El phishing es un mensaje que finge venir de alguien de confianza, como un banco, una empresa de mensajería, tu empleador o un amigo, para que pulses un enlace, abras un archivo o entregues una contraseña. Llega por correo, SMS, aplicaciones de mensajería y llamadas. Los mensajes suelen ser convincentes, pero comparten algunas costumbres.
¿Qué suele querer un mensaje de phishing?
Casi todos los mensajes de phishing quieren una de tres cosas: que inicies sesión en una página que controla el remitente, que abras un adjunto que instala algo dañino, o que envíes dinero o información por un problema inventado. La historia que rodea la petición cambia, pero el objetivo es el mismo.
Entre las historias habituales están una cuenta bloqueada, una entrega fallida, una factura sin pagar, un reembolso inesperado, un premio o un familiar en apuros que necesita ayuda enseguida. Si un mensaje te pide una contraseña, un código de verificación, un pago o una copia de un documento de identidad, verifícalo antes de actuar.
¿Qué señales delatan un mensaje de phishing?
Ninguna señal por sí sola demuestra que un mensaje es falso, y las buenas falsificaciones pueden evitarlas todas. Aun así, conviene revisar esto cada vez:
Presión. El mensaje dice que tienes unas horas, que tu cuenta se cerrará o que pasará algo malo si esperas.
Una dirección de remitente parecida pero incorrecta, con una letra cambiada o una palabra de más en el dominio.
Un enlace cuyo texto visible no coincide con su destino. En un ordenador puedes pasar el cursor por encima, y en el teléfono puedes mantenerlo pulsado para ver la dirección.
Un adjunto inesperado, sobre todo un archivo zip, una factura que no pediste o un archivo que te pide activar macros.
Una petición de pago con tarjetas regalo, criptomonedas o una transferencia a una cuenta nueva.
¿Qué debes hacer antes de pulsar?
Detente y ve más despacio. La presión es la herramienta de la que depende el remitente, así que tomarte unos minutos le quita gran parte de su ventaja. No respondas, no llames a un número del mensaje y no abras el enlace ni el adjunto.
Después, comprueba lo que dice por una vía en la que ya confíes. Abre la aplicación de la empresa o escribe tú mismo su dirección en el navegador, y busca el mismo aviso en tu cuenta. Llama al número impreso en tu tarjeta o en el sitio web oficial de la empresa. Si el mensaje parece de un compañero o un familiar, contáctalo por otro medio, como una llamada, y pregúntale si lo envió él.
¿Por qué los SMS y las llamadas también forman parte del phishing?
El phishing no se limita al correo. Son habituales los SMS sobre paquetes, peajes o alertas del banco, y también las llamadas de alguien que dice trabajar en tu banco o en un servicio de soporte. Quien llama puede hacer que el número en tu pantalla parezca casi cualquiera, así que el número mostrado no prueba nada.
Un banco de verdad no te pedirá que muevas dinero a una «cuenta segura», y un equipo de soporte de verdad no te pedirá un código que acaban de enviar a tu teléfono. Si quien llama crea urgencia, cuelga y vuelve a llamar a un número que hayas buscado tú. Lo mismo vale para los mensajes de voz y para los mensajes de la cuenta hackeada de un amigo que te pide dinero.
¿Qué hacer si ya pulsaste o escribiste una contraseña?
Les pasa a personas cuidadosas, y actuar rápido marca una diferencia real. Sigue estos pasos en orden:
Desconéctate del problema. Si abriste un archivo y crees que ejecutó algo, desactiva la conexión de red de ese dispositivo y mantenla desactivada hasta que lo revisen.
Cambia la contraseña de la cuenta afectada, a ser posible desde otro dispositivo. Si usabas esa contraseña en otros sitios, cámbiala también allí.
Activa la verificación en dos pasos, de preferencia con una clave de acceso o una aplicación de autenticación, y cierra las demás sesiones en los ajustes de la cuenta.
Contacta con tu banco de inmediato si compartiste datos de tarjeta o bancarios. Pídele que bloquee la tarjeta o vigile la actividad inusual.
Busca cambios que no hiciste tú, como reglas de reenvío nuevas en tu correo, direcciones de recuperación nuevas o inicios de sesión desconocidos.
Denuncia el mensaje al servicio que fingía ser, y avisa a tus contactos si la cuenta envió mensajes en tu nombre.
¿Cómo hacer que el phishing cause menos daño desde el principio?
No puedes evitar que te llegue cada mensaje, así que el objetivo es limitar el daño cuando uno se cuela. Usa una contraseña distinta para cada cuenta y guárdalas en un gestor de contraseñas, que además ayuda porque no rellenará una contraseña en un sitio con la dirección equivocada. Las claves de acceso van más allá, ya que no se pueden escribir en una página falsa.
Mantén actualizados el teléfono y las aplicaciones, y ten cuidado con las aplicaciones y archivos de fuera de las tiendas oficiales. Limita lo que guardas en lugares que una sola contraseña robada puede abrir. Las copias de tu pasaporte, tus papeles de impuestos o tus contratos no tienen por qué estar en tu bandeja de entrada, donde un solo mensaje de phishing eficaz podría exponerlos todos.
Aquí es donde Revault puede ayudar. Guarda fotos, documentos y archivos en una bóveda cifrada en tu dispositivo, sin una cuenta de Revault que alguien pueda suplantar. Eso no impide que te envíen un mensaje falso, pero mantiene tus archivos más sensibles fuera de tu bandeja de entrada y de tus cuentas en la nube. Ninguna herramienta sustituye al criterio, así que el hábito que más te protege es el sencillo: cuando un mensaje te pide algo urgente, verifícalo primero por otra vía.