Suplantación de identidad: cuando el engaño se disfraza de confianza
Hacienda nos manda un correo en el que nos informa de que nos devuelve dinero; Correos remite un SMS porque tiene un paquete bloqueado; llama nuestra compañía eléctrica con un impago que puede dejarnos sin luz... Situaciones apremiantes (y muy comunes) que hacen que se baje la guardia ante posibles estafas. ¿Cómo debemos actuar?
Salta una notificación de un nuevo e-mail en la pantalla del móvil: “Querido usuario: vamos a proceder a cerrar todas las cuentas de correo electrónico no actualizadas. Haga clic aquí para actualizar la suya”. Parece oficial y plantea dudas: “¿Y si me quedo sin cuenta?”. Otro aviso, en forma de SMS: “La entrega se ha suspendido porque en su pedido no figura la calle, complete sus datos en el siguiente enlace”. No sería extraño que el receptor fuera uno de los 30 millones de españoles que hacen compras por internet, según el Observatorio Nacional de Tecnología y Sociedad (Ontsi). La urgencia del mensaje y el temor a quedarse sin el envío pueden precipitar una decisión fatal.
Son dos ejemplos muy comunes de cómo los delincuentes utilizan internet para tratar de conseguir información privada. Y aunque a veces parezcan tan obvios que nunca vamos a caer en ellos, están a la orden del día, señala Héctor Paredes, profesor en el grado de oficial de Ingeniería del Software en el centro universitarios U-Tad de Madrid. Esta técnica de fraude digital se conoce como phishing cuando utiliza el correo electrónico u otros programas de mensajería (como WhatsApp). Cuando llega a través de un SMS se denomina smishing, mientras que, si ocurre mediante una llamada de teléfono, se conoce como vishing.
Por qué caemos en la trampa de los estafadores
Los atacantes envían comunicaciones falsas en las que suplantan a bancos, proveedores de electricidad o gas, empresas de servicios, Administraciones públicas o personas conocidas por la víctima con el fin de tener acceso a información confidencial: contraseñas, números de cuentas o tarjetas bancarias, agendas privadas... con lo que luego obtendrán su beneficio económico.
Los delincuentes buscan generar confianza con la víctima para que clique en enlaces contenidos en los e-mails y mensajes falsos. A continuación, le inducen a depositar datos personales. El mensaje suele incluir un tono urgente, como “verifica tu cuenta”, “hay actividad sospechosa” o “tu cuenta será bloqueada”, lo que lleva a la víctima a precipitarse y actuar con menos precauciones. Una vez que la persona introduce sus datos, los delincuentes los utilizan para robar dinero o utilizar esa información para más adelante perpetuar un engaño más grande y ‘a la medida’.
En el caso del fraude por voz (vishing), el estafador llama a la víctima, supuestamente, en nombre de una organización o persona para advertirle de algún asunto relacionado con ellas, como un impago o un reembolso. Manipulan a la persona a través de un fraude guiado con el objetivo de convencerla de que debe realizar el pago durante el tiempo en el que está al teléfono con el estafador, lo que añade sensación de urgencia que impide a la víctima tomar precauciones.
Ocho de cada diez fraudes o estafas que se ejecutaron en España en 2024 ocurrieron en internet. Y de estos, la mayoría fueron casos de phishing. Además, las proyecciones prevén que este año crezcan, de acuerdo con la Coordinación de Ciberseguridad de la Guardia Civil.
Para evitar ser víctima de cualquiera de estas estafas, ya sea a través del correo electrónico, el SMS o una llamada, conviene conocer bien cómo funcionan y qué hacer en caso de caer en ellas. A continuación, tres casos reales acompañados de pautas concretas para prevenir e identificar este tipo de fraudes digitales.
