Casi todos los servicios que utilizamos tienen un componente basado en Internet; esto incluye las redes sociales, los servicios financieros, o las plataformas de colaboración. Si un delincuente puede poner en peligro cualquiera de ellos, la totalidad de nuestra presencia en línea podría estar en riesgo.
Sobre todo si no hemos habilitado la autenticación multifactor (no es a prueba de balas, pero es mejor que nada) o hemos reutilizado las mismas contraseñas para diferentes cuentas.
Es cierto que si tuviéramos que tener una llave real para cada cuenta que hemos creado en la web, seguramente terminaríamos con un llavero del tamaño de una pelota de fútbol.
Pero, aunque puede parecer un engorro, es muy importante utilizar contraseñas distintas para cada cuenta.
Si un ciberdelincuente consigue hacerse con las credenciales de una sola de nuestras cuentas, seguramente intentará acceder a otras, que utilizan el mismo nombre de usuario y contraseña.
Si nos da mucha pereza (a todos nos pasa lo mismo) crear, recordar, y gestionar tantas credenciales, podemos utilizar un administrador de contraseñas.
Páginas de inicio de sesión falsas
La falsificación de páginas de inicio de sesión, es una técnica utilizada por los ciberdelincuentes para robar las credenciales de un usuario mediante un formulario de inicio de sesión falso, calcado al legítimo.
Este método es particularmente insidioso porque explota la confianza del usuario en las interfaces de inicio de sesión que le son familiares.
¿Cómo funciona?
Este tipo de ataques generalmente comienzan con un correo electrónico de phishing que nos insta a iniciar sesión en alguna de nuestras cuentas pretextando cualquier cosa.
- Por ejemplo, afirman que ha habido un problema con nuestra cuenta bancaria, y debemos iniciar sesión para confirmar que somos los titulares de la misma.
- Por supuesto, en el mismo correo proporcionan un enlace en el que debemos pulsar.
- Si hacemos clic en este enlace, seremos dirigidos a una página de inicio de sesión idéntica a la original pero alojada en un sitio web con un dominio diferente.
- Los delincuentes capturarán los datos de acceso a medida que los introduzcamos.
- En función del código empleado por los estafadores, una vez introducidas las credenciales, podemos ser redirigidos a la página auténtica (o no).
Las organizaciones han implementado la Autenticación Multifactor (MFA), reduciendo significativamente la tasa de éxito de estos ataques.
En respuesta, los malos han estado combinando páginas de inicio de sesión falsas con tácticas de interceptación MFA para eludir la seguridad de las cuentas protegidas mediante este método.
Esta táctica es especialmente peligrosa porque MFA es considerado como una medida de seguridad casi infalible, y muchos usuarios y organizaciones confían en ella.
Cómo identificar una página de inicio de sesión falsa
Comprueba siempre la URL de la página de inicio de sesión antes de introducir las credenciales.
Los estafadores suelen disfrazar las URL falsas para que parezcan legítimas, alterando los dominios de nivel superior, escribiendo mal los nombres, o utilizando caracteres de apariencia similar.
Por ejemplo, aunque echando un vistazo rápido, www.infosegur.net y www.infoseur.net, puedan parecer lo mismo, no tienen nada que ver.
Busca el icono del candado en la barra de direcciones del navegador, que indica que el sitio web cuenta con un certificado de seguridad.
Pero ten en cuenta que muchas páginas de phishing también los utilizan (los hay muy baratos y también gratuitos).
Examina la calidad del contenido.
Una gramática u ortografía deficientes pueden ser una señal de alerta.
Pero tras la llegada de la inteligencia artificial, hasta un analfabeto funcional, puede crear una página de inicio de sesión perfecta y en cualquier idioma.
Si no lo ves claro, no dudes en utilizar las opciones de contacto telefónico, o el servicio de atención al cliente.
La ausencia de este tipo de información, es un indicador muy potente de que el sitio no es confiable.
Los sitios falsos normalmente no duran mucho: acostumbran a ser detectados a corto o medio plazo.
Herramientas como Whois pueden proporcionar detalles como el nombre de la organización, del propietario, el país de registro y la edad del dominio.
Cuidado con los sellos de confianza.
Los sitios infames pueden utilizar certificaciones o logotipos de seguridad bajados de internet sin haber obtenido el certificado legalmente.
Pulsa sobre las entidades emisoras para verificar que son reales.
Utiliza un analizador de sitios web.
Hay herramientas en línea gratuitas como por ejemplo Sitechecker que comprueba las URL para detectar sitios inseguros.
También tenemos que tener muy claro que nuestro banco, y otros servicios, nunca nos van a solicitar nuestro nombre de usuario y contraseña mediante correo electrónico, teléfono u otro tipo de forma de comunicación.
