Cómo detectar el phishing

En la dirección example.com.account-check.example, el sitio que realmente es dueño de la página es account-check.example; el example.com del principio es solo una etiqueta que eligió su dueño.

Un mensaje de paquetería que la empresa nunca envió

Este es un mensaje inventado de un tipo conocido: «Tu paquete no pudo entregarse porque la dirección está incompleta. Actualízala en 24 horas», seguido de un enlace corto. Si estás esperando una entrega, ya tienes el pulgar sobre el enlace. Eso es phishing: un mensaje diseñado para que abras un archivo adjunto dañino, hagas clic en un enlace a un sitio falso o entregues datos personales o financieros. Llega por correo, por mensaje de texto (a menudo llamado smishing), por aplicaciones de mensajería y por teléfono.

Las señales de ese mensaje tan corto

La CISA enumera las señales habituales, y el mensaje del paquete tiene casi todas. Lenguaje urgente o emotivo, con la amenaza de un problema si no actúas ya. Una petición de datos personales o financieros. Un enlace acortado poco fiable. Una dirección del remitente o un enlace ligeramente equivocados, con una letra cambiada o una palabra de más. Pero una señal antigua ya no sirve. Antes era fácil reconocer el phishing por su mala ortografía y gramática, pero la CISA señala que en la era de la IA algunos mensajes tienen ahora una gramática y una ortografía perfectas. Así que fíjate en lo que el mensaje quiere que hagas, no en lo bien escrito que está. Una cuenta bancaria «bloqueada por tu seguridad», un premio de un sorteo en el que nunca participaste, un familiar con un número nuevo que necesita dinero hoy: cada uno te empuja a actuar antes de pensar.

Leer un enlace desde la derecha

Antes de tocar un enlace, mira el nombre del host: la parte después de https:// y antes de la primera barra simple. Léelo desde la derecha. Las dos últimas partes (o tres, en direcciones como .co.kr) nombran a la organización que lo controla, y todo lo que está a su izquierda es una etiqueta que eligió esa organización. Así, login.example.com pertenece a example.com, pero example.com.account-check.example pertenece a account-check.example. En un teléfono, mantén pulsado un enlace para ver la dirección completa sin abrirlo. Las llaves de acceso también ayudan aquí, porque simplemente no funcionan en un sitio que no sea el auténtico. (Todas las direcciones de esta página usan nombres reservados para ejemplos, como example.com y la terminación .example, así que ninguna es un sitio real.)

Comprueba por otra vía y luego denuncia

La CISA da tres consejos: reconocer, resistir y borrar, y las señales de arriba son el primero. Resistir significa que no haces clic en enlaces ni abres archivos adjuntos de un mensaje del que no estás seguro, y que no respondes, ni siquiera a un enlace para «darte de baja». Si el mensaje dice venir de una empresa que usas, abre su aplicación o escribe tú mismo su dirección y compruébalo allí. Si dice venir de alguien que conoces, llámale al número que ya tienes. Luego borra el mensaje, después de denunciarlo con la opción «denunciar spam» o «denunciar phishing» de tu aplicación de correo o de mensajería. En Corea, KISA ofrece una línea gratuita, el 118, para problemas de hackeo, spam y datos personales; su menú también conecta las denuncias de vishing y smishing con la policía. El sitio Boho Nara de KISA (boho.or.kr) ofrece un servicio para comprobar mensajes de texto sospechosos.

Las llamadas siguen el mismo patrón. Alguien dice llamar de tu banco, de una empresa de paquetería, de la policía o de la fiscalía, te dice que tu cuenta está implicada en un delito y te pide mover dinero, instalar una aplicación o leer en voz alta un código. Las instituciones reales no piden eso por teléfono. Cuelga, busca tú mismo el número oficial y vuelve a llamar. Nunca instales una aplicación ni un programa de control remoto porque te lo pidió quien te llamó.