Fotografía: infocux Technologies (vía Flickr)

Phishing es una técnica enmarcada dentro de la Ingeniería Social (arte del engaño), la cual consiste en lograr que las víctimas provean información sensible, como nombres de usuario, contraseñas, documentos privados…

Por medio de un simple clic, el usuario puede poner el riesgo los planes y estrategias que la empresa se encuentra a punto de ejecutar, dando fácilmente información, en muchas ocasiones sin darse cuenta de ello.

No solo es factible poner en riesgo la empresa, también es posible que si usted llega a caer en una de estas trampas y no se entera de ello, sus fondos bancarios puede ir a ceros. Veamos a continuación 2 ejemplos con evidencias propias, de lo que puede ocurrir:

Recibí en mi bandeja de correo electrónico un mensaje aparentemente escrito por Bancolombia (banco colombiano), en el cual se me pedía que ingresara al sitio web del banco por medio de un enlace que allí se proporcionaba, esto con el objetivo de desbloquear mi cuenta, puesto que según el mensaje ésta había sido bloqueada.

Imagen de un Correo Electrónico Supuestamente enviado por Bancolombia.

El mensaje es casi idéntico a un original enviando por la entidad, por lo cual muchos usuarios podrían confundirse. Al ingresar es la misma portada del banco, aunque difiere que en la barra de direcciones del navegador aparece la dirección web original seguida de otros caracteres.

URL Sospechosa. Intento de un Ataque de Phishing.

Esto indica que es falso el sitio web al cual se ingresa y que en realidad se trata de un “clon” (copia) del original. Muchas otras personas sabrán que entidades como los bancos nunca piden una actualización de información de esta manera, por lo cual se abstendrán de ingresar.

En mi caso lo que he hecho fue dar aviso al departamento de seguridad de dicho banco, enviando la evidencia de lo recibido, para que ellos pudieran tomar las medidas pertinentes.

En el caso de una persona que desconozca acerca del tema y que sea fácilmente influenciada, ingresa al enlace que se le ha pedido, rellena los campos del formulario para el supuesto desbloqueo de la cuenta, finaliza el proceso y no ha ocurrido aparentemente nada para la victima.

Pero el delincuente quién se encuentra al otro lado de la red, ha obtenido sus datos y contraseñas, logrando así un dominio con la manipulación de su información.

Otro de los casos que me ha ocurrido ha sido con el sitio web personal www.AlejandroPinto.com el cual sufrió un ataque de phishing y estaba siendo utilizado como blanco de estafa para los clientes de Nedbank, un banco en Sudáfrica.

Me he enterado luego de que la compañía de seguridad RSA, la cual asesora en seguridad a dicho banco, me escribiera pidiendo la colaboración para que enviara una copia de la evidencia y retirara los archivos fraudulentos que estaban almacenados en el servidor.

Mensaje de RSA en Defensa de su Cliente RedBank

Google también se tomó la molestia de escribir, para informarme que retiraría el contenido del sitio web de su buscador, ya que encontraban que este estaba siendo un blanco de ataque de phishing (una situación como esta, de que Google borre el contenido del sitio de su buscador, es grave para el posicionamiento de cualquier portal).

Las medidas que tuve que tomar han sido auditar todo el contenido que almacenaba en el servidor, retirar los archivos fraudulentos, actualizar el software administrador de contenido (en esta caso era Joomla) y cambiar todas las contraseñas.

Recomendaciones de Seguridad Para Personas

• Tener especial cuidado con la información que reciben a través de la bandeja de correo electrónico, si una entidad que le presta un servicio aparentemente se encuentra pidiéndole información, comuníquese con ellos para verificar la veracidad de dicha información.

• Cuando se trata de realizar transacciones en línea, no ingrese a sus entidades bancarias a través de enlaces externos, prefiera digitar directamente la dirección electrónica en la barra de direcciones de su navegador.

• En lo posible no realice transacciones conectado a redes públicas, pueden haber personas capturando los paquetes de tráfico de información y ahí pueden estar sus contraseñas.

Recomendaciones de Seguridad Para Empresas

• Tener informado y capacitado el personal acerca de este tipo de prácticas y otras en cuanto a seguridad informática se refiere. Que se encuentren en la capacidad de proceder en caso de que ocurran situaciones de intentos de ataque de Phishing o Ingeniería Social.

• Mantener actualizado el software de nuestros sitios web, esto evitará que los delincuentes se aprovechen de las vulnerabilidades que pueda tener el software y que no han sido corregidas.

• Tener contraseñas de acceso fuertes, la seguridad al 100% no existe, dependen en gran medida de nosotros y tener contraseñas seguras es un factor crucial para la seguridad de la empresa (Contraseñas Seguras, Un Truco Para Utilizar Un Diferente en Cada Lugar).

Por último los invito a compartir en los comentarios casos similares que les hayan ocurrido, también aquellos consejos prácticos de Seguridad de la Información que deseen compartir. Como dato adicional, el phishing es una practica claramente penalizado por la LEY 1273 DE 2009 sobre delitos informáticos en Colombia (artículos 269F y 269G).