¿Cómo protegerte de estafas bancarias o robos de información?

Dentro del universo de las estafas digitales, el phishing ocupa un lugar central. No porque sea la técnica más sofisticada, sino porque es una de las más efectivas: no ataca una falla técnica del sistema, sino la confianza de la persona que está del otro lado de la pantalla.

¿En qué consiste?

El phishing (técnica de engaño que busca obtener datos personales o bancarios haciéndose pasar por una entidad confiable) es un método en el que un atacante se hace pasar por una entidad confiable -un banco, un organismo público, una empresa de paquetería, incluso un contacto conocido- con el objetivo de obtener información sensible: contraseñas, números de tarjeta, datos personales.

Generalmente llega por correo electrónico, aunque también existen variantes por SMS, llamada smishing (la misma técnica aplicada a mensajes de texto), y por llamada telefónica, llamada vishing (la misma técnica aplicada a llamadas), que abordaremos en próximas entregas.

¿Por qué funciona?

La efectividad del phishing no depende de la tecnología, sino de la psicología —lo que en seguridad informática se conoce como ingeniería social (manipulación psicológica para que la víctima entregue información voluntariamente). Los mensajes suelen construirse sobre tres pilares:

• Urgencia: "tu cuenta será suspendida en 24 horas."
• Autoridad: el mensaje imita el diseño y el lenguaje de una institución conocida.
• Oportunidad o miedo: un premio inesperado, o una amenaza de pérdida.

Esta combinación reduce el margen de análisis crítico de quien recibe el mensaje, llevándolo a actuar por impulso.

Señales de alerta

• Direcciones de remitente que, al observarlas con atención, no coinciden exactamente con el dominio oficial.
• Errores de ortografía o redacción poco natural.
• Links que, al pasar el cursor por encima (sin hacer clic), muestran una URL distinta a la esperada.
• Pedidos de información que la entidad real nunca solicitaría por ese medio.

Cómo protegerse

1. No hacer clic en links recibidos por mail o mensaje cuando se trata de accesos sensibles (banco, home banking, cuentas personales). Es preferible escribir la dirección directamente en el navegador.
2. Verificar el remitente real, no solo el nombre que se muestra.
3. Activar la verificación en dos pasos, también llamada 2FA (un segundo control de identidad además de la contraseña, como un código enviado al celular), en las cuentas principales, de forma que una contraseña filtrada no sea suficiente para acceder.
4. Contactar a la entidad por un canal oficial ante cualquier duda, en lugar de responder al mensaje recibido.
5. Capacitar al entorno familiar o laboral, ya que el phishing suele aprovechar el eslabón menos informado de una organización o de un grupo de personas.

¿Cómo construir una contraseña larga, alfanumérica y realmente segura?

La contraseña sigue siendo la primera barrera de defensa de cualquier cuenta, y su fortaleza depende de dos variables combinadas: longitud y variedad de caracteres.

Por qué importa la longitud: cada carácter adicional multiplica exponencialmente la cantidad de combinaciones posibles que un atacante debería probar para dar con la clave correcta mediante un ataque de fuerza bruta (método que prueba de forma automatizada miles o millones de combinaciones hasta acertar). Una contraseña de 6 caracteres puede vulnerarse en cuestión de minutos con herramientas automatizadas; una de 12 caracteres o más, combinando mayúsculas, minúsculas, números y símbolos, puede demandar años de cómputo con la tecnología actual.

Cómo construirla:

1. Extensión mínima recomendada: al menos 12 a 16 caracteres.
2. Combinación de tipos de caracteres: mayúsculas, minúsculas, números y símbolos (por ejemplo: @ # $ % &).
3. Evitar información personal o predecible: fechas de nacimiento, nombres propios, o secuencias como "123456" o "qwerty" siguen siendo las primeras combinaciones que prueba un atacante.
4. Evitar palabras de diccionario completas, incluso combinadas: los llamados ataques de diccionario (variante de fuerza bruta que prueba palabras comunes en lugar de caracteres al azar) prueban millones de palabras y variantes en segundos.
5. Una técnica simple y efectiva: partir de una frase personal fácil de recordar y transformarla. Por ejemplo, "Mi perro Tom nació en 2019" puede convertirse en MpT_n2019!, conservando longitud y variedad sin depender de una palabra única.
6. Una contraseña distinta por cada cuenta: así, si una credencial se filtra en un sitio, el resto de las cuentas permanece protegido.
7. Considerar un gestor de contraseñas (herramienta que genera y guarda claves complejas de forma segura, sin necesidad de memorizarlas todas).

En síntesis: una contraseña segura no depende de ser "difícil de recordar para uno mismo", sino de ser difícil de adivinar o calcular para una máquina.

Un caso particular: el phishing dirigido a empresas a través de falsos CV

En el ámbito corporativo, una de las variantes más efectivas de phishing es la que llega disfrazada de currículum.

El correo suele estar dirigido a un sector de Recursos Humanos, administración o incluso a una casilla genérica de la empresa, y presenta un archivo adjunto -generalmente un PDF o un documento comprimido- que simula ser la postulación de un candidato a una búsqueda laboral.

Lo que hace efectiva a esta técnica no es la sofisticación del archivo, sino que explota la curiosidad y la rutina del operario: revisar un CV es una tarea cotidiana y de bajo riesgo aparente, por lo que suele abrirse sin las mismas prevenciones que se aplicarían ante otro tipo de correo.

Una vez abierto, el archivo puede ejecutar código malicioso, es decir, malware (software diseñado para dañar o infiltrarse en un sistema), capaz de capturar contraseñas o dar acceso remoto al equipo, comprometiendo así no solo esa computadora sino, potencialmente, toda la red de la empresa.

Recomendaciones específicas para este caso:

1. Centralizar la recepción de CVs en un canal o plataforma diseñada para ese fin, en lugar de recibirlos directamente en casillas de correo individuales.
2. Desconfiar de archivos adjuntos con extensiones ejecutables (.exe, .scr, .js) o comprimidos con contraseña que "obligan" a habilitar macros o contenido activo para visualizarse.
3. Verificar si la búsqueda laboral fue efectivamente publicada por la empresa antes de asumir que el correo es legítimo.
4. Abrir archivos sospechosos en un entorno aislado cuando sea posible (por ejemplo, mediante herramientas de análisis en línea), en lugar de hacerlo directamente en el equipo de trabajo.
5. Capacitar al personal administrativo y de RRHH, ya que suelen ser el blanco principal de esta variante por la naturaleza de sus tareas diarias.

Lo que viene

La semana próxima vamos a hablar sobre cámaras de seguridad, consejos e instalación para que puedas ver con buena calidad de imagen lo que pasa en ellas.