No importa cuán buenos sean los malhechores en pretender ser el verdadero negocio, aún puedes detectar el phishing de viaje si conoces estas tres simples reglas.
En temporada de vacaciones mucha gente está buscando sitios web de viajes en busca de lugares interesantes para ir, lugares baratos para quedarse y boletos a precios interesantes. Y, como de costumbre, los estafadores están ansiosos por darles lo que están buscando, más o menos.
Además de las tácticas habituales que los estafadores usan para robar, vale la pena conocer estos trucos de viaje antes de comenzar a planificar un viaje. En esta publicación profundizaremos en algunos detalles y hablaremos sobre cómo los malhechores intentan engañar a las personas emocionadas para que crean que están en un sitio web de viajes genuino. Todos los métodos fueron descubiertos en la naturaleza por los investigadores de Kaspersky Lab a fines de abril y principios de mayo, y puede frustrarlos a todos con tres simples prácticas recomendadas.
1. Mira la barra de direcciones
El consejo más común sobre la protección contra el phishing es usar una vigilancia simple, pero aún así, si los ciberdelincuentes logran crear un clon realmente impresionante del sitio web original, mucha gente olvida este simple paso y no mira la URL para ver en qué sitio web están realmente. Y los malhechores saben cómo hacernos incautos.
Por ejemplo, echa un vistazo a esta dulce oferta: un bonito y acogedor apartamento por solo 14 € al día. Interesante, ¿eh? Y el sitio se ve como si realmente fuera airbnb.com. El diseño, los comentarios de diferentes personas que describen su tiempo agradable en el apartamento y estar tan contentos con el anfitrión, todo parece tan real. Cualquier cosa que espere encontrar en Airbnb, la encontrará aquí.
Excepto que no es Airbnb. Es falso. Si miras la URL en la barra de direcciones, verás algo como esto: abnb63213491.byethost8.com/rooms/7858853. No se parece a airbnb.com, ¿verdad?
La estafa generalmente es la siguiente: después de una breve conversación, el «anfitrión» te pedirá que envíes una cierta cantidad de dinero para reservar el apartamento. Una vez que haces eso, dejan de responder.
¿Cómo suele llegar la gente a páginas como esta? Se pueden encontrar ofertas similares en correos electrónicos no deseados, en aplicaciones de mensajería y en redes sociales. A veces, aparecen en anuncios en motores de búsqueda o redes sociales.
Por cierto, a pesar de que los estafadores invierten bastante tiempo en crear clones de sitios web tan convincentes, todavía son en su mayoría perezosos. Aquí hay otro ejemplo de una página de Airbnb de suplantación de identidad (phishing), y puedes notar que los comentarios son dejados por los mismos «invitados» que en la página anterior. Una vez que lo sabes, es difícil tomar estas páginas en serio.
2. Mira más de cerca: letras complicadas
Ahora echemos un vistazo a otro sitio, también bien diseñado y parecido a uno real. Ahora que sabes mirar primero la URL, puedes hacerlo. Lo primero que debe notar es que la URL parece incluir booking.com, pero el sitio parece pertenecer a otro gigante de los viajes, Expedia. Pero, está bien, quizás uno de ellos compró el otro o sucedió algo más; después de todo, no es su trabajo hacer un seguimiento de las fusiones de viajes. Solo estás aquí para obtener una buena oferta en boletos de avión o un lugar para quedarse.
Pero observa más de cerca la URL, especialmente las letras en la palabra reserva. ¿Ves esos símbolos raros debajo de las letras k, i, ny g? Eso no es suciedad en su pantalla o una falla de la computadora. De hecho, estas son letras diferentes. Forman parte del alfabeto letón, y sí, booķįņg.com y booking.com son sitios web completamente diferentes.
Por lo tanto, un vistazo rápido a la URL puede no ser suficiente para detectar el phishing. Necesitas mirar de cerca; a los estafadores les encanta usar alfabetos alternativos para disfrazar las URL de las páginas de phishing. Para estar seguro, haz clic en el candado a la izquierda de la barra de direcciones y elige «Mostrar certificado» para ver quién es el verdadero propietario del sitio.
