Phishing, suplantación y aplicaciones falsas

Toda señal de confianza se puede copiar

Piensa en qué te convence realmente de que una página es auténtica: el logotipo, la maquetación, un candado en la barra de direcciones, una insignia de verificación, un resultado de búsqueda destacado, un enlace compartido en una comunidad de aspecto oficial. Un atacante puede reproducir o comprar cada una de esas cosas, y normalmente barato.

Los resultados de búsqueda patrocinados son un método de entrega habitual, porque pagar por el primer puesto con el nombre de una billetera es legal y eficaz. Las fichas de tiendas de aplicaciones pueden ser falsificaciones. Las extensiones de navegador pueden imitar la interfaz de una billetera. Los códigos QR son ilegibles para las personas por diseño y pueden apuntar a cualquier parte.

La única señal cara de falsificar es el propio destino. Por eso la verificación tiene que apoyarse en el nombre de host exacto y en cómo llegaste, no en el aspecto de la página. Lee el dominio completo desde el último punto antes de la primera barra: un subdominio como example.com.attacker.site pertenece a attacker.site. En un teléfono, donde la barra de direcciones se recorta, tócala y léela entera.

La trampa de la verificación

El hábito más importante de esta lección cabe en una frase: nunca verifiques a través del canal que te contactó. Preguntar al remitente si el enlace es real, llamar a un número que aparece en el mensaje o pulsar «contactar con soporte» en la página sospechosa devuelven la comprobación al atacante.

En su lugar, abre una vía separada que controles tú. Un marcador que guardaste antes, la aplicación del proveedor que instalaste deliberadamente o un dominio que tecleas tú después de comprobarlo en documentación oficial. Después compara la solicitud exacta con lo que dice ese canal.

Las organizaciones legítimas no necesitan tu frase de recuperación, un código de un solo uso, control remoto de tu pantalla ni un pago para asegurar tu cuenta. La urgencia es una técnica, no una prueba: un plazo real sobrevive a los diez minutos que cuesta verificar, y un atacante necesita que creas que no.

Protege las vías de recuperación

Con frecuencia los atacantes no van directamente a por la cuenta. Van a por el correo electrónico que puede restablecerla, el número de teléfono que recibe códigos o la copia en la nube que guarda una captura de algo sensible.

Por eso la cuenta de correo asociada a servicios financieros merece la protección más fuerte de la que dispongas: una contraseña única y autenticación de varios factores resistente al phishing en lugar de SMS, cuando exista la opción. Los códigos por SMS puede interceptarlos un atacante que convenza a un operador móvil de reasignar tu número, y es una técnica bien establecida, no exótica. Cuando un servicio ofrezca una lista blanca de retiros, actívala, para que un acceso comprometido no pueda enviar fondos a una dirección nueva sin un retraso que notarías.

Reduce el radio de impacto

Supón que en algún momento algo pasará el filtro. Un buen diseño de seguridad limita a qué puede llegar un único error en vez de suponer que no habrá errores.

En la práctica eso significa una billetera de poco valor para aplicaciones desconocidas, separada de las tenencias a largo plazo; contraseñas únicas para que una filtración no se propague; y el hábito de desconectar sitios y revisar aprobaciones de forma periódica en lugar de acumular permisos abiertos indefinidamente.

• Detente en cuanto sientas prisa: la urgencia es el ataque.
• Abre una vía nueva que controles antes de verificar nada.
• Lee el nombre de host completo, especialmente en el móvil.
• Instala software de billetera solo desde una fuente que hayas verificado.
• Denuncia la suplantación sin seguir interactuando.