadores utilizaban la estafa del prisionero español para sacar dinero a extranjeros movidos por la compasión.

Hoy en día, el principal reclamo es ofrecer un buen retorno de la inversión, aunque también se aprovechan de la buena fe de los usuarios. Por ejemplo, invitándoles a abrir una cuenta en un banco (falso) previo ingreso de un depósito o alertándoles de que no han pagado alguna (supuesta) factura.

Otro método son los formularios de registro para vendedores online. Una de estas webs maliciosas puede ofrecerles sus servicios para, por ejemplo, abrir mercado en un nuevo país y llevarles a rellenar un formulario y efectuar un pago atraídos por la oportunidad. Estos mismos formularios pueden servir a los ciberdelincuentes para almacenar datos sobre identidades y luego suplantarlas para seguir haciendo de las suyas.

Otro de los sectores con un alto índice de estafas son las ofertas de trabajo. Así, los usuarios pueden encontrarse con oportunidades laborales de grandes empresas que incluso contactan con ellos a través de un dominio ciberocupado.

Cómo protegerse del phishing

La mejor forma de evitar ser estafado es no responder jamás a una solicitud de información personal a través del correo electrónico, llamada de teléfono o SMS. Las empresas e instituciones nunca deberían solicitar (y no suelen hacerlo) contraseñas, números de tarjeta de crédito o cualquier información personal por estos medios. Si recibes una petición así, lo más probable es que se trate de un suplantador.

🔊Hoy circula este #phishing. RECUERDA: tu banco nunca te pedirá datos a través de correo electrónico pic.twitter.com/YCTfX9x9AQ
- Policía Nacional (@policia) 18 de marzo de 2018

También se recomienda evitar el acceso a cualquier web a través de un enlace, en especial si lo hemos recibido por alguna de las vías antedichas. Mucho mejor introducir la URL directamente en la barra de direcciones del navegador o, al menos, buscar la web en Google y entrar desde su página de resultados.

En la mayoría de los casos, tu mejor aliado es el sentido común. No hay que navegar con miedo, ya que los bancos, plataformas de comercio electrónico y demás páginas que tienen acceso a nuestro dinero tienen certificados de seguridad que garantizan el uso de cifrado. Para evitar disgustos, intenta navegar únicamente por webs seguras cuya dirección empiece por "https://".

Si ya es demasiado tarde, lo mejor que puedes hacer cuando has sido estafado es recopilar toda la información posible (capturas de pantalla, enlaces, direcciones de correo, mensajes...) y presentar una denuncia. En la web de la Oficina de Seguridad del Internauta (OSI) del Instituto Nacional de Ciberseguridad podrás encontrar información al detalle y actualizada sobre cómo y dónde hacerlo.

------------

Las imágenes son propiedad, según orden de aparición, de Pixabay, Christiaan Colen/Flickr y Pexels.

# data[].attributes.attachment_link.title
Anatomía del 'phishing': así clonan la web de Hacienda o de tu banco para robarte

# data[].attributes.attachment_link.description
Contenidos copiados, dominios de marcas registradas o información de contacto con teléfonos y cuentas de Skype son algunas de las fórmulas que utilizan los ciberdelincuentes para suplantar a empresas o entidades financieras y engañar a sus víctimas.

# data[].attributes.attachment_link.readable_text
más INFO

Con la llegada de septiembre los estafadores regresan también a nuestras redes de comunicación, esperando tal vez que con el síndrome postvacacional, ese muermo anímico que nos entra antes de que nos pongamos totalmente en "modo trabajo", no estemos todo lo atentos que deberíamos a las trampas que nos tienden y piquemos en alguna de ellas. En concreto, esta temporada ha empezado con dos ejemplos, uno de sustitución de identidad y el otro de robo de datos bancarios.

Estafa de verificación de Whatsapp

El pasado 30 de agosto la OCU emitía una alerta por la existencia de varios casos de lo que se conoce como el fraude de la verificación de nuestra cuenta de Whatsapp. El timo consiste en el envío y recepción por parte del usuario o usuaria, de un mensaje SMS en su móvil que le ofrece un código de verificación de su cuenta de Whatsapp y se le pide que entre en un enlace que se ofrece para introducirlo y verificar la vinculación del número de su teléfono con la cuenta.

La forma del mensaje SMS es casi idéntica a la que Whatsapp envía cuando estrenamos la aplicación o la implantamos en un móvil con un nuevo número de teléfono. La diferencia es que en este caso nosotros ya tenemos vinculados cuenta y teléfono y lo que sucede cuando pulsamos en el enlace es que cedemos la vinculación de la cuenta a otro número, el del delincuente, que suplantará nuestra identidad y se hará con nuestros contactos. Además, nosotros perdemos así el acceso a dicha cuenta.

