Recomendaciones para evitar ser victima del “phishing”

Recomendaciones para evitar servictima del “phishing”ArCERT - Coordinación de Emergencias en Redes Teleinformáticas de Argentina.ONTI - Oficina Nacional de Tecnologías de Información.versión 1.0 – Abril de 2009

Recomendaciones para evitar ser victima del “phishing”Debido al crecimiento en la cantidad de incidentes de “phishing” reportados en losúltimos meses, el grupo ArCERT le acerca las siguientes recomendaciones para facilitar sudetección y mitigar sus efectos.¿Qué es el “Phishing”?“Phishing” es una forma de engaño mediante la cual los atacantes envían unmensaje (anzuelo) a una o varias personas, intentando convencerlas para que revelen susdatos personales.Usualmente, esta información es luego utilizada para realizar acciones fraudulentas,como transferencias de fondos de su cuenta bancaria, compras con sus tarjetas de crédito uotras acciones delictivas que pueden efectuarse mediante la utilización de esos datos.Actualmente el modo de difusión más utilizado por los atacantes para realizar unataque de “phishing” es el correo electrónico. Estos correos suelen ser muy convincentes, ysimulan haber sido enviados por una entidad conocida y confiable, con la cual la personaopera habitualmente, como por ejemplo un banco o una empresa que realice operacionescomerciales por Internet. En el mensaje se alegan diversos motivos, como problemastécnicos o la actualización o revisión de los datos de una cuenta, y a continuación se lesolicita que ingrese a un sitio web para modificar o verificar sus datos personales: nombrecompleto, DNI, claves de acceso, etc.Dicha página web es en realidad un sitio falsificado que simula ser el de laorganización en cuestión. El diseño de estas páginas web suele ser muy similar, y a vecesprácticamente idéntico, al de las páginas web reales de la organización cuya identidad sesimula. Asimismo, estos sitios tienen direcciones web que pueden confundir a un usuariodesprevenido por su parecido con las direcciones web auténticas. En la mayoría de loscasos, el texto del enlace escrito en el correo electrónico es la dirección real del sitio web.Sin embargo, si el usuario hace clic en ese enlace, se lo redirige a una página web falsa,controlada por el atacante.También se han detectado casos en los cuales el usuario recibe un mensaje SMS asu teléfono celular, un mensaje en un contestador automático o una llamada telefónica, enlos cuales, mediante técnicas muy similares, se lo intenta convencer para que llame a unnúmero telefónico indicado en el mensaje. Al llamar a dicho número, un sistemaautomatizado, haciéndose pasar por la organización, le solicitará sus datos personales, losque luego serán utilizados sin su autorización, con las previsibles consecuencias gravosas.Página 2

Recomendaciones para evitar ser victima del “phishing”Verifique también que en la parte inferior de su navegador aparezca un candado cerrado.Haciendo clic sobre ese candado, podrá comprobar la validez del certificado digital yobtener información sobre la identidad del sitio web al que está accediendo.● Mantenga actualizado el software de su PC.Instale las actualizaciones de seguridad de su sistema operativo y de todas las aplicacionesque utiliza, especialmente las de su producto antivirus, su cliente web y de correoelectrónico. La mayoría de los sistemas actuales permiten configurar estas actualizacionesen forma automática.● Revise sus resúmenes bancarios y de tarjeta de crédito tan pronto los reciba.Si detecta cargos u operaciones no autorizadas, comuníquese de inmediato con laorganización emisora. También contáctese con ella si se produce una demora inusual en larecepción del resumen.● No descargue ni abra archivos de fuentes no confiables.Estos archivos pueden tener virus o software malicioso que podrían permitir a un atacanteacceder a su computadora y por lo tanto, a toda la información que almacene o introduzcaen ésta.Recuerde - No conteste ningún mensaje que resulte sospechoso.Si un mensaje en su contestador le avisa sobre un evento adverso vinculado a su cuentabancaria y le solicita que llame a un teléfono gratuito, no lo haga. Si recibe un correoelectrónico que le pide lo mismo, no lo crea. Si del mismo modo le envían un SMS debienvenida a un servicio que no ha contratado, bórrelo y olvídese. Las mencionadasprácticas no son sino diversas modalidades que persiguen el mismo fin: obtener sus datospersonales para defraudarlo.Finalmente - Permanezca siempre atento para evitar el acceso indebido a su informaciónpersonal. Observamos que día a día aparecen nuevas estrategias de engaño. Sudesconfianza y el cuidado con que analiza los sitios web en los que ingresa sus datos deidentidad, son su mejor protección.Página 4