¿Qué es el Phishing?

​

Definición: El phishing es un tipo de ataque cibernético en el que una persona suplanta una identidad, de manera fraudulenta obtiene información confidencial de los usuarios, como contraseñas o datos bancarios.

​

En cristiano: Imaginaos que un día os llega un mensaje por una plataforma o una red social, en la que te dice que por ejemplo veas una foto de Instagram, porque es muy graciosa. Entonces tú le das al link que te ha mandado tu amigo-a o cualquier otra persona, y te lleva a Instagram (en este caso). Aquí viene la trampa, porque cuando tú le das al link, te lleva a una falsa página de Instagram , en la que te pide que metas tus datos personales. Cuando hayas metido tu contraseña y tu correo, el culpable, tu amigo-a, habrá recibido toda la información que has escrito. Cuando ya has puesto tus datos, la página te redirecciona a la página real de Instagram, y tú, inocentemente, piensas que has fallado la contraseña. Entonces, en la página real de Instagram cuando pones tus datos, los acepta, y tu piensas que no ha pasado nada. Pero en ese momento has sido víctima de un ataque de PHISHING.

Por cierto, he puesto el ejemplo de instragram, pero el phising funciona con más redes sociales y más plataformas.

​

 Sabías que... El que realiza la acción de phising, es conocido como phiser.

​

Plataformas usadas para el PHISING

Correo electrónico: es el método más empleado. Los phisers envían correos masivos no solicitados por los usuarios. Generalmente, para lograrlo, emplean excusas relacionadas con motivos de seguridad, mantenimiento de la entidad o mejora del servicio. Asimismo, en la mayoría de las ocasiones, el mensaje trae consigo un enlace falso.​

​

1. Redes sociales: se han convertido, en los últimos años, en uno de los lugares preferidos de los cibercriminales para robar información de los usuarios, movidos además los atacantes por el gran éxito que suelen obtener en estas plataformas.

​​

2. SMS/MMS: el usuario recibe un mensaje de texto en su dispositivo móvil en el que se le solicitan datos de carácter personal.

​​

3. Llamadas telefónicas: el emisor de la llamada se hace pasar por alguien que no es, y reclama al receptor información confidencial.

​​

4. Infección de malware (ordenadores y otros dispositivos electrónicos): códigos maliciosos (virus...), que son capaces de robar datos privados.

​​​

5. Ventanas emergentes en sitios web: en algunas de ellas, los phisers también se hacen pasar por gente que no es para la obtención de información personal del usuario.

 

 

Tipos y técnicas de PHISING

 

Dentro de esta práctica fraudulenta existen numerosos tipos o modelos. Veamos unos cuantos de ellos:

• Cartas nigerianas: el usuario recibe un email que ofrece una gran suma de dinero en una empresa extranjera. Para conseguir ese dinero, el phiser reclama la cuenta bancaria, el nombre, el DNI, etc.

• Hoax: son peticiones de donaciones solidarias aprovechando, por ejemplo, sucesos de actualidad (como terremotos, guerras o catástrofes). Para ello, se demandan los datos bancarios con la finalidad de poder llevar a cabo dicha “donación”.

• Vishing: la víctima recibe un mensaje en que se pide que llame a un número de teléfono concreto para obtener un regalo u otra información. En la práctica, sin embargo, se estará contactando con falsos centros de atención telefónica que reclamarán datos privados.

• Mulas: es, en esencia, utilizar al usuario para blanquear el dinero obtenido del phishing. Este último recibe un email que alerta de la posibilidad de ganar un porcentaje de dinero con, tan sólo, realizar una transferencia económica de una cuenta a otra y quedarse él con una “comisión”.

• Keyloggers y screenloggers: el phiser emplea este tipo de herramientas para registrar las pulsaciones que el usuario hace sobre las teclas (keys), o capturar imágenes de pantalla (screen), y, de esta manera, conocer sus claves o contraseñas. Por cierto, el keylogger está explicado en un apartado de jonrweb.

• Malware-based phishing: se refiere a aquel delito que, sirviéndose del phishing, hace que se ejecute un código malicioso o virus en un ordenador.

• Man-in-the-middle phishing: se produce cuando el ciberdelincuente es capaz de situarse entre el usuario y el ``server´´ ( servidor ) para obtener información personal.

• Smishing SMS: los atacantes falsifican la identidad de alguna compañía o empresa y envían mensajes de texto al teléfono móvil de algún ciudadano, reclamándole a éste datos confidenciales. Los phisers también pueden engañar al ingenuo usuario diciéndole que ha ganado un premio y que, para obtenerlo, es necesario responder con un código; en caso de que la persona conteste, el delincuente recibe una compensación económica por el envío de dicho SMS… mientras que el infortunado ganador, claro está, se queda sin su premio.

• Spear phishing: son aquellas campañas que también se realizan por correo electrónico para obtener información confidencial y privada, pero, en este caso, el fraude va dirigido a grupos reducidos y específicos, por lo que no es de carácter masivo, no hay spam.

​

​

FUNCIONAMIENTO HABITUAL DEL PHISHING

​

El primer paso forma parte del delincuente, por supuesto, que se encarga de falsificar y suplantar la identidad de una compañía de confianza para, posteriormente, enviar mensajes de forma masiva a través del correo electrónico (o también por mensajería instantánea). En el interior de dichos mensajes se encuentra, en numerosas ocasiones, un enlace, sobre el que un gran porcentaje de usuarios, que confía en el remitente, hace clic. Sin embargo, el link dirige a las víctimas, sin que ellas lo sepan, a un falso sitio web y en el cual ingresan sus datos confidenciales, que quedan almacenados en una base de datos a entera disposición de los phisers.

 

Consecuencias del phising

​

Los daños que ocasiona esta práctica informática ilegal, van desde que la víctima se vea privada del correo electrónico, hasta la pérdida por parte de ésta de los ingresos depositados en un banco. En concreto, los phisers pueden hacerse con el número de una tarjeta de crédito o una cuenta bancaria, a la vez que entran en posesión de las claves secretas de ambas o alguna de las dos, utilizando estos datos para el gasto del dinero del usuario o la creación de falsas cuentas. Asimismo, para las empresas, el phishing se traduce en un destacado consumo de sus recursos, como son la banda ancha o el email, entre otros.

¿Cómo combatir el PHISING?

​

Aquí van algunos consejos para defenderse de este ciberataque:

 

• No respondas ningún correo electrónico en el que se te solicite información personal.

• Ten presente que las empresas no suelen pedir contraseñas, credenciales ni números de cuenta a través de este medio.

• Visita los sitios web introduciendo la URL en la barra del navegador y, por tanto, evita los enlaces de redirección (pueden conducir a websites falsos).

• No hagas clic en el enlace si se te presenta una mínima duda de su seguridad.

• Cambia de inmediato tus contraseñas si tienes la sospecha de que has sido víctima de este ataque.

Mi antivirus favorito contra PHISING

Se llama ESET, es un buen antivirus.

​

ClCK AQUÍ PARA VISITAR WEB DE ESET

​

​

Cómo utilizar la técnica del Phising

 

No me responsabilizo del mal uso que se le pueda llegar a dar a lo que voy a enseñar.

​

1º Paso. Entrar en xploitz.

2º Paso. Abrir algún apartado, facebook, instagram...

3º Paso. Crearte un identificador, y seguir las instrucciones.

4º Paso. Copiar el link que te generará y mandárselo a tu víctima.

Dejo un vídeo donde está todo bien explicado: Click aquí

​

No recomiendo utilizarlo porque está penado.