El usurpador suele utilizar la suplantación para recopilar nombres y números de teléfono de nuestros contactos, con los que puede ir probando a seguir el timo y así ampliando su colección de datos personales, que luego seguramente venderá ilegalmente a terceros para que nos manden correos comerciales SMS no deseados, cuando no nuevos intentos de fraude por distintos métodos.

No obstante, aunque no evitemos esta apropiación de datos personales, podemos recuperar el control de la cuenta con relativa facilidad, ya que la próxima vez que intentemos acceder a nuestra aplicación de Whatsapp veremos cerrado el acceso avisándonos de que la cuenta no está ya vinculada a nuestro teléfono, y nos pedirá verificar. Deberemos pulsar en verificar y pedir volver a vincular nuestro teléfono.

Es entonces cuando recibiremos un SMS ahora sí auténtico de la empresa que nos ofrecerá un enlace para revincular nuestro número, o bien un código para introducir manualmente y así asegurarnos de que en el proceso solo participamos nosotros. Eventualmente, es posible que nos llamen desde el extranjero para dictarnos el código, como medida de seguridad que adopta Whatsapp.

Timo del envío de Amazon

El segundo timo que ha resurgido estos días, y que se repite más o menos cíclicamente, es el del envío urgente de un paquete de Amazon. Nos llega un SMS en el que se nos dice que nuestro envío urgente precisa ser verificado o de lo contrario se devolverá a destinatario. Es posible que estemos esperando un paquete o bien que pensamos que alguien de nuestra familia lo ha encargado y ha dado nuestro teléfono. Por lo tanto pinchamos en el enlace.

El mismo nos llevará a una página de nuestro navegador en la que de fondo se ve una página de Amazon, o que se asemeja, y donde una ventana emergente nos felicita por haber sido seleccionados para participar en el sorteo de un televisor HD cortesía de popular plataforma online. Para conseguir el televisor se nos dice que debemos rascar sobre una mancha ocre; por supuesto, al segundo intento aparece el premio, hemos ganado.

Para que nos envíen el premio, tenemos que ingresar en un nuevo videoclub online poniendo nuestro correo electrónico y una contraseña y después se nos piden los datos de nuestra tarjeta de crédito, con fecha de caducidad y código de control, aunque se nos asegura que no nos cobrarán nada. Obviamente, esto es una absoluta mentira y con nuestros datos de crédito los delincuentes extraerán tanto dinero como puedan, así que ni se nos ocurra poner un solo número.

Cómo reconocer estos dos fraudes

Para no picar en el anzuelo basta con estar atentos y aplicar el sentido común. En el primer caso, debemos pensar que a no ser que hayamos hecho alguna operación extraña, como eliminar Whatsapp de nuestro móvil y luego recuperarlo, la empresa nunca nos mandará un SMS. E incluso en este caso la vinculación entre el número y la cuenta continuaría existiendo sin necesidad de verificaciones.

Así que a no ser que estemos cambiando el teléfono que nos vincula con la cuenta, Whatsapp nunca nos mandará un SMS de verificación. Por lo tanto debemos sospechar, pero además por norma nunca debemos entrar en ningún enlace que nos llegue por SMS a no ser que podamos verificar claramente su procedencia.

Adicionalmente podemos implementar la verificación en dos pasos a Whatsapp, de modo que ante intentos como el relatado, no bastaría con pulsar en el enlace para que el delincuente se hiciera con nuestra cuenta, sino que se debería producir una verificación vía correo electrónico, lo que complicaría mucho la posible suplantación.

En el segundo caso es obvio que ni Amazon ni las empresas que trabajan con la plataforma nunca apremian al comprador o compradora para que ofrezca unos datos que se supone que ya dio en el momento de ejecutar la compra. Aun así, en el caso de que pinchemos en el enlace, debemos tener en cuenta que nadie regala televisores ni ninguna otra cosa.

Pero para demostrarlo basta con comprobar (como se aprecia en la imagen superior) que aunque la página aparente ser de Amazon, la url de la misma, sita en la caja de direcciones, no se corresponde en absoluto. En todo caso, si nos lleva la curiosidad, debemos tener claro que la línea roja está en el momento en que nos pidan nuestros datos bancarios, que jamás debemos escribir; al contrario, cerraremos la pestaña y borraremos el SMS.

# data[].attributes.attachment_link.title
Nuevas estafas por SMS para estrenar septiembre: cómo evitar caer en ellas

# data[].attributes.attachment_link.description
Los últimos timos son el de verificación de Whatsapp y el de la entrega urgente de AmazonEl primero busca hacerse con el control de nuestra aplicación de mensajería y el segundo es un ejemplo de libro de phishing que quiere los datos de nuestra cuenta bancaria

# data[].attributes.headline
Suplantación al Ministerio de Sanidad para robar datos

# data[].attributes.subject
Suplantación al Ministerio de Sanidad para robar datos

# data[].attributes.attachment_link.readable_text
Covid-19 en un ordenador Constantine Johnny / Getty Images

Los ciberdelincuentes están aprovechando del miedo al Coronavirus para robar datos o conseguir dinero de los internautas. En esta ocasión, los atacantes se han atrevido a suplantar al Ministerio de Sanidad en un mensaje de Whatsapp que se está haciendo viral donde se ofrecen recomendaciones para hacer frente a la enfermedad.

