¿Qué es el phishing?

El phishing es el término informático que designa una técnica de suplantación de la identidad con la que los ciberdelincuentes intentan conseguir información confidencial de forma fraudulenta.

El término deriva de la palabra inglesa “fishing” (pescar, pesca) porque eso es precisamente lo que intentan hacer los estafadores: lanzar un anzuelo para intentar “pescar” tus datos y credenciales para acceder a tu información personal y/o financiera.

Cómo reconocer un intento de phishing

Los ciberdelincuentes perfeccionan sus técnicas continuamente, y a veces es difícil diferenciar un correo electrónico falso del original, pero hay pistas que pueden ayudarte a reconocer que estamos siendo víctimas de un intento de phishing:

• Nombre del remitente. Si la dirección del remitente del correo electrónico es desconocida, tiene un formato extraño o contiene alguna errata, duda de que el correo sea auténtico, al igual que si no incluye el dominio de la entidad que supuestamente te lo envía o si viene de un servicio de correo gratuito como por ejemplo Gmail, Outlook o Yahoo.
• Percepción y estilo visual del email: Presta atención al aspecto visual o formato del email, sospecha si el email es notoriamente distinto a uno original.
• La sensación de urgencia. Los ciberdelincuentes intentarán convencerte de la necesidad de que les facilites con urgencia tus datos personales (o bancarios) aludiendo a un supuesto problema de carácter técnico, un acceso anómalo a tu cuenta o movimientos sospechosos, o la comunicación de un supuesto premio o una falsa oferta de empleo. Lo habitual de estos mensajes es que estén redactados en un tono alarmista, llevándote a actuar de forma inmediata y sin pensar.
• Enlaces o botones con URL fraudulenta. Los atacantes intentarán que hagas clic en el link incluido en el correo electrónico para llevarte a una página web fraudulenta con la que intentan suplantar la verdadera.
• Este link puede estar oculto en botones o imágenes, pero puedes comprobar a donde te redirige este enlace situando el puntero del ratón encima de estos elementos: si ves que no coincide con el texto del enlace, tiene un formato sospecho o no comienza por https no pinches en él. La “s” de https garantiza que los datos de la web de destino y tú están cifrados. Pero no bajes la guardia si accedes a una web que comienza por https, los ciberdelincuentes se aprovechan para colar dentro de estas webs “aparentemente seguras” enlaces o archivos previamente infectados.
• Fallos ortográficos o mala redacción. Normalmente, para diseñar sus mensajes “gancho” los delincuentes utilizan herramientas automáticas de traducción, por lo que es probable que veas palabras mal traducidas, expresiones que suenen raro en castellano, faltas de ortografía o palabras con símbolos extraños, etc. No obstante, hoy en día con ayuda del ChatGPT están creando mensajes mucho más realistas, que no contienen faltas de ortografía y con una redacción impecable, lo cual los hace mucho más difícil de identificar.
• Tipo de saludo: Comprueba si el saludo no está personalizado, y sigue un formato como: “Estimado cliente/usuario” o “Querido amigo”, es muy probable que se trate de un phishing. Aunque ahora los ciberdelincuentes también han optado por personalizar los emails para dotarlos de un tono más convincente, por lo que estate muy atento/a a todas las demás señales si recibes un correo que te resulte sospechoso.
• Archivos adjuntos. Cualquier archivo, incluso los documentos de Word o PDF, pueden incluir malware. Sospecha si el nombre del archivo se parece a “nombredefichero.doc.zip”, o recibes un archivo comprimido (.zip), o ejecutable (.exe).

Qué hacer si crees que has recibido un correo electrónico fraudulento

Si has recibido un correo electrónico con alguna de las características antes descritas la recomendación es:

• No envíes los datos que te solicitan ni respondas al correo.
• Si dudas del correo que has recibido, comunícate por otra vía distinta con el contacto oficial del servicio para comprobar su veracidad.
• Evita hacer clic en los enlaces que contenga el email o abrir o descargar los archivos adjuntos.
• Habilita el Doble Factor de Autenticación para añadir una capa de seguridad a tus cuentas.
• Mantén actualizado el antivirus de tu móvil u ordenador.
• Si has recibido un correo phishing en tu correo corporativo, repórtalo a través del botón del pez o enviando un correo electrónico a phishing@gruposantander.es

Qué hacer si has sido víctima de un ataque de phishing

En el caso de que hayas caído en un engaño tipo phishing donde ha quedado comprometida información corporativa, sigue los siguientes pasos:

1. Recopila toda la información relacionada: el correo recibido, la página web a la que este enlace, la documentación que hayas enviado…
2. Reporta de inmediato al Equipo de Seguridad del Santander a través de los canales oficiales.

Si se trata de un phishing bancario, contacta con tu banco para informarles de lo sucedido y que pueda tomar las medidas de seguridad oportunas.

1. Cambia inmediatamente las claves de los servicios afectados (tu acceso a la banca online, las contraseñas de tus tarjetas de crédito, etc.) y revisa periódicamente tus cuentas por si detectas algún movimiento sospechoso.
2. Desactiva las tarjetas bancarias que tengas asociadas a tus cuentas.

Si el ataque de phishing ha sido dirigido a tus cuentas personales y has facilitado datos personales o sensibles, dirígete a la entidad que corresponda para informarles de que has sido víctima de un ataque de phishing y puedan indicarte cómo actuar.

Asimismo, puedes contactar con la Oficina de Seguridad del Internauta del INCIBE (Instituto Nacional de Seguridad) reportar el fraude para evitar que otros usuarios lo sufran también.

Si necesitas ayuda adicional, puedes recibir soporte a través de INCIBE-CERT, el centro de respuesta a incidentes de seguridad de referencia para los ciudadanos y entidades de derecho privado en España operado por el Instituto Nacional de Ciberseguridad.

Los ataques de phishing son una práctica habitual y no podemos impedir que nos lleguen mensajes fraudulentos al buzón de entrada de nuestro e-mail. Sin embargo, estando alerta y siguiendo estos consejos podrás evitar caer en las trampas de los ciberdelicuentes.

Recuerda que…

1. Las comunicaciones de Banco Santander irán siempre personalizadas con tu nombre y apellidos.
2. El banco no te pedirá tus datos o contraseñas o claves de un solo uso ni por correo electrónico, ni por SMS o mediante llamadas de teléfono.
3. El Santander no te enviará archivos adjuntos, ni incluirá enlaces a la página de inicio de la banca online.
4. Si quieres acceder a los servicios de tu banca electrónica, utiliza siempre la aplicación oficial o accede directamente a la web del banco desde tu navegador.