¿Sabrías detectar un timo? Practica con 12 correos y SMS de phishing

Un timo por correo o por SMS suele delatarse por alguna de estas cosas: el remitente no es quien dice ser, el enlace lleva a una web distinta de la que aparenta, hay prisa o una amenaza, y te piden algo que una empresa seria no pide por ese canal, como una clave, un código, los datos de la tarjeta o un pago pequeño. Basta con que veas una para no pulsar ni contestar. Lo que toca entonces es comprobarlo por tu cuenta, entrando en la app o en la web como haces siempre, o llamando al teléfono de siempre.

Leer las señales ayuda, pero donde se aprende es delante de un mensaje concreto. Por eso esta guía trae una práctica con 12 mensajes inventados, mezcla de correos y SMS. Unos son timos y otros son legítimos, porque desconfiar de todo tampoco sirve. En cada uno decides si es un timo o no y después ves las pistas, y al final tienes tus aciertos y un repaso de las señales. Funciona en tu navegador y no guarda nada.

Todos los nombres de la práctica son ficticios («Banco Ficticio», «Paquetería Ficticia») y las direcciones usan los dominios que la norma RFC 2606 reserva para ejemplos, como example.com, example.net, example.org o los que terminan en .example. Ninguno corresponde a una empresa real. Los engaños, en cambio, son copia de los que describe INCIBE, el Instituto Nacional de Ciberseguridad, en su sección para la ciudadanía. Ahí está hoy también lo que antes publicaba la Oficina de Seguridad del Internauta: la dirección osi.es redirige a incibe.es/ciudadania.

Las cinco señales que repite INCIBE

En su página sobre phishing, INCIBE resume así lo que tienen en común los correos fraudulentos:

• El remitente es desconocido o no tiene relación con la empresa o el organismo que dice representar.
• Hay errores gramaticales y de ortografía que una entidad seria no suele cometer.
• Te piden datos que una empresa legítima no pediría por correo, como contraseñas, el PIN, la clave de firma o el DNI.
• Traen enlaces a webs falsas o archivos adjuntos que pueden llevar programas maliciosos.
• Meten prisa o amenazan con algo: un problema de seguridad, el cierre de la cuenta, una multa.

En los SMS el patrón es el mismo, con un matiz que INCIBE recoge en su página sobre smishing. Cada vez es más frecuente que el remitente esté suplantado para que parezca que el mensaje viene de la entidad de verdad. Así que el nombre del remitente no basta para fiarse. Lo que pesa es lo que te piden. Un SMS que te avisa de que tu pedido llega mañana no pide nada. Uno que te pide pagar 1,79 euros de tasas con la tarjeta, sí.

La práctica pone a prueba algo más, el contexto. Que el banco te mande un código de confirmación mientras pagas una compra entra dentro de lo normal, y que te llegue sin estar haciendo nada ya no. Por eso cada mensaje trae una línea que te dice qué estabas haciendo.

Mira adónde lleva el enlace de verdad

El texto de un enlace y su destino pueden ser distintos. INCIBE lo explica en su guía Cómo comprobar si un enlace es malicioso. En el ordenador, pon el cursor encima sin pulsar. En el móvil, mantén el dedo apretado sobre el enlace unos segundos. En los dos casos verás la dirección real, y si no coincide con la web que esperas, no entres.

Al leer esa dirección hay dos trampas habituales. La primera es el dominio parecido: la propia guía pone el ejemplo de «tubanc0.com» en lugar de «tubanco.com», con un cero en vez de una o. La segunda es meter el nombre de la marca delante de otro dominio. Un nombre de dominio se lee de derecha a izquierda, como explica la documentación de MDN, y en una dirección web va después de «https://» y antes de la primera barra. En una dirección como bancoficticio.example.verificacion-clientes.example.org, el dominio que manda es example.org, por mucho que el nombre del banco salga al principio.

Los enlaces acortados son otro caso. La misma guía de INCIBE advierte de que pueden ocultar la dirección web real y propone expandirlos con un servicio en línea antes de abrirlos. Y el candado tampoco es garantía. Que una dirección empiece por https indica que la comunicación va cifrada, pero no que estés en la web que crees. Lo tengo contado con más detalle en cómo comprobar si una web es segura antes de entrar o comprar.

Los engaños que más se repiten

Los 12 mensajes de la práctica siguen los modelos que INCIBE describe en sus páginas de phishing, smishing y vishing (el timo por llamada), y en sus páginas para empresas.

El paquete que no llega

Un SMS dice que tu envío está retenido porque falta el número de la calle o porque hay que pagar unas tasas de aduana de un par de euros. Lo que buscan es que metas los datos de la tarjeta en una web falsa. INCIBE recoge estas dos excusas casi palabra por palabra en su página de smishing.

El banco que te bloquea la cuenta

Un acceso desde un dispositivo nuevo, un cargo que no reconoces o una tarjeta que dejará de funcionar si no activas un sistema de seguridad. Son las excusas que cita INCIBE, y todas buscan que pulses el enlace y escribas tus datos en una web que imita la del banco.

El falso soporte técnico

Alguien se presenta como técnico de una empresa conocida, te dice que tu equipo tiene un problema y te convence para instalar un programa con el que entra en tu ordenador. INCIBE lo describe en su página de vishing y en su artículo sobre ingeniería social, donde habla del falso técnico de informática que instala herramientas de acceso remoto.

El premio y la factura

Un premio de un sorteo en el que no participaste y que solo te pide unos datos o algo de dinero para gestionarlo, o una factura pendiente que viene en un adjunto. INCIBE avisa de que las terminaciones .exe o .zip suelen ser de ficheros descargables que pueden contener malware.

La jefa o el proveedor

Es el fraude del CEO, en el que, según INCIBE, los delincuentes suplantan a un miembro de la empresa y se aprovechan del respeto a la autoridad. En la práctica llega como un correo de la directora que pide una transferencia urgente y confidencial. Una variante es el proveedor que cambia de cuenta bancaria, que INCIBE explica en su página sobre el fraude del correo comprometido, con un ejemplo de dominio falso, «proovedor.com», que se distingue del bueno por una letra. Su consejo es comprobar el número de cuenta por un canal distinto del correo.

El código que te piden por WhatsApp

INCIBE explica en su artículo sobre el ghostpairing que la forma más conocida de robar una cuenta de WhatsApp es conseguir, con algún engaño, el código de verificación que llega por SMS y que sirve para pasar la cuenta a otro teléfono. Su consejo es no compartir ese código con nadie. En la práctica te lo pide un contacto que dice haberse equivocado al escribir su número, y su cuenta puede estar ya en manos de otra persona. En otro artículo sobre los fraudes en redes sociales y WhatsApp, INCIBE lo resume así: si un mensaje pide contraseñas, códigos de verificación o información bancaria, lo más probable es que sea un intento de fraude. Lo mismo vale para los códigos de las apps de verificación, que funcionan de otra manera y explico en cómo funciona el código de 6 cifras de las apps de verificación.

Qué hacer si has picado

Lo que cuenta es moverse rápido. Estos son los pasos que recoge INCIBE en sus páginas de phishing, smishing y vishing, según lo que hayas hecho:

1. Si diste datos del banco o de la tarjeta, llama a tu banco cuanto antes al teléfono de siempre y revisa los movimientos de tus cuentas.
2. Si escribiste una contraseña, cámbiala ya, y también en cualquier otra cuenta donde usaras la misma.
3. Si pulsaste un enlace o abriste un adjunto, pasa el antivirus por el dispositivo.
4. Si durante una llamada te hicieron instalar un programa, desinstálalo y pasa el antivirus.
5. Si te robaron el WhatsApp con un enlace, entra en «Dispositivos vinculados» y quita los que no reconozcas.
6. Si hiciste una transferencia a una cuenta falsa, habla con tu banco para intentar revertirla.

Para todo lo demás está el 017, la Línea de Ayuda en Ciberseguridad de INCIBE. Es un servicio gratuito y confidencial que atiende de 8 de la mañana a 11 de la noche todos los días del año, según su página oficial. También responden por WhatsApp en el 900 116 117 y por Telegram en @INCIBE017. Yo llamaría en cuanto tengas la duda, sin esperar a ver si pasa algo.

Puedes avisar a INCIBE-CERT del mensaje fraudulento desde su página de reporte de fraude, con una descripción, tus datos de contacto y la prueba: el mensaje reenviado, una captura o la dirección de la web falsa. Y si te han robado dinero o han usado tus datos, toca denunciar. INCIBE explica en su página sobre cómo denunciar que puedes hacerlo en cualquier comisaría, en las webs de la Policía Nacional y de la Guardia Civil, que tiene denuncia electrónica, o ante la Ertzaintza, los Mossos d’Esquadra o la Policía Foral. Guarda los mensajes y las capturas antes de borrar nada, que son las pruebas.

Si no has picado y solo te ha llegado el mensaje, lo que pide INCIBE es no contestar, borrarlo y bloquear al remitente. Y si te queda la duda, comprueba con la empresa o la persona por otro canal, como la app, su web escrita a mano o el teléfono que ya tenías. Es lo mismo que intenta entrenar la práctica: parar un momento antes de tocar nada.