Hace dos semanas fuimos testigos en nuestra empresa de un caso real de phising (robo de datos de clientes mediante la impostación de un sitio web). Un cliente que contrató una cuenta de alojamiento básica, y que lo pagó a través de tarjeta de crédito, resultó ser un delincuente informático.
Por suerte la cosa no fue a mayores, ya que desde el principio su forma de proceder resultó sospechosa, y por tanto vigilamos los movimientos de ese cliente y, en cuanto comprobamos de qué se trataba la cuenta de alojamiento fue inmediatamente bloqueada. Nos pusimos en contacto con al Unidad de Delitos Telemáticos de la Guardia Civil para denunciar el hecho, y ellos están investigando el caso.
En una reunión con ellos nos comentaron varios aspectos interesantes de estos casos, como es que las entidades financieras prefieren asumir los daños económicos de estos casos a cuenta de los ahorros de costes que les reporta la banca Internet –con lo que este tipo de casos tiene todos los visos de perpetuarse– o que, sorprendentemente, los operadores de telecomunicaciones prestan muy poca cooperación a la Guardia Civil cuando se les demandan datos de una determinada conexión.
Hay que reconocer que los phishers crean unas páginas a imagen y semejanza de los originales, por lo que para una persona que no tenga suficiente experiencia como para descubrir los sitios maliciosos a primera vista, el engaño puede resultar fatal. Uno debe permanecer siempre vigilante a cualquier mensaje de correo electrónico que proceda de una entidad financiera y, en caso de la más mínima duda, eliminar el mensaje.
Unas recomendaciones de herramientas antiphishing:
- Los navegadores más utilizados (Internet Explorer, Firefox) disponen de medidas de seguridad antiphising, que se van refinando según avanzan sus versiones. Es una buena idea tener estas medidas habilitadas. Si cabe más importante es que los clientes de correo electrónico (Outlook Express, Thunderbird) tengan también habilitadas esas medidas. Vale la pena consultar configuración de seguridad de su navegador y cliente de correo electrónico para comprobar que están correctamente configurados y actualizados.
- OpenDNS ofrece la posibilidad de utilizar gratuitamente sus servidores de DNS en lugar de los que tenga usted configurados de forma que aquellos sitios web que han sido detectados como maliciosos son sencillamente bloqueados.
- Phistank es una iniciativa para la creación de una base de datos de sitios web considerados maliciosos. Si tiene dudas sobre algún sitio web puede consultar sobre él visitando su web (en inglés).
Como información adicional, las entidades financieras están tratando de llegar a un acuerdo con ICANN (el organismo de Internet que gestiona la existencia de dominios de primer nivel) para poner en marcha el dominio .bank, que se asignará rigurosamente a entidades financieras reconocidas. De esta forma todos los mensajes y direcciones web que se acojan a este dominio de primer nivel tendrían un grado mucho más alto de seguridad.
Más información: Phising (Wikipedia).