Módulo 3 · 3.4
Phishing por SMS, chat, teléfono y código QR
Módulo 3: Reconocer el phishing · Tiempo de lectura: 12 minutos
Objetivo de aprendizaje: Después de esta lección sabrá reconocer el phishing fuera del correo electrónico: por SMS y aplicaciones de chat, por teléfono (también con una voz clonada), mediante códigos QR y a través de una avalancha de avisos de inicio de sesión, y sabrá cómo comprobarlo en cada canal.
Conceptos clave: smishing, fraude del amigo en apuros, vishing, suplantación de número (spoofing), falso servicio técnico, clonación de voz, quishing, bombardeo de MFA
Por qué otros canales funcionan tan bien
Todo lo visto en la lección 3.1 también se aplica aquí: urgencia, autoridad, miedo, curiosidad y recompensa. Pero fuera del correo electrónico, los trucos suelen funcionar todavía mejor:
- En el teléfono se lee deprisa. La pantalla es pequeña, las direcciones aparecen cortadas y a menudo está haciendo otra cosa a la vez.
- Hay menos tecnología que ayude. Un servidor de correo comprueba SPF, DKIM y DMARC y cuenta con un filtro antispam. Para SMS, chat y teléfono eso existe mucho menos.
- Se siente más personal. Un mensaje en una aplicación de chat o una voz al teléfono inspira más confianza que un correo electrónico.
- Es en directo. Quien llama puede insistir, presionar y guiarle paso a paso.
El reflejo sigue siendo el mismo: pare, compruébelo por su propio camino, pregunte. Lo que cambia según el canal es cómo se hace esa comprobación.
SMS y chat: smishing y el amigo en apuros
El smishing es phishing por SMS. Los estafadores se hacen pasar por una organización de la que podría esperar un SMS: una empresa de transporte, el banco, un organismo público, su compañía eléctrica. Según el NCSC neerlandés, ocurre lo mismo a través de aplicaciones de chat como WhatsApp y Telegram.
Un ejemplo típico:
Empresa de mensajería: su paquete no pudo entregarse por dirección incompleta. Programe una nueva entrega:
https://mensajeria.track-es.example/z8K
Lea el enlace como se explicó en la lección 3.2: el dominio registrable es track-es.example y por tanto no es mensajeria.example de la empresa de transporte. En un teléfono esto resulta aún más difícil, porque solo ve el principio. Mantenga pulsado un enlace para ver la dirección completa, o no lo abra y acceda usted mismo a la aplicación o al sitio web de la empresa de transporte.
El número o el nombre del remitente no demuestran nada. Los remitentes de SMS y los números de teléfono pueden falsificarse (spoofing). Por eso, un mensaje falso puede aparecer en el mismo hilo de SMS que mensajes auténticos de ese remitente. Por tanto, un nombre conocido encabezando un mensaje tampoco es una prueba.
El fraude del amigo en apuros se produce a través de aplicaciones de chat:
Hola, este es mi nuevo número, mi teléfono se ha roto. ¿Puede pagar algo por mí? Se lo devuelvo mañana. Tiene que ser hoy mismo.
En una empresa aparece el mismo truco en forma de mensaje de "el director" o "un compañero" con un número nuevo, que pide con urgencia un pago o tarjetas regalo. Compruébelo: llame o escriba a la persona al número antiguo y conocido, o hágale una pregunta que solo la persona real pueda responder.
El teléfono: vishing, falso servicio técnico y voces clonadas
El vishing (phishing por voz) es phishing por teléfono. Hay tres formas muy frecuentes.
El empleado del banco. Alguien llama en nombre del banco o del "departamento de fraude": hay pagos sospechosos, su dinero debe "ponerse a salvo", o debe facilitar un código o aprobar un pago en la aplicación de su banco. En su pantalla a veces aparece incluso el número real del banco. Eso también puede estar falsificado. Un banco real nunca pide sus códigos de acceso ni que transfiera dinero a una "cuenta segura".
