¿Qué es la suplantación indebida de identidad ajena (phishing) y cómo podría evitarse?

Regla de oro: ninguna entidad bancaria le pedirá por correo electrónico datos personales a sus usuarios o clientes.

Phishing es la forma que los ciberdelincuentes utilizan para engañar a las personas o usuarios, en este caso, de algún servicio financiero, con el fin de lograr que les compartan o proporcionen su información confidencial o sensible, tales como contraseñas, claves y números de tarjetas de crédito o de débito.

Los ciberdelincuentes utilizan más de una forma para engañar a sus víctimas, pero hay una táctica de phishing que es la más común. Consiste en que la víctima recibe un mensaje por medio de correo electrónico o un mensaje de texto en su teléfono celular, mediante los cuales imita (“suplanta la identidad”) o simula ser una persona u organización de confianza, como un banco o una oficina gubernamental.

Cuando la víctima abre el correo electrónico o el mensaje de texto, se encuentra con un mensaje redactado de tal manera que le provoca algún sobresalto, con la intención, por la amenaza que el mismo contiene, de que si no lo atiende puede afrontar alguna consecuencia, lo cual hace que su buen juicio se debilite, causándole inquietud o temor y, por consiguiente, que la víctima ingrese o vaya a un sitio web y actúe de inmediato, ignorando que el objetivo de esto es obtener y apropiarse indebidamente de esa información confidencial o sensible.

Si un usuario cae en el engaño y hace “clic” en el enlace, este lo redirecciona o envía a un sitio web que ha sido creado por el atacante o estafador como una imitación del sitio web legítimo.

Llegado a este punto, el sitio falso le pide a la víctima que ingrese o que se registre con sus credenciales, como nombre de usuario y contraseña. Si el usuario peca de ingenuo y lo hace, la información de inicio de sesión llega al atacante, quien la utiliza para suplantar identidades y, por tanto, saquear cuentas bancarias y vender información personal en el mercado negro, por ejemplo.

Desafortunadamente, este tipo de ataque es sencillo y muy efectivo para los cibercriminales. Por ello es necesario recordar que nunca debe compartir ninguno de los siguientes datos a menos que exista la seguridad que está en el sitio web correcto y auténtico (de su banco):

• Nombres de usuario
• Contraseñas y claves de acceso
• Números y datos de cuentas bancarias
• Números y datos de tarjetas de crédito o de débito

Además, es importante recordar que nunca se debe tener acceso a sitios web de comercios, entidades financieras o bancarias desde un enlace que esté adjunto a un correo electrónico; siempre es preferible, si se conoce la dirección web, escribirla directamente en el navegador. De igual manera es necesario verificar que el sitio web utilice el protocolo de transferencia de hipertexto seguro (https por sus siglas en inglés), y que aparezca el símbolo del candado relacionado con el certificado digital del sitio.

Resulta relevante recalcar que ninguna entidad bancaria o empresa comercial le pedirá por correo electrónico datos personales a sus usuarios o clientes. En todo caso, cabe la recomendación de mantenerse alerta y no caer en este tipo de engaños y estafas.