Phishing: cómo reconocer y evitar los ataques

En 2024, las soluciones de Kaspersky bloquearon más de 893 millones de intentos de phishing, es decir, cerca de 2,4 millones al día, y el Anti-Phishing Working Group registró casi un millón solo en el cuarto trimestre. Detrás de estas cifras se esconde un mismo mecanismo de manipulación que es posible aprender a neutralizar.

¿Qué es el phishing (o suplantación de identidad)?

El phishing, también conocido como suplantación de identidad, es una técnica de fraude que consiste en hacerse pasar por una entidad de confianza (banco, servicio de entrega, organismo público) para robar información personal o credenciales de acceso. Su eficacia se basa en un único resorte: la apariencia de legitimidad.

Un mensaje de phishing reproduce los logotipos, los colores y el tono de una comunicación oficial. El usuario se fía de esta apariencia visual para juzgar la fiabilidad del mensaje, y es precisamente ese hábito el que aprovechan los atacantes. Ya sea por correo electrónico o a través de un sitio falso, el mecanismo es siempre el mismo: crear una apariencia creíble para conseguir una acción irreflexiva.

¿Cuáles son las señales de un correo de phishing?

Un correo de phishing combina casi siempre las mismas señales: un pretexto urgente, un remitente que imita una marca conocida, un enlace hacia un sitio donde introducir las credenciales y una solicitud de información que un servicio legítimo nunca pediría de esa forma. Reconocerlas es cuestión de unos pocos hábitos.

• Un pretexto urgente: "actividad sospechosa en su cuenta", "paquete pendiente de entrega", "pago rechazado". El objetivo es que actúe antes de pensar.
• Un remitente que imita una marca: el nombre que aparece parece legítimo, pero la dirección de envío real no corresponde al dominio oficial.
• Un enlace o botón en el que hacer clic: lleva a un sitio falso, visualmente idéntico al real, donde se solicitan las credenciales.
• Una solicitud de información sensible: contraseña, número de tarjeta, código de seguridad. Un servicio serio nunca los pide por correo electrónico.

Ninguna de estas señales es una prueba por sí sola, pero su acumulación debe despertar la desconfianza. El denominador común de todos estos mensajes es la presión: buscan provocar una reacción emocional en lugar de un análisis razonado.

¿Cómo reconocer una URL falsa?

El método más fiable para identificar un sitio de phishing es leer con atención la URL y, en particular, el nombre de dominio. El dominio real es lo que aparece justo antes de la primera barra, y todo lo que hay a su izquierda puede ser fabricado por el atacante.

Tomemos example.com como dominio legítimo:

• Abuso de subdominio: example.another-dangerous-site.cam. Aquí, el dominio real es another-dangerous-site.cam, no example.
• Guion engañoso: example-secure-login.cam. Un dominio completamente diferente que contiene el nombre de la marca.
• Extensión diferente: example.site en lugar de example.com.
• Typosquatting: examplle.com, una letra duplicada, fácil de pasar por alto en una lectura rápida.

La regla a recordar: el dominio real es la palabra situada justo antes de la extensión (.com, .es, .org). Todo lo que esté separado por un punto adicional a la izquierda es un subdominio que cualquiera puede crear.

¿Cómo verificar que un correo electrónico es auténtico?

No se puede confiar únicamente en la apariencia. Los mecanismos técnicos como SPF y DKIM verifican que un correo haya sido enviado realmente desde un servidor autorizado para el dominio mostrado, pero prueban el origen técnico del mensaje, no la honestidad de su remitente.

SPF (Sender Policy Framework) enumera los servidores autorizados a enviar correos en nombre de un dominio. DKIM (DomainKeys Identified Mail) añade una firma criptográfica verificable por el destinatario. Esta información aparece en las cabeceras técnicas del mensaje.

Sin embargo, estos mecanismos tienen una limitación importante. Un atacante puede configurar un SPF y un DKIM perfectamente válidos en un dominio de su propiedad, como support-securite-amazon.com. El resultado es técnicamente correcto, pero engañoso a nivel humano: la verificación prueba que ese dominio envió el mensaje, no que pertenezca a la marca que imita.

He hecho clic en un enlace de phishing, ¿qué debo hacer?

Hacer clic en un enlace generalmente no basta para comprometer una cuenta: el peligro viene de lo que se hace a continuación. Si no ha introducido ningún dato ni descargado nada, simplemente cierre la página. Si ha introducido una contraseña, cámbiela sin demora.