El falso servicio técnico. Alguien llama en nombre de un proveedor de software, su operador de internet o su empresa informática: su ordenador está infectado, hay un problema con su cuenta. Le pide instalar un programa para acceder en remoto. Con eso toma el control de su ordenador. El NCSC neerlandés lo dice de forma sencilla: nunca dé a nadie acceso remoto a sus dispositivos sin más.
La voz clonada. Con IA se puede imitar una voz a partir de grabaciones de audio, por ejemplo de un vídeo o un buzón de voz. Una voz clonada de su director o de un familiar puede entonces llamarle con una petición urgente. Por tanto, ya no puede confiar ciegamente en sus oídos.
Lo que funciona en los tres casos:
- Cuelgue en cuanto note presión o le pidan códigos, dinero o acceso. No es de mala educación.
- Llame usted mismo a un número que busque por su cuenta o que ya tuviera: el reverso de su tarjeta bancaria, el sitio web oficial, su propia lista de contactos. No el número que le indique quien llama.
- Acuerde una pregunta de control o una palabra clave con las personas que puedan pedirle dinero, como la dirección y la administración. Establezca también que los pagos nunca se realicen basándose únicamente en una llamada telefónica (lección 1.2).
Códigos QR: quishing
Un código QR no es más que un enlace que usted no puede leer. El quishing es phishing mediante un código QR. Dos formas:
- En la calle o en un espacio físico. Una pegatina con un código QR propio colocada encima del real, en un parquímetro, un punto de carga, una carta de restaurante o un cartel. Usted cree que está pagando la aplicación de aparcamiento, pero introduce los datos de su tarjeta en un sitio falso.
- En un correo electrónico o un PDF. "Escanee este código para confirmar su buzón." Un código QR dentro de una imagen no se puede comprobar con el ratón. Y lo escanea con su teléfono, donde le resulta más difícil leer las direcciones.
El NCSC neerlandés recomienda, entre otras cosas:
- No escanee un código QR sin texto o imagen que lo acompañe, y sea prudente con los códigos en lugares públicos.
- Compruebe si el código está realmente impreso en el cartel o en la placa, o si se trata de una pegatina pegada encima.
- Use un lector que muestre primero a qué dirección o dominio le llevará. En las versiones más recientes de Android e iOS, la cámara lo hace de forma predeterminada.
- Si no reconoce la dirección, no continúe. No introduzca ninguna contraseña ni datos de pago si no está seguro de que el sitio es auténtico.
En el ejemplo de la dirección que muestra la cámara, fíjese en el dominio registrable, igual que en la lección 3.2. En un parquímetro también puede usar la aplicación oficial de aparcamiento o la dirección que figura en el propio cartel.
Bombardeo de MFA: cuando su teléfono no deja de avisar
Muchos servicios envían un aviso a su teléfono al iniciar sesión: "¿Está intentando iniciar sesión? Aprobar o rechazar." Si un atacante ya tiene su contraseña, intentará iniciar sesión una y otra vez. Su teléfono recibe un aviso tras otro, a veces en plena noche. Esto se llama bombardeo de MFA (también fatiga de MFA). El atacante espera que, por fastidio o por error, pulse Aprobar. A veces, además, le llama o le escribe haciéndose pasar por "servicio técnico": "Estamos recuperando su cuenta, pulse aprobar."
Qué hacer:
- No apruebe nunca un aviso que usted mismo no haya iniciado. Tampoco si alguien se lo pide.
- Considérelo una alarma. Un aviso de inicio de sesión inesperado significa que alguien tiene su contraseña. Cambie de inmediato la contraseña de esa cuenta, desde el propio sitio o la propia aplicación.
- Revise las sesiones activas y cierre las sesiones desconocidas (lección 2.5).
- Elija una forma más fuerte de verificación en dos pasos (2FA) si está disponible. Con la vinculación de números (number matching) debe teclear en la aplicación un número que aparece en la pantalla de inicio de sesión; así no puede aprobar sin más un aviso sin tener esa pantalla delante. Las passkeys y las llaves de seguridad (lección 2.4) son todavía más fuertes, porque no funcionan en un sitio falso.