Un mensaje de ‘e-mail’: el clásico, pero efectivo, engaño
En 2020, un joven español llamado Daniel fue víctima de un caso de phishing tras recibir un correo que simulaba ser de la Agencia Tributaria. El mensaje, con el logotipo oficial y un lenguaje formal, le informaba de que tenía derecho a un reembolso de 430 euros. Para conseguirlo debía confirmar sus datos bancarios a través de un enlace. Al acceder, fue redirigido a una página idéntica al portal oficial, donde introdujo su número de cuenta, DNI y contraseña de banca online. Horas después, notó movimientos sospechosos en su cuenta: los estafadores habían realizado transferencias por más de 2.500 euros. Daniel contactó de inmediato con su banco para bloquear la cuenta y presentó una denuncia ante la Policía Nacional. El caso fue reportado en medios locales y sirvió como advertencia sobre el aumento de fraudes suplantando organismos oficiales, especialmente durante campañas como la declaración de la renta.
¿Por qué lo llaman phishing?
El término proviene del inglés fishing (pesca, en español) pero escrito con “ph” por phreaking, contracción de phone freaking, técnica utilizada por los hackers en los años 70 para realizar llamadas gratuitas y entrar sin autorización en los sistemas telefónicos.
Cómo identificar un correo electrónico fraudulento
Fijarse en la dirección de correo, suele ser parecida pero no exacta a la oficial
La Agencia Tributaria no adjunta documentos anexos con información de facturas u otros tipos de datos
Comprobar la dirección. Las correctas son agenciatributaria.es. sede.agenciatributaria.gob.es y agenciatributaria.gob.es. Además, siempre cualquier transacción requiere los pasos de autentificación que solicitan los organismos públicos, como el DNI electrónico o la firma electrónica, entre otros
La Agencia Tributaria nunca solicita por correo electrónico información confidencial, económica o personal
Las notificaciones reales suelen ser sencillas y no suelen incluir textos sobre normas y leyes
Firma con el objetivo de dar credibilidad y autoridad, pero la Agencia Tributaria y el Gobierno de España son dos organismos diferentes
Ejemplo creado a partir de información publicada por la Agencia Tributaria.
CÓMO PREVENIRLO
Pensar antes de hacer clic o responder a mensajes que piden información personal, desde cualquier canal. Nunca se deben enviar contraseñas o datos bancarios por correo electrónico. Las entidades oficiales nunca pedirán credenciales por estos medios. Hay que evitar pulsar en enlaces que provengan de correos o mensajes inesperados. Una forma de detectar si es legítimo es pasar el cursor sobre el enlace (sin hacer clic) para ver la URL y contrastarla con la oficial.
Verificar el remitente. Hay que fijarse en la dirección de correo: muchas veces es parecida pero no exacta a la oficial. Sospechar de errores ortográficos o saludos genéricos como “Estimado cliente”. Los proveedores de correo electrónico cada vez son más eficientes al filtrar este tipo de mensajes y archivarlos en la carpeta de spam, aunque no por ello conviene confiarse. Aunque con el auge de la inteligencia artificial existen más herramientas para que la redacción y tono sean exactos a los oficiales haciendo imperceptible el engaño.
Riesgo de descargar ‘malware’. Hay casos en los que al clicar en el enlace fraudulento se descarga un malware, es decir, un programa que da acceso al móvil a los estafadores. Este software toma capturas de pantalla, da acceso a la cámara y al micrófono o registra las pulsaciones de teclas. En tal caso, conviene desconectarse de internet y escanear el dispositivo con un antivirus. Se puede instalar uno previamente. En caso de no disponer de uno, lo mejor es modificar las contraseñas importantes desde otro dispositivo.
Recuerda hacerte estas tres preguntas: ¿Esperabas ese mensaje? ¿Conoces o percibes algo extraño en el remitente? ¿Te pide que hagas alguna acción urgente, como clicar en enlaces, descargar archivos o responder con información personal? Estas reflexiones te ayudarán a ver más allá del mensaje y pensar que detrás de todo se trata de un engaño.
Un inesperado SMS con un mensaje fatal
Un caso real ocurrido el pasado año. Una mujer recibió un SMS firmado aparentemente por Correos. El texto indicaba que la compañía había retenido un envío y que era imprescindible que la receptora pagara 0,80 euros. Para proceder al pago, se la incitaba a clicar en un enlace que incluía el mensaje. La mujer, que estaba esperando varias compras digitales, lo hizo y entró en una página web con el aspecto, los colores y el logotipo de la empresa pública de servicio postal. Rellenó los datos personales que se le solicitaban, incluidos los datos bancarios.