El Grupo de Delitos Telemáticos de la Guardia Civil ha alertado sobre esta estafa en las redes sociales. "Alerta por Coronavirus. Rogamos colaboración ciudadana y máxima difusión de este mensaje. ¡Compártelo en todos tus grupos de WhatsApp y en tus redes sociales! ¡¡Puedes salvar vidas!! Es muy importante que siga las medidas de protección recomendadas", reza el texto que suplanta al Ministerio de Sanidad. Además, este mensaje va acompañado de un enlace que redirige a la víctima a una página de venta de mascarillas, uno de los productos que más cuesta conseguir estos días.

Esta práctica de estafa se denomina phising. Los cibercriminales suplantan a un usuario o en este caso, una institución para engañar a la víctima y robarle información de su dispositivo móvil

como las claves del banco o infectar el sistema con un malware. Los expertos alertan sobre el aumento de este tipo de estafas. "El miedo está haciendo que estos timos se produzcan y, hemos de estar alerta porque, aunque el mensaje del supuesto Ministerio es bastante burdo, cada vez más usuarios están cayendo en la trampa. Además, estamos observando que el coronavirus es una excusa más para que el usuario no compruebe los datos", asegura Eusebio Nieva, director técnico de CheckPoint para España y Portugal.

El Ministerio de Sanidad nunca se pone en contacto con los ciudadanos a través de servicios de mensajería como Whatsapp o Line ni de forma directa por redes sociales. "Si no estamos suscritos a ninguna alerta del Ministerio de Sanidad o cualquier ente, debería extrañarnos recibir información en nuestro dispositivo de esta manera y no por los canales habituales de comunicación como la radio, la televisión o los medios escritos", añade Nieva.

Pero el Ministerio no es la primera institución que están usando los delincuentes para sacarle partido al coronavirus. Hace unos días, la Organización Mundial de la Salud (OMS) alertó sobre una campaña parecida. "Los delincuentes están suplantando a la OMS para robar dinero o información confidencial a los usuarios, verifique su autenticidad antes de responder", se puede leer en un comunicado en la página web oficial.

Un falso test de Coronavirus por 260 euros

Los dominios de internet, es decir, la dirección de internet, que incluyen la palabra coronavirus o que está relacionado con el Covid-19 ya alcanzan los 4.000. Uno de los más llamativos es un dominio ruso que incluía las palabras COVID y vaccine, ( vacuna en castellano), donde los ciberatacantes intentaban vender test de coronavirus a 300 dólares cada uno (260 euros). "Un dominio que incluya la palabra coronavirus tiene un 50% de probabilidades de ser un malware ", añade Nieva. Si creemos haber caído en este tipo de estafas, el primer paso es denunciarlo a la Guardia Civil, pero también podemos tomar otras medidas preventivas, como no repetir nunca contraseñas en los mails, redes sociales, cuentas bancarias o cualquier otro sistema de internet que requiera registro.

Los expertos también alertan del llamado phising empresarial. Consiste en engañar a los responsables de compras de las empresas o los encargados de hacer transacciones para que efectúen un pago urgente. Podrían ser desde mascarillas, hasta gel de manos o sistemas de acceso remoto para teletrabajar en casa. La técnica consiste en conseguir información de una empresa. "Descubrir quién es el encargado de hacer las transacciones, simular un mensaje del director de la compañía que diga que hay comprar unos sistemas, gel o mascarillas, mandar el contacto del proveedor y la cantidad a ingresar", explica Nieva. En muchas ocasiones la persona encargada no se para a comprobar los datos del emisor del mensaje y el dinero cae en manos de los asaltantes.

Se adhiere a los criterios de

En EL PAÍS, decenas de periodistas trabajan para llevarte la información más rigurosa y cumplir con su misión de servicio público. Si quieres apoyar nuestro periodismo y disfrutar de acceso ilimitado, puedes hacerlo aquí por 1€ el primer mes y 10€ a partir del mes siguiente, sin compromiso de permanencia.
Suscríbete

# data[].attributes.attachment_link.title
Los cibercriminales suplantan al Ministerio de Sanidad para robar datos a los usuarios de Whatsapp

# data[].attributes.attachment_link.description
Los ciberdelincuentes están aprovechando del miedo al Coronavirus para robar datos o conseguir dinero de los internautas. En esta ocasión, los atacantes se han atrevido a suplantar al Ministerio de Sanidad en un mensaje de Whatsapp que se está haciendo viral donde se ofrecen recomendaciones para hacer frente a la enfermedad.