3. Mira dos veces: acortadores de URL
Otra táctica que los estafadores emplean para tratar de engañarte es usar acortadores de URL. Digamos que ve un enlace en algún lugar que anuncia alquileres baratos o descuentos en boletos de avión, y el enlace parece acortado. Gracias a Twitter, todos estamos acostumbrados a acortar las URL, y los enlaces que comienzan con t.co o goo.gl no nos sorprenden en absoluto. Tratamos esos enlaces como legítimos. Entonces, ¿por qué deberíamos preocuparnos por los enlaces que comienzan con, digamos, twixar.me o tinyurl.com? Estos ciertamente parecen los resultados de usar otro acortador.
Y lo son, pero nunca debes confiar en las URL acortadas. Si haces clic en un enlace acortado, siempre tienes que verificar dónde exactamente te lleva. Los enlaces acortados no son necesariamente maliciosos, pero pueden serlo. Podría terminar en una página falsa, donde se te pedirá que ingreses tu nombre de usuario y contraseña para Expedia (para la transferencia instantánea a los ciberdelincuentes). Ah, y en este caso, la página falsa también solicita tu contraseña de correo electrónico, que nunca debes ingresar en ningún otro lugar que no sea el sitio web o las aplicaciones de correo electrónico de tu proveedor de correo electrónico.
En cuanto a las cuentas de Airbnb, a los malhechores les gusta robarlas para su uso posterior en el lavado de dinero. Usan tu cuenta para ofrecer lugares para quedarse y otras cuentas para pagar esas estadías, lo que hace que el dinero haya sido legítimamente ganado.
4. Bonificación: detección de spam en viajes
Una de las formas más fáciles de atraer a las personas a páginas de phishing es enviarles mensajes muy convincentes. Y eso es lo que hacen los delincuentes. El problema es que puede ser difícil darse cuenta de que el mensaje de otra compañía aérea es falso. Buscar en el campo «remitente» no le da mucho, ya que el protocolo de correo electrónico te permite enviar correo desde cualquier dirección. El contenido puede copiarse completamente del envío original de la misma aerolínea.
Lo que delata a los malhechores es la dirección del enlace. Quieren que aterrices en un sitio web, por lo que tienen que dirigirte allí con un enlace o un botón. Pero si colocas el cursor sobre ese enlace, aparecerá la dirección de destino de la URL (en la esquina inferior izquierda de tu navegador o aplicación de correo electrónico, por ejemplo). Y como has leído el resto de esta publicación, sabes qué buscar.
Consejos para detectar phishing de viaje
Ahora que conoces los trucos que usan los estafadores para engañar, puedes mantenerte sobre cómo no caer en el phishing (puede leer más sobre la protección contra el phishing en general en esta publicación):
- Si una oferta parece demasiado buena para ser verdad, probablemente lo sea. Lo mejor es evitarlo.
- Mire cuidadosamente la barra de direcciones antes de ingresar cualquier información confidencial, como tu nombre de usuario y contraseña. Si algo está mal con la URL (está mal escrito, no se ve como el original o usa algunos símbolos especiales en lugar de letras), no ingreses nada en dichos sitios. En caso de duda, verifica el certificado del sitio haciendo clic en el icono de candado a la izquierda de la URL.
- Reserva tu estadía y boletos solo en sitios web confiables de proveedores confiables, idealmente escribiendo la dirección de tu sitio web manualmente en la barra de direcciones.
- No hagas clic en enlaces que provienen de fuentes desconocidas (ya sea en correos electrónicos, aplicaciones de mensajería o redes sociales).
- Si ves un obsequio de una compañía de viajes o una aerolínea, ya sea por correo electrónico o en las redes sociales, visite el sitio web oficial de la empresa para confirmar que el obsequio realmente existe. Además, revisa cuidadosamente los enlaces a los que te lleva el anuncio de regalo.
- Utiliza una buena solución de seguridad que pueda protegerte del correo no deseado y el phishing. Recomendamos Kaspersky Security Cloud.
Neothek ofrece servicios de antivirus, web hosting, registro de dominios, correo electrónico, certificados SSL, diseño de páginas web, diseño gráfico y VPN.