Días después, la víctima observó que en su cuenta se habían realizado cargos no autorizados por valor de 2.985 euros. De inmediato, contactó con su entidad bancaria, con la Policía Nacional y posteriormente con una asociación de consumidores. Finalmente consiguió recuperar el dinero, como reportó la prensa. Este tipo de fraudes se produce durante todo el año, pero especialmente durante periodos de compras como las Navidades y las rebajas, cuando las compras se multiplican.
¿Por qué lo llaman smishing?
El término proviene de la conjunción de SMS y phishing.
Cómo identificar un SMS fraudulento
El SMS se ubica en el hilo oficial de Correos
Las faltas de ortografía o la redacción pueden alertar de su origen ilegal
Fijarse en la URL, suele ser parecida pero no exacta a la oficial
Ejemplo publicado por Correos.
CÓMO PREVENIRLO
No clicar en el enlace y evitar rellenar cualquier formulario. Extremar la precaución ante cualquier SMS, incluso si se está esperando. No responder a través de los enlaces o números de teléfono que se proporcionan. Buscar por otra vía el contacto de esa empresa, como el teléfono de atención al cliente, y explicarles lo sucedido. En el caso de esperar un paquete se puede vigilar el estado del pedido a través de la web oficial de compra. Conviene fijarse siempre en la URL, el truco es que son muy parecidas, pero no exactas a la oficial. Ante la más mínima duda, desconfiar y contactar por otros canales oficiales de atención al cliente.
Activar la protección contra los mensajes no deseados (spam) en el teléfono móvil. Tanto iPhone como el sistema Android ofrecen esta opción.
¿Y si ya se ha clicado? Si se hace clic por error, lo primero es no seguir interactuando ni proporcionar más información. Se deben cerrar todas las ventanas y en caso de detectar que se haya descargado algún archivo, revisar la carpeta de Descargas. Si se localiza un archivo sospechoso, no abrirlo y eliminarlo de inmediato. Si se introdujeron datos privados, como contraseñas, conviene cambiarlas en ese momento. Si se han proporcionado datos bancarios, se debe notificar al bando y proceder a la cancelación de las tarjetas.
Una llamada: el despiste de la urgencia
Un vecino de Palencia atendió un número desconocido. La voz de un joven que se identificaba como empleado de su empresa de energía eléctrica le solicitaba saldar un impago. Si no lo hacía, le cortarían el suministro inmediatamente. La persona afectada siguió las instrucciones del estafador, que le solicitaba los datos de su tarjeta bancaria para proceder al cobro.
La víctima proporcionó el número de la tarjeta, así como la fecha de caducidad y el código de seguridad. Durante la llamada, el estafador solicitó el número de verificación que las entidades bancarias envían al hacer una transacción digital, de manera que permitió que el timador seleccionara la cifra a su antojo. Como resultado, se produjo una transacción fraudulenta por un importe de 8.500 euros.
¿Por qué lo llaman vishing?
El nombre del concepto surge de la unión de voice, voz en inglés, y phishing.
Cómo identificar una llamada telefónica fraudulenta
Empresas y organismos oficiales no se ponen en contacto con sus usuarios a través de llamadas telefónicas
Los estafadores pueden hacer que el nombre real de la empresa a la que suplantan aparezca en la pantalla
Los estafadores utilizan un lenguaje formal, a veces, con jerga burocrática. Conviene colgar y contactar a través del teléfono oficial para contrastar la información y avisarles de la posible estafa
Ejemplo de vishing.
CÓMO PREVENIRLO
No dejar los datos personales en los perfiles de redes sociales. Principalmente el teléfono móvil. Mantener, además, los perfiles en modo privado para controlar quién puede acceder.
