Phishing por SMS, chat, teléfono y código QR
Módulo 3: Reconocer el phishing · Tiempo de lectura: 12 minutos
Objetivo de aprendizaje: Después de esta lección podrá reconocer el phishing fuera del correo electrónico: por SMS y aplicaciones de chat, por teléfono (incluso con una voz clonada), mediante códigos QR y a través de una avalancha de avisos de inicio de sesión, y sabrá cómo comprobarlo en cada canal.
Conceptos clave: smishing, fraude del amigo en apuros, vishing, suplantación de número (spoofing), falso servicio técnico, clonación de voz, quishing, bombardeo de MFA
Por qué otros canales funcionan tan bien
Todo lo visto en la lección 3.1 se aplica también aquí: urgencia, autoridad, miedo, curiosidad y recompensa. Pero fuera del correo electrónico, los trucos suelen funcionar aún mejor:
- En el teléfono se lee deprisa. La pantalla es pequeña, las direcciones se cortan y a menudo está ocupado con otra cosa.
- Hay menos tecnología que ayude. Un servidor de correo comprueba SPF, DKIM y DMARC y tiene un filtro antispam. Para el SMS, el chat y el teléfono hay mucho menos de eso.
- Se siente más personal. Un mensaje en una aplicación de chat o una voz al teléfono genera más confianza que un correo electrónico.
- Es en directo. Quien llama puede insistir, aumentar la presión y guiarle paso a paso.
El reflejo sigue siendo el mismo: deténgase, compruebe por su propio medio, pregunte. Lo que cambia según el canal es cómo se hace esa comprobación.
SMS y chat: smishing y el fraude del amigo en apuros
El smishing es el phishing por SMS. Los estafadores se hacen pasar por una organización de la que usted podría esperar un SMS: una empresa de transporte, el banco, un organismo público, su compañía de energía. Según INCIBE, ocurre lo mismo a través de aplicaciones de chat como WhatsApp y Telegram.
Un ejemplo típico:
Empresa de mensajería: su paquete no pudo entregarse por dirección incompleta. Programe una nueva entrega:
https://koeriersdienst.track-nl.example/z8K
Lea el enlace como en la lección 3.2: el dominio registrable es track-nl.example y por tanto no es koeriersdienst.example, el de la empresa de transporte. En un teléfono esto resulta aún más difícil, porque solo se ve el principio. Mantenga pulsado un enlace para ver la dirección completa, o no lo abra y vaya usted mismo a la aplicación o el sitio de la empresa de transporte.
El número o el nombre del remitente no demuestran nada. Los remitentes de SMS y los números de teléfono se pueden falsificar (spoofing). Por eso un mensaje falso puede aparecer en el mismo hilo de SMS que mensajes reales de ese remitente. Por tanto, un nombre conocido encima de un mensaje tampoco es una prueba.
El fraude del amigo en apuros se produce a través de aplicaciones de chat:
Hola, este es mi nuevo número, mi teléfono se ha estropeado. ¿Puede pagar usted algo por mí? Se lo devuelvo mañana. Tiene que ser hoy mismo.
En una empresa aparece el mismo truco como mensaje de «el director» o «un compañero» con un número nuevo, que quiere con urgencia un pago o tarjetas regalo. Compruébelo: llame o escriba a esa persona al número antiguo y conocido, o hágale una pregunta que solo la persona real pueda responder.
El teléfono: vishing, falso servicio técnico y voces clonadas
El vishing (voice phishing) es el phishing por teléfono. Son habituales tres formas.
El empleado del banco. Alguien llama en nombre del banco o del «departamento de fraude»: hay pagos sospechosos, su dinero debe ponerse «a salvo», o debe facilitar un código o aprobar un pago en su aplicación bancaria. En su pantalla a veces incluso aparece el número real del banco. Eso también puede estar falsificado. Un banco real nunca pide sus códigos de acceso ni que transfiera dinero a una «cuenta segura».
