Cómo protegerse de los correos electrónicos de phishing

“Phishing” es un lindo nombre para una práctica maliciosa. Un atacante envía millones (o incluso mil millones) de correos electrónicos para intentar convencer a alguien de que proviene de una fuente legítima. El phishing a veces se basa en los miles de millones de compromisos de cuentas que se han producido en los últimos años para incluir detalles personales, como su dirección postal o un nombre de cuenta asociado con un sitio.

El correo le convence de que algo anda mal con su cuenta, o de que hay una gran promoción en curso, y le insta a que haga clic en un enlace que parece correcto. Al hacer clic, accederá a un sitio web que solicita las credenciales de su cuenta. Continúe, y es posible que haya entregado las llaves de su reino.

Este tipo de ataque es insidioso porque la mayoría de nosotros recibimos tantos correos electrónicos de empresas y organizaciones con las que tratamos que apenas podemos administrarlos. Un mensaje que dice «¡límite excedido de la tarjeta de crédito!» puede elevarse por encima de la refriega, y usted presta atención. El sitio al que está vinculado el correo electrónico se parece a lo que espera.

Hablo desde la posición de un compañero de sufrimiento. Durante el último año, recibí un mensaje de texto de “DHL” y dos correos electrónicos de “American Express” que casi me atrapan. Hice clic en el mensaje de DHL, ya que esperaba un paquete de ese servicio, lo cual es raro para mí, y rápidamente me di cuenta de lo que estaba haciendo y cerré la ventana. Con los mensajes de Amex, ambos terminaron filtrados en mi carpeta de correo no deseado, pero los miré y pensé: «Esto debe ser un error». Sin embargo, en un examen más detallado, me di cuenta de que mi aplicación de spam era más observadora que yo y nunca hice clic en absoluto.

Esto es lo que puede hacer para resistir estos ataques en un mensaje de correo electrónico.

Deshabilitar la carga de imágenes

Los píxeles de seguimiento invisibles permiten que tanto los vendedores como los estafadores sepan que se abrió un mensaje y pueden revelar más de lo que desea sobre usted. Puede seguir estas instrucciones para desactivar la carga automática de imágenes y medios. Comenzando con el lanzamiento a finales de este año de iOS/iPadOS 15 y mac OS 12 Monterey, puede ir más allá al habilitar Mail Privacy Protection, que carga rastreadores a través de un proxy para romper la conexión con usted. (Esta función no requiere iCloud+, el nuevo nombre para los niveles de pago de iCloud).

No haga clic en los enlaces del sitio en el correo electrónico

Si bien es conveniente hacer clic en los enlaces de los correos electrónicos, no hacer clic en los enlaces y, en su lugar, usar marcadores o escribir las primeras letras de un sitio evita la mayoría de los ataques de phishing.

Pase el cursor sobre los enlaces antes de hacer clic

Si estás pensando en hacer clic y tienes un cliente de correo electrónico (como Apple’s Mail) que lo admita, puede pasar el cursor sobre cualquier enlace y ver cómo se ve. Si no es la URL de la empresa o grupo que lo envió, no haga clic. Algunas empresas utilizan el seguimiento de correo electrónico y enrutan sus enlaces a través de Mailchimp y otras empresas legítimas de envío de correo electrónico. Pero no se puede diferenciar entre uso y mal uso en esos casos. Con Apple correo electrónico, al pasar el cursor sobre muestra la URL como texto de sugerencia; solo cuando hace clic en la flecha que apunta hacia abajo obtiene una vista previa completa, lo que recomiendo no hacer dado el riesgo de proporcionar más información sobre usted.

Busque advertencias en el correo electrónico

Algunas aplicaciones de correo electrónico le advierten automáticamente o puede habilitar advertencias que le indiquen que un mensaje parece sospechoso o tiene enlaces que apuntan a sitios de phishing conocidos. Yo uso Postbox, que tiene esta opción. No siempre es preciso, por alguna razón no le gustan los correos electrónicos de eBay, pero al menos me hace desconfiar de un correo electrónico entrante.

Safari advierte sobre conexiones a sitios que no son lo que parecen ser, pero lo verá en una red de punto de acceso si aún no ha pasado la página del portal.

Si decide que el enlace es legítimo y hace clic en él, tenga cuidado y siga estos consejos:

• Revisa el candado. Safari y la mayoría de los demás navegadores muestran un icono de candado en la barra de ubicación o similar en la parte superior de su ventana en las versiones de escritorio y móvil. Si no ve un candado, es un problema.
• Esté atento a las advertencias de seguridad flagrantes. Safari muestra una gran advertencia cuando visitas un sitio que utiliza un documento de seguridad (un certificado digital) que no coincide con el nombre de dominio en el que se encuentra. Esa es una gran bandera roja y debes alejarte rápidamente en un sentido virtual. Tienes que trabajar para eludir esta advertencia.
• Esté atento a las advertencias de seguridad más sutiles. Apple también busca en Safari un documento de seguridad caducado (los sitios deben renovarse al menos una vez al año) que antes era legítimo. Y si estás en una página no segura que te pide tu contraseña o tarjeta de crédito. Esas también son banderas rojas.
• Utilice un administrador de contraseñas. AppleEl soporte de contraseña integrado de iOS, iPadOS y macOS y 1Password y otros ecosistemas de terceros solo completarán una contraseña si el dominio coincide con precisión. Un dominio similar destinado a engañarlo nunca coincidirá y, por lo tanto, no se le ofrecerá la oportunidad de hacer clic o usar Touch ID o Cara ID para completar los campos de inicio de sesión.

La única ocasión en la que verá un error cuando intente visitar la versión legítima de un sitio es cuando esté en un punto de acceso público y aún no haya pasado por su aro para unirse a la red. Cuando se conecta a un punto de acceso de este tipo, bloquea el tráfico general de Internet. Efectivamente redirige todo a una página de «portal» local donde puede pagar, ingresar un inicio de sesión o aceptar los términos del servicio para obtener acceso gratuito.

Hasta que pase la página del portal, cualquier otra página web que visite producirá un error que parecerá que está en un sitio fraudulento.

Este artículo sobre Mac 911 responde a una pregunta enviada por el lector de Macworld, Tom.

Hemos compilado una lista de las preguntas que nos hacen con más frecuencia, junto con respuestas y enlaces a columnas: lea nuestras súper preguntas frecuentes para ver si su pregunta está cubierta. Si no, ¡siempre estamos buscando nuevos problemas para resolver! Envíe el suyo por correo electrónico a [email protected], incluyendo capturas de pantalla según corresponda y si desea que se use su nombre completo. No se responderán todas las preguntas, no respondemos a los correos electrónicos y no podemos proporcionar consejos directos para la resolución de problemas.