Phishing: Qué es y por qué necesitas saberlo
Cada día se envían miles de millones de correos electrónicos falsos, mensajes de texto y sitios web con un único objetivo: engañarte para que entregues tu información personal. Esta técnica se llama phishing y sigue siendo uno de los ciberataques más eficaces y extendidos que existen, no porque sea técnicamente sofisticado, sino porque apunta a la psicología humana en lugar de a los sistemas informáticos.
¿Qué es el phishing?
El phishing es una forma de ingeniería social en la que un atacante finge ser alguien de tu confianza —tu banco, un servicio de streaming, tu empleador o incluso una agencia gubernamental— para manipularte y hacerte tomar una acción que de otro modo no tomarías. Esa acción puede ser hacer clic en un enlace malicioso, descargar un archivo adjunto infectado o escribir tu contraseña en una página de inicio de sesión falsa.
El nombre es un juego de palabras deliberado con "fishing" (pesca en inglés). Los atacantes lanzan el anzuelo y esperan a ver quién muerde.
¿Cómo funciona el phishing?
La mayoría de los ataques de phishing siguen un patrón predecible:
- El cebo: Recibes un mensaje que parece legítimo. Puede imitar una alerta de facturación de Netflix, una advertencia de seguridad de PayPal o un correo urgente del departamento de TI de tu empresa.
- El anzuelo: El mensaje genera una sensación de urgencia: tu cuenta está a punto de ser suspendida, hay actividad sospechosa o necesitas verificar tu identidad de inmediato.
- La trampa: Se te redirige a un sitio web falso que parece idéntico al real. Cuando introduces tus credenciales, estas llegan directamente al atacante.
También existen versiones más dirigidas. El spear phishing consiste en ataques personalizados dirigidos a personas específicas, a menudo utilizando información recopilada de redes sociales. El whaling apunta a ejecutivos de alto perfil. El smishing utiliza mensajes de texto SMS, mientras que el vishing se produce a través de llamadas de voz.
Los sitios de phishing modernos suelen usar HTTPS y mostrar un icono de candado, lo que muchas personas creen erróneamente que significa que el sitio es seguro. Solo significa que la conexión está cifrada, no que el sitio en sí sea de confianza.
Por qué esto importa para los usuarios de VPN
Un error común es creer que usar una VPN te protege del phishing. No es así, al menos no directamente. Una VPN cifra tu tráfico de internet y oculta tu dirección IP, pero no puede evitar que ingreses voluntariamente tus credenciales en un sitio web falso.
Dicho esto, los usuarios de VPN no están completamente indefensos:
- Algunas VPN incluyen funciones de protección contra amenazas que bloquean dominios de phishing conocidos antes de que tu navegador los cargue.
- Una VPN puede prevenir el secuestro de DNS, una técnica que los atacantes utilizan para redirigirte silenciosamente a sitios web falsos incluso cuando escribes la dirección correcta.
- Usar una VPN en una red Wi-Fi pública previene los ataques de intermediario (man-in-the-middle), que a veces se utilizan junto con el phishing para interceptar credenciales.
Sin embargo, depender únicamente de una VPN para protegerte del phishing te da una falsa sensación de seguridad. Aun así necesitas mantener una buena higiene digital.
Ejemplos del mundo real
- Recibes un correo electrónico de "Soporte de Apple" que indica que tu cuenta ha sido bloqueada. El enlace te lleva a apple-support-login.com, una falsificación convincente que roba tu Apple ID.
- Un mensaje de texto afirma que tu banco detectó un fraude y te pide que llames a un número de atención al cliente. El número te conecta con un estafador que se hace pasar por un especialista en fraudes.
- Un correo electrónico en el trabajo que aparenta provenir de Recursos Humanos pide a los empleados que inicien sesión en un nuevo portal de beneficios, que en realidad es una página diseñada para robar credenciales.
Cómo protegerte
- Comprueba siempre la dirección de correo electrónico real del remitente, no solo el nombre que aparece en pantalla
- Pasa el cursor sobre los enlaces antes de hacer clic para ver la URL de destino real
- Activa la autenticación de dos factores en todas las cuentas importantes: incluso las contraseñas robadas se vuelven inútiles sin el segundo factor
- Usa un gestor de contraseñas, que no autocompletará credenciales en sitios falsos
- Ante cualquier duda, accede directamente al sitio web oficial en lugar de hacer clic en cualquier enlace
El phishing funciona porque es simple y escalable. Entender cómo opera es tu primera línea de defensa.