En la práctica: así se ve
En Mi WebOké puede ver en sesiones activas dónde y cuándo ha iniciado sesión, y puede cerrar otras sesiones (manual de WebOké 3.6). Otros servicios, como su programa de correo, su programa de contabilidad o Nextcloud, tienen un resumen parecido en la configuración de seguridad de su cuenta. Consúltelo ahí en primer lugar tras un aviso de inicio de sesión inesperado.
Resumen
- Fuera del correo electrónico funcionan los mismos trucos, pero hay menos tecnología que ayude y usted lee más deprisa.
- Un número o un nombre de remitente en su pantalla no demuestran nada: pueden falsificarse.
- Por teléfono: cuelgue, llame usted mismo a un número conocido, nunca dé códigos, dinero o acceso a distancia. Incluso una voz conocida puede haber sido clonada.
- Códigos QR: fíjese en las pegatinas, deje que la cámara muestre la dirección y lea el dominio registrable.
- Un aviso de inicio de sesión inesperado es una alarma: rechácelo, cambie la contraseña, revise las sesiones.
Cuestionario
Ejercicio
Ejercicio A3.4: Leer un código QR sin abrirlo. El programa muestra un código QR. Escanéelo con la cámara de su teléfono, pero no abra el enlace. Lea la dirección que muestra la cámara e introduzca el dominio registrable, y si abriría el enlace o no. El programa lo comprobará.
Ejercicio D3.4: Acuerdos para teléfono, chat y avisos de inicio de sesión. Acuerde con su equipo pautas sobre cómo devolver llamadas, una pregunta de control o una palabra clave, y qué hacer ante un aviso de inicio de sesión inesperado. Después, compruebe en su propio teléfono si la cámara muestra la dirección de un código QR antes de abrir nada.
Ejercicio D3.4: Acuerdos para teléfono, chat y avisos de inicio de sesión
Así se hace: (1) Acuerde con las personas que realizan o aprueban pagos que una solicitud de dinero, un cambio de IBAN o unos códigos nunca se ejecuten solo por teléfono, sms o chat. Devolver la llamada siempre se hace a un número de su propia administración o lista de contactos. (2) Acuerde una pregunta de control o una palabra clave para solicitudes urgentes de la dirección o de familiares. No escriba la palabra clave en ningún sitio digital donde un atacante pueda leerla. (3) Acuerde qué hace cada uno ante un aviso de inicio de sesión inesperado o una serie de avisos: rechazar, notificar, cambiar la contraseña, revisar las sesiones (lección 2.5). (4) Compruebe en su propio teléfono si la cámara, al escanear un código QR, muestra primero la dirección y solo la abre al tocarla. Use para ello un código QR de una fuente conocida y propia (por ejemplo, un código que usted mismo genere para https://www.example.com). (5) Compruebe si su aplicación de chat y sus cuentas principales tienen una protección adicional que aún no use (por ejemplo, verificación en dos pasos (2FA) con un PIN, vinculación por número en los avisos de inicio de sesión, o una passkey) y actívela.
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para saber más
Los pasos de los artículos de WebOké corresponden al entorno de WebOké; en otros proveedores el funcionamiento es similar.
- Manual de WebOké 3.6: Ver y cerrar sesiones activas
- Manual de Nextcloud 3.6: Ver, anular o borrar dispositivos y sesiones a distancia
- NCSC neerlandés, Phishing por SMS ("smishing"): https://www.ncsc.nl/phishing/sms-phishing-smishing
- NCSC neerlandés, ¿Cómo reconozco una llamada falsa?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
- NCSC neerlandés, Códigos QR: https://www.ncsc.nl/phishing/qr-codes
- Línea de Ayuda en Ciberseguridad de INCIBE (teléfono 017): https://www.incibe.es/linea-de-ayuda-en-ciberseguridad