Phishing y Sitios Falsos: Manual de Supervivencia

Un correo que parece de tu banco. Un mensaje de WhatsApp con un enlace de "rastreo de paquete". Un sitio web que se ve idéntico al de tu tienda favorita. El phishing no busca convencerte con argumentos — busca que actúes rápido, sin pensar, antes de que notes que algo no cuadra.

Qué es el phishing

Phishing es la técnica de crear comunicaciones o sitios web falsos que imitan a una marca legítima, con el objetivo de robar información sensible: contraseñas, datos de tarjetas, o credenciales bancarias. El nombre viene de "fishing" (pescar) — el atacante lanza el anzuelo y espera que alguien muerda.

Los tipos más comunes

1. Sitios web falsos (spoofing) Réplicas casi idénticas de tiendas o bancos reales, con una URL ligeramente distinta (un dominio parecido pero no exacto) diseñadas para robar tus credenciales al iniciar sesión.

2. Correos de phishing Mensajes que simