Reportar, reconocer y denunciar la suplantación de identidad (Phishing)

¿Qué es el phishing?

Phishing (suplantación de identidad) es una técnica de ingeniería social para obtener información confidencial de forma fraudulenta. El estafador se hace pasar por alguien de confianza (un representante de una organización legítima) y normalmente, mediante el envío de emails, llamadas telefónicas o sms, intenta obtener dicha información. Estos mensajes suelen suplantar la imagen de una empresa, tu banco o cualquier otra entidad haciéndote creer que proceden de su sitio oficial. Aprovechando que hoy he recibido un correo fraudulento, vamos a seguir unos sencillos pasos que pueden ayudarte.

Analizando un caso real.

Leyendo un email recibido recientemente veo uno titulado Banco BBVA - Clave de operaciones, con el siguiente texto que pongo en una imagen:

Realmente el mensaje es curioso, ya que no contiene faltas de ortografía excepto al final -donde he puesto la marca de agua "karmany.net"- que pone duda en vez de dude. Por lo demás, a primera vista engaña.

Primeramente debes saber que ningún banco te va a pedir por email tus datos. En este caso, lo primero que voy a hacer es ir a la web oficial del BBVA que pongo a continuación, pero como no quiero que hagas clic, te pongo solamente el texto:

https://www.bbva.es

¿Por qué no pongo un enlace? Pues porque los enlaces pueden engañar. Si observas la imagen anterior 1, cuando pongo el ratón sobre ese enlace realmente redirecciona a otra web distinta del BBVA. Así que copia la dirección real del BBVA, ponla en tu navegador y accede.

El BBVA, en su web,  te da unos consejos y además dice lo siguiente: "Y recuerde que BBVA nunca le enviará por correo electrónico solicitud de que informe sus datos personales. En caso de recibir un mensaje en este sentido, por favor, no facilite dato alguno y contacte inmediatamente con el teléfono de BBVA 902 18 18 18."

Suplantación de identidad

Si dejo el cursor sobre el enlace 1, observo que el link no es el que aparece en la imagen, sino que somos dirigidos a una web fraudulenta. La URL es parecida a esta:

XXX.pl/.redirect

La primera sospecha es ese pl. La extensión pl es de Polonia y haciendo un simple Whois ya nos lo indica: Polska/Poland. Ya simplemente por el hecho del texto "redirect" tiene toda la pinta de redireccionarnos, así que voy a ver a dónde somos redirigidos usando cualquier web de las que explicamos en este artículo.

Observo que me redirecciona a la misma web, pero con una barra inclinada final:

XXX.pl/.redirect/

Así que otra vez vuelvo a hacer lo mismo y ahora sí, veo que soy redireccionado a:

XXX.pl/validation/form_bbva.php

Observo que además está hecho con Joomla!. Analizo dicha URL en busca de software malintencionado como se explicó aquí, y nos dice que 5 de 23 analizadores lo reconocen como "Phishing site".

¿Qué hacer entonces?

Lo primero es NO visitar el enlace y si lo hemos hecho no introducir ningún dato ya que como se ha comentado, ningún banco te va a pedir datos confidenciales por correo. No hagas clic en los enlaces directamente, acostúmbrate a analizar la URL de destino, a dónde puedes ir redireccionado y si dichas URL pueden contener software malintencionado. Verifica que la URL que visitas empieza por https:// (protocolo de seguridad) que normalmente viene acompañado de un pequeño candado. En nuestro caso el BBVA te dice que llames a un teléfono: un 902 de atención al cliente. (Atención al cliente 902 18 18 18 / 913747368). Extrae los datos de la cabecera del correo electrónico que también te dará más detalles, sobre todo, a la hora de denunciar. Elimina el mensaje después de obtener toda la información necesaria.

Denunciar y reportar phishing

Es posible denunciar estos hechos a las autoridades competentes y avisar a la empresa cuya identidad ha sido suplantada. Algunas asociaciones como Esta dirección de correo electrónico está siendo protegida contra los robots de spam. Necesita tener JavaScript habilitado para poder verlo. te permiten hacerlo desde su correo electrónico. En muchos casos,  la denuncia por vía legal de la existencia de un sitio con suplantación de identidad que además tiene el servidor en otro país, puede no ser todo lo efectiva que uno espera además de tener que dar tus datos personales, así que se suele recurrir a denunciarlo desde las opciones del mimo navegador o desde el cliente de correo electrónico para que pueda ser bloqueado o que vaya a la carpeta de spam de otros usuarios. Una vez que estamos en la página fraudulenta es conveniente hacer la denuncia en los distintos navegadores ya que pueden usar bases de datos diferentes:

• Google Chrome: Botón de llave inglesa ? herramientas ? notificar un error. En la descripción ponemos, por ejemplo, web fraudulenta. Más información en su web.
• Firefox: Deberemos ver la barra de menús. Menú Ayuda ? Informar de sitio web fraudulento. Más información en su web.
• Internet Explorer: Tiene que estar visible la barra de menús. En Internet Explorer > 8: Menú herramientas ? Filtro SmartScreen ? Notificar sitio web no seguro. En Internet Explorer 7: Menú herramientas ? Filtro de suplantación de identidad (phishing) ? Notificar a Microsoft de este sitio. Es una notificación que realizamos a Microsoft. Más información en Microsoft.
• Opera: Tiene un acceso directo (Alt + Enter).
• Gmail: En el mismo mensaje abrimos un menú desplegable desde un botón en el lateral derecho con un tooltip que pone "más" (flecha roja) y seleccionamos "Denunciar suplantación de identidad":

• Hotmail: Cliqueamos en el menú que hay sobre el mensaje: Marcar como ? Correo de suplantación de identidad (phishing). Ver enlace anterior con más información de Microsoft.
• https://www.phishtank.com/. Opera hace la denuncia en este sitio, pero puedes hacerla manualmente.
• Google: Desde esta web: http://www.google.com/safebrowsing/report_phish/ podemos decirle a Google que un determinado sitio realiza prácticas de suplantación de identidad.
• Yahoo: Aquí tienes toda la información para denunciar un correo o una web.
• Twitter: ¿qué debes hacer? Te pongo un excelente enlace hacia un artículo de la empresa ESET: Twitter y el phishing.
• Facebook: Un caso actual es este, por ejemplo. Puedes reportar conductas abusivas o violaciones de las políticas de Facebook aquí.
• Policia Nacional: España. Tienes a tu disposición el siguiente correo electrónico: Esta dirección de correo electrónico está siendo protegida contra los robots de spam. Necesita tener JavaScript habilitado para poder verlo., que recibe las denuncias y colaboraciones de los ciudadanos para perseguir a los estafadores en Internet.
• Guardia Civil: España. Tiene una web del Grupo de Delitos Telemáticos, donde podrás realizar una denuncia para casos en los que hayas sido testigo o víctima de un delito informático. Para otros casos puedes acceder a la web de la Oficina de Atención al Ciudadano o enviar un mensaje al correo electrónico Esta dirección de correo electrónico está siendo protegida contra los robots de spam. Necesita tener JavaScript habilitado para poder verlo.