• No introduzca ningún dato en la página abierta y ciérrela.
• Si ya ha introducido una contraseña, cámbiela de inmediato en el servicio correspondiente, escribiendo usted mismo su dirección oficial en lugar de volver a usar el enlace recibido.
• Cambie esa contraseña en todos los sitios donde la reutilizaba. Por eso usar una contraseña única por sitio limita considerablemente los daños.
• Active la autenticación en dos pasos en la cuenta si aún no lo ha hecho.
• Durante los días siguientes, esté atento a los intentos de inicio de sesión y a los cambios que usted no haya realizado.

Si ha facilitado un número de tarjeta bancaria, contacte con su banco para bloquearla. Actuar rápido reduce notablemente las consecuencias de un clic erróneo.

¿Cómo saber si han caído en la trampa del phishing?

Varias señales indican que un ataque de phishing ha tenido éxito: una contraseña habitual que ya no funciona, correos de restablecimiento que usted no ha solicitado, mensajes enviados en su nombre o una alerta de inicio de sesión desde un lugar inusual. Ante la menor duda, es mejor reaccionar como si la cuenta estuviera comprometida.

• Ya no puede iniciar sesión con su contraseña habitual.
• Recibe confirmaciones de cambios (contraseña, dirección de recuperación, teléfono) que usted no ha iniciado.
• Sus contactos reciben mensajes o correos que usted no ha enviado.
• El servicio notifica un inicio de sesión desde un dispositivo o un país que no reconoce.

En ese caso, cambie la contraseña afectada desde un dispositivo seguro, revise la lista de dispositivos conectados en la configuración de la cuenta y revoque las sesiones que no reconozca.

¿En qué medida protege un gestor de contraseñas contra el phishing?

Un gestor de contraseñas compara la URL real del sitio con la registrada para cada credencial. Si el dominio no coincide exactamente, no ofrece rellenar los campos. Es una protección pasiva que no requiere ningún esfuerzo especial por parte del usuario.

Allí donde el ojo humano puede confundir example.com con examplle.com, el gestor realiza una comparación estricta, carácter por carácter, insensible a los trucos visuales de camuflaje de dominio. Esta verificación automática constituye una red de seguridad en el día a día: si el gestor no propone sus credenciales en un sitio que supuestamente debería reconocer, esa es una señal de alerta inmediata.

¿Es suficiente el 2FA contra el phishing?

No, no contra los ataques ejecutados en tiempo real. La autenticación en dos factores (2FA) es una mejora real de seguridad, pero en un escenario denominado AiTM (Adversary-in-the-Middle), el atacante intercepta y retransmite cada etapa del proceso de inicio de sesión, incluido el código de un solo uso.

El funcionamiento es el siguiente: la víctima introduce sus credenciales en el sitio falso. Este las transmite de inmediato al sitio real, que envía un código 2FA. La víctima introduce ese código en el sitio falso, que lo retransmite a su vez. El atacante queda conectado con un código válido, antes incluso de que expire.

El 2FA sigue siendo eficaz contra los ataques diferidos: una base de contraseñas robadas se vuelve inutilizable si el 2FA está activo. Pero frente a una retransmisión en tiempo real, el código de un solo uso ya no es suficiente.

¿Protegen las passkeys contra el phishing?

Sí. Una passkey está vinculada criptográficamente al dominio exacto para el que fue creada. En un sitio fraudulento, aunque sea visualmente idéntico, simplemente no se activa, ya que no hay ningún secreto compartido que introducir ni interceptar.

La autenticación se basa en un intercambio criptográfico entre el dispositivo del usuario y el servidor legítimo: nada que reproducir, nada que robar. Incluso una retransmisión AiTM en tiempo real no puede eludir esta protección. Las passkeys constituyen la respuesta estructural al phishing, al eliminar el eslabón débil que representa el secreto que el usuario puede transmitir sin saberlo.

Lo que hay que recordar

• El phishing se basa en la apariencia de legitimidad y el sentido de urgencia: frenar antes de hacer clic es el primer hábito que hay que adquirir.
• La URL es el indicador más fiable: aprenda a leer el nombre de dominio real antes de introducir cualquier dato.
• Si ha introducido una contraseña en un sitio falso, cámbiela de inmediato en el servicio real y en todos los sitios donde la reutilizaba.
• Un gestor de contraseñas verifica la URL en su lugar y no se deja engañar por un dominio falso.
• El 2FA protege contra los ataques diferidos, pero no contra el phishing en tiempo real.
• Las passkeys son la única protección estructural que hace que el phishing sea técnicamente inoperante.

Más allá de los buenos hábitos individuales, la protección de sus datos también depende de la plataforma que elija. Descubra nuestro enfoque de la seguridad y la soberanía.