Si se identifica la llamada como fraudulenta, no debe seguirse ninguna indicación, ni facilitar datos personales o bancarios. Lo más conveniente es cortar la comunicación inmediatamente y contrastar lo que se cuenta en la llamada a través de canales oficiales.
Tras colgar, hay que bloquear el número de teléfono desde el que se recibió la llamada y reportarlo a la Policía Nacional. En caso de haber suplantado a una empresa de la que se sea cliente, ponerse en contacto con ella para advertir del engaño.
Rastrear la información personal en internet. Comprobar que no esté publicada sin el consentimiento del usuario. Para comprobar si su nombre aparece en páginas web se puede introducir en la barra de navegación del buscador: “nombre y apellidos”, entre comillas. También se pueden comprobar otros datos de esta manera: “dirección del domicilio”, “teléfono”, “número de DNI”... En caso de localizar cualquier tipo de información personal, ponerse en contacto con la página web o comunicar la situación a la Agencia Española de Protección de Datos.
La IA suplantó la voz de su marido
Los ciberdelincuentes aprovechan también las ventajas de la inteligencia artificial para expandir y perfeccionar sus delitos con el uso del deepfake. Esta técnica permite la creación de foto, vídeos y audios que imitan la apariencia y la voz de una persona con tal precisión que engañan tanto a los algoritmos como a los humanos. Hoy es posible emular la voz de una persona de manera fidedigna con un programa informático a partir de 30 segundos de su voz, explica Héctor Paredes, profesor de U-Tad. “Hay modelos que se pueden entrenar con poca información, pero de cuantos más datos disponga más fiel a la realidad será”, explica.
El uso más frecuente de las estafas basadas en la voz es la suplantación de la identidad de personas con poder, como directivos, cuya exposición pública — vídeos y audios en internet favorece la réplica de su voz o, incluso, de su rostro. De esta manera, los piratas informáticos se hacen pasar por ejecutivos a cuyos empleados solicitan, mediante una llamada o una videollamada, que realicen una transacción a una cuenta bancaria externa a la compañía.
Esta técnica de suplantación también empieza a producirse entre el resto de la población, explica el profesor. El Instituto Nacional de Ciberseguridad (Incibe) ha reportado casos en los que un estafador ha conseguido replicar también la voz del familiar de una persona. Una usuaria, explica el Incibe, recibió una llamada de un número desconocido. Al otro lado escuchó la voz de su marido diciendo: “Hola, no te puedo llamar, envíame un mensaje a este número...”. La víctima se dio cuenta de que era una locución, colgó y llamó a su marido para corroborar.
Preguntada la usuaria por la posibilidad de que hubiera algún vídeo público de su marido en alguna web o red social, desde el que los piratas pudieran captar su voz, indicó que no lo creía posible. No obstante, añadió, habían recibido llamadas en las que, nada más responder, habían colgado. Cabe la posibilidad, señalan, de que las pocas palabras que pronunciara el hombre al descolgar sirvieran para replicar su voz.
Así te protege Banco Santander ante las estafas
Los estafadores suplantan la identidad de bancos para obtener datos confidenciales de sus clientes, como claves de acceso y códigos de verificación (los que se envían al usuario para confirmar transacciones). La estafa puede llegar por correo electrónico, SMS y otros programas de mensajería o llamada telefónica, e incluye advertencias que generan una sensación de urgencia que impide a la víctima tomar precauciones.
Para combatir este tipo de estafas, Banco Santander ha lanzado la funcionalidad Llamadas seguras, que confirma en tiempo real si la llamada proviene realmente de la entidad. Cada vez que un gestor contacta con un cliente, este recibirá una notificación en la aplicación y un correo electrónico sin enlaces ni direcciones web que valida la autenticidad de la conversación. Además, Santander ofrece a sus clientes la Superlínea (915 123 123), un teléfono de atención las 24 horas; un buzón de correo electrónico, phishing@gruposantander.es, al que reenviar las comunicaciones sospechosas y otro número (638 444 542), para los SMS fraudulentos.
‘Seguridad día a día’ también en SER
‘Phishing’, ‘smishing’ y ‘vishing’