El falso servicio técnico. Alguien llama en nombre de un proveedor de software, su proveedor de internet o su empresa de informática: su ordenador está infectado, hay un problema con su cuenta. Le pide que instale un programa para poder observar en remoto. Con eso toma el control de su ordenador. INCIBE lo dice de forma sencilla: nunca dé a nadie acceso remoto a sus dispositivos sin más.
La voz clonada. Con IA se puede imitar una voz a partir de grabaciones de audio, por ejemplo de un vídeo o un buzón de voz. Un clon de voz de su director o de un familiar puede entonces llamar con una petición urgente. Ya no puede fiarse ciegamente de sus oídos.
Lo que funciona en los tres casos:
- Cuelgue en cuanto note presión o le pidan códigos, dinero o acceso. No es de mala educación.
- Llame usted mismo a un número que busque usted mismo o que ya tuviera: el reverso de su tarjeta bancaria, el sitio web oficial, su propia lista de contactos. No el número que le dé quien llama.
- Acuerde una pregunta de control o una palabra clave con las personas que puedan pedirle dinero, como la dirección y la administración. Establezca también que los pagos nunca se realizan únicamente a partir de una llamada telefónica (lección 1.2).
Códigos QR: quishing
Un código QR no es más que un enlace que no se puede leer a simple vista. El quishing es el phishing mediante un código QR. Dos formas:
- En la calle o en un espacio. Una pegatina con un código QR propio colocada encima del original, en un parquímetro, un punto de carga, una carta de restaurante o un cartel. Usted cree que está pagando en la aplicación de aparcamiento, pero introduce los datos de su tarjeta en un sitio falso.
- En un correo electrónico o un PDF. «Escanee este código para confirmar su buzón de correo.» Un código QR dentro de una imagen no se puede comprobar pasando el ratón por encima. Y lo escanea con su teléfono, donde las direcciones se leen peor.
INCIBE recomienda, entre otras cosas:
- No escanee un código QR sin texto o imagen que lo acompañe, y tenga cuidado con los códigos en lugares públicos.
- Compruebe si el código está realmente impreso en el cartel o en el panel, o si se ha pegado una pegatina encima.
- Utilice un escáner que muestre primero a qué dirección o dominio le va a llevar. En las versiones más recientes de Android e iOS, la cámara lo hace por defecto.
- Si no reconoce la dirección, no continúe. No introduzca ninguna contraseña ni datos de pago si no está seguro de que el sitio es auténtico.
Al ver el ejemplo de la dirección que muestra la cámara, fíjese en el dominio registrable, exactamente igual que en la lección 3.2. En un parquímetro también puede usar la aplicación oficial de aparcamiento o la dirección que figura en el propio panel.
Bombardeo de MFA: cuando su teléfono no deja de sonar
Muchos servicios envían un aviso a su teléfono al iniciar sesión: «¿Está intentando iniciar sesión? Aprobar o rechazar.» Si un atacante ya tiene su contraseña, intentará iniciar sesión una y otra vez. Su teléfono recibe un aviso tras otro, a veces en plena noche. Esto se llama bombardeo de MFA (también fatiga de MFA). El atacante espera que, por irritación o por error, pulse Aprobar. A veces incluso le llama o le escribe haciéndose pasar por «servicio técnico»: «Estamos recuperando su cuenta, pulse aprobar.»
Qué debe hacer:
- Nunca apruebe un aviso que usted mismo no haya iniciado. Tampoco si alguien se lo pide.
- Considérelo una alarma. Un aviso de inicio de sesión inesperado significa que alguien tiene su contraseña. Cambie inmediatamente la contraseña de esa cuenta, a través del propio sitio o aplicación.
- Revise las sesiones activas y cierre las sesiones que no reconozca (lección 2.5).
- Elija una forma más fuerte de verificación en dos pasos (2FA) si está disponible. Con la coincidencia de números (number matching) debe introducir en la aplicación un número que aparece en la pantalla de inicio de sesión; un aviso sin esa pantalla delante no se puede aprobar sin más. Las passkeys y las llaves de seguridad (lección 2.4) son aún más fuertes, porque no funcionan en un sitio falso.
En la práctica: así se ve
En Mi WebOké puede ver en sesiones activas dónde y cuándo ha iniciado sesión, y puede cerrar otras sesiones (manual de WebOké 3.6). Otros servicios, como su programa de correo, su programa de contabilidad o Nextcloud, tienen un resumen similar en la configuración de seguridad de su cuenta. Consúltelo ahí en primer lugar después de un aviso de inicio de sesión inesperado.
Resumen
- Fuera del correo electrónico funcionan los mismos trucos, pero hay menos tecnología que ayude y usted lee más deprisa.
- Un número o un nombre de remitente en su pantalla no demuestra nada: se pueden falsificar.
- Por teléfono: cuelgue, llame usted mismo a un número conocido, nunca facilite códigos, dinero o acceso en remoto. Incluso una voz conocida puede haber sido clonada.
- Códigos QR: fíjese en las pegatinas, deje que la cámara muestre la dirección y lea el dominio registrable.
- Un aviso de inicio de sesión inesperado es una alarma: recházelo, cambie la contraseña, revise las sesiones.
Cuestionario
Ejercicio
Ejercicio A3.4: Leer un código QR sin abrirlo. El programa muestra un código QR. Escanéelo con la cámara de su teléfono, pero no abra el enlace. Lea la dirección que muestra la cámara e indique el dominio registrable, y si abriría el enlace. El programa lo comprueba.
Ejercicio D3.4: Acuerdos para teléfono, chat y avisos de inicio de sesión. Establezca con su equipo acuerdos sobre llamar de vuelta, una pregunta de control o palabra clave, y qué hacer ante un aviso de inicio de sesión inesperado. A continuación, compruebe en su propio teléfono si la cámara muestra la dirección de un código QR antes de abrir nada.
Ejercicio D3.4: Acuerdos para teléfono, chat y avisos de inicio de sesión
Así se hace: (1) Acuerde con las personas que realizan o aprueban pagos que una solicitud de dinero, un cambio de IBAN o unos códigos nunca se ejecuten solo por teléfono, sms o chat. Devolver la llamada siempre se hace a un número de su propia administración o lista de contactos. (2) Acuerde una pregunta de control o una palabra clave para solicitudes urgentes de la dirección o de familiares. No escriba la palabra clave en ningún sitio digital donde un atacante pueda leerla. (3) Acuerde qué hace cada uno ante un aviso de inicio de sesión inesperado o una serie de avisos: rechazar, notificar, cambiar la contraseña, revisar las sesiones (lección 2.5). (4) Compruebe en su propio teléfono si la cámara, al escanear un código QR, muestra primero la dirección y solo la abre al tocarla. Use para ello un código QR de una fuente conocida y propia (por ejemplo, un código que usted mismo genere para https://www.example.com). (5) Compruebe si su aplicación de chat y sus cuentas principales tienen una protección adicional que aún no use (por ejemplo, verificación en dos pasos (2FA) con un PIN, vinculación por número en los avisos de inicio de sesión, o una passkey) y actívela.
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para saber más
Los pasos de los artículos de WebOké son válidos para el entorno de WebOké; en otros proveedores funciona de forma parecida.
- Manual de WebOké 3.6: Ver y cerrar sesiones activas
- Manual de Nextcloud 3.6: Ver, anular o borrar dispositivos y sesiones a distancia
- INCIBE, phishing por SMS («smishing»): https://www.incibe.es/empresas
- INCIBE, cómo reconocer una llamada falsa: https://www.incibe.es/empresas
- INCIBE, códigos QR: https://www.incibe.es/empresas
- Línea de Ayuda en Ciberseguridad de INCIBE, consulta y notificación de fraude y phishing: https://www.incibe.es/linea-de-ayuda-en-ciberseguridad