6 consejos para identificar un correo electrónico de phishing

El otoño es una época del año estupenda para escaparse y pasar algún tiempo al aire libre, sobre todo con los puentes y festivos en España. No obstante, los delincuentes, por su parte, parecen intensificar sus campañas de phishing, ya que la rutina diaria de borrar los mensajes de correo electrónico y SMS no deseados y maliciosos, se alarga durante las escapadas otoñales.

En el pasado mes de octubre se ha celebrado el Mes de la Concienciación sobre la Ciberseguridad y ESET, compañía pionera en protección antivirus y experta en ciberseguridad, ha dedicado parte de la campaña al tema «Fight the Phish» y ha recopilado los mejores consejos para que no seamos víctimas del phishing.

Las duras verdades

ESET ha realizado una prueba con aquellos usuarios que quisieran verificar sus conocimientos acerca del phishing. Durante la prueba, un sorprendente porcentaje de los participantes han fallado a la hora de identificar correctamente las campañas de este tipo: más de 60% de los usuarios no han acertado estos casos en las cuatro imágenes de mensajes reales y de phishing incluidas en esta prueba.

Llamada ESET Phishing Derby y organizada por el equipo de ESET en los Estados Unidos, la competición, de participación gratuita, fue diseñada para demostrar lo competentes que somos a la hora de identificar los mensajes falsos frente a los reales. El sistema de puntuación se basa en la velocidad y en distinguir correctamente los mensajes, y poco menos de 40% de los participantes identificaron correctamente tres de las cuatro muestras en un tiempo muy corto. Así que, en realidad, es probable que el número de personas que identifiquen los cuatro correctamente sea menor. El cuestionario no se diseñó para generar estadísticas, sino para crear conciencia y ayudar a educar a los participantes sobre cómo identificar los correos electrónicos falsos.

Curiosamente, los resultados muestran una marcada diferencia en la forma en que los participantes más jóvenes, de entre 18 y 24 años, identificaron correctamente las muestras: el 47%, frente a sólo el 28% de los mayores de 65 años. Los que tienen entre 25 y 44 años alcanzan el 45% y los de 45 a 64 años el 36%. El número de participantes en la prueba fue de 4.292 personas, y los datos recogidos son un subproducto y no un estudio académico. Un resultado similar se presentó cuando el mismo test fue realizado por ESET Canadá a finales de 2020, con un 68% de participantes que no identificaron correctamente las cuatro muestras. El test está disponible en este enlace.

En este sentido, ¿qué medidas debemos tomar a partir de los resultados de esta prueba?

Los expertos de ESET recomiendan, en primer lugar, ser cautelosos con los correos electrónicos y los mensajes recibidos, así como adoptar otras buenas prácticas para estar seguros en línea. Además, es importante trasladar las buenas prácticas a amigos y familiares, con especial cuidado a los más mayores, ya que los datos demuestran que pueden necesitar un poco más de ayuda.

Por otro lado, se podría pensar que, con las continuas campañas de concienciación de las organizaciones financieras, las empresas de ciberseguridad, los gobiernos y otras entidades similares que transmiten mensajes de concienciación sobre  ciberseguridad, esta cifra debería ser mucho menor. Sin embargo, algunos correos electrónicos de phishing que llegan a las bandejas de entrada están muy bien elaborados y se parecen a emails auténticos, por lo que es mucho más difícil identificarlos como falsos. Este reto será cada vez más difícil a medida que los ciberdelincuentes perfeccionen su técnica.

Además, ESET alerta también de que el aumento de los recursos informáticos a disposición de los ciberdelincuentes supone ya un reto importante. Algunos ejemplos de ello son, el alquiler de la potencia de la computación en la nube, las cantidades masivas de información personal disponibles a partir de las filtraciones de datos y, hasta cierto punto, los recientes ciberataques exitosos que están reinvirtiendo sus beneficios para hacer crecer la ciberdelincuencia.

Otros indicadores que avisan de los ataques de phishing

A continuación, ESET desvela algunos consejos más sobre cómo identificar un correo electrónico de phishing:

1. El correo electrónico no se dirige a ti personalmente: cuando el remitente se hace pasar por una empresa que debería saber perfectamente quién eres y suele enviar correos electrónicos dirigidos de forma personal y no de forma genérica.
2. Errores gramaticales y ortográficos:  aunque los correos electrónicos de phishing se sofistican cada día que pasa y debes asegúrarte de leerlos dos veces, ya que los errores pueden ser más difíciles de detectar
3. Compañías desconocidas: correos electrónicos enviados por empresas con las que no sueles comunicarte o que sean desconocidas para ti.
4. Un email para realizar urgentemente una acción: correos que te inviten a hacer clic en un enlace e iniciar una sesión para revisar transacciones pendientes o algo similar
5. La dirección de correo electrónico: es importante pasar el ratón por encima de la dirección de correo electrónico y comprobar que la dirección real del remitente y el dominio desde el que se envió coincidan.
6. Correos electrónicos con archivos adjuntos: por ejemplo, que dicen ser una factura o una notificación de algún tipo y que muchas veces contienen malware.

Josep Albors, director de investigación y concienciación de ESET España, concluye: “Mi recomendación en los casos en los que no sabes si un correo electrónico es real o falso es visitar el sitio web real del supuesto remitente a través de un navegador, entrar en tu cuenta y buscar cualquier mensaje que haya podido ser enviado. Cualquier cosa importante estará en el apartado de mensajes de tu cuenta o en la bandeja de entrada y, si es necesario, recomiendo también contactar con la empresa y confirmar la veracidad del email.”.