phishing. Engaño con la caja
El Inteco (Instituto Nacional de Tecnologías de la Comunicación), con sede en León, ha alertado de un gran número de correos fraudulentos que tratan de suplantar la identidad de Caja España, lo que se conoce como phishing.
El objetivo de esta campaña fraudulenta es engañar a los usuarios para que hagan clic en un enlace que les redirige a una web maliciosa que suplanta la identidad de la Caja para capturar sus claves de acceso, datos bancarios y otra información relevante.
El Inteco aconseja a las que personas que hayan recibido un correo de características y hayan hecho clic en el enlace y facilitado su nombre de usuario y contraseña que modifiquen lo antes posible su clave de acceso a su banca online y las de todos aquellos servicios en los que utilices la misma contraseña.
El Inteco alerta en su página web de que los últimos ataques informáticos se concentran en la relación bancaria de las personas y tienen el propósito de obtener las claves de identificación del usuario y por lo tanto el acceso a sus servicios de banca online, generalmente para ordenar movimientos y transferencias en línea con sus intereses. «En los últimos tiempos, este fraude se extiende también a otros tipos de entidades que manejan datos confidenciales de los usuarios y prestan servicios on-line, como puede ser portales de comercio electrónico o de servicios de la administración».
El método de trabajo, explican los técnicos de Seguridad del Inteco, consiste en que el atacante envía un mensaje de correo electrónico, fingiendo ser su banco. En el mensaje le pide al usuario pinchar un enlace «para verificar sus datos». El enlace apunta a un servidor que se parece a la página del servidor del banco, pero no pertenece al mismo. Muchas veces el atacante consigue que incluso el nombre del dominio se parezca al dominio del banco, por ejemplo con el mismo nombre pero en otro país, explica el Inteco.
El organismo da algunos consejos para no ser víctima de un phishing. Son:
1- Hay que darse cuenta que el banco nunca se pondrá en contacto con los clientes para verificar sus datos. El banco conoce con certeza sus datos y jamás le pedirá verificarlos. El banco sólo se pone en contacto con sus clientes cuando los clientes lo piden o para informarles de los movimientos en la cuenta. Por lo tanto, se debe desechar cualquier mensaje inesperado aparentemente del propio banco.
2- No hay que asustarse ante el envío de información para hacer creer que ha habido un desastre o un serio peligro. La prisa es un mal consejero. Muchas estafas empiezan advirtiendo de que se ha hecho una compra con la tarjeta de crédito y para anularla hay que pulsar un enlace, o también indicando que se ha de pulsar el enlace para evitar que se anule el acceso por Internet a la cuenta bancaria.
3- Al conectarse por Internet con una entidad bancaria, se debe verificar que en la dirección en el explorador aparece la dirección normal del banco.
4- Se ha de verificar siempre, antes de teclear datos confidenciales (por ejemplo la contraseña o clave de acceso), que se ha establecido la conexión con un servidor seguro. Esto se puede comprobar si en el navegador se observa un candado, típicamente en la esquina inferior derecha, o al lado de la barra de dirección.
5- Pulsando sobre el candado se puede verificar que el certificado es válido y ha sido emitido realmente al banco al que se intenta acceder. Pulsando en la pestaña detalles y luego en el campo ‘asunto’ debe indicarse en ‘O = entidad bancaria deseada’, y en ‘L = localidad de la sede de la empresa’. Si se cumplen estas premisas, se está conectado con el banco realmente y se puede introducir la identificación y contraseña.
6- Si alguno de todos los aspectos anteriormente explicados no es correcto (el banco aparentemente se pone en contacto con el cliente, el enlace al sitio web del banco no es el habitual, o el certificado aparentemente no es válido), puede estar siendo víctima de un intento de phising.
En este caso, el Inteco recomienda ponerse en contacto con este organismo por correo electrónico (hay un formulario tipo en la página inteco.es) y el Equipo Antifraude pondrá en marcha las actuaciones previstas para la Gestión de Fraude Electrónico.
+ Info:
www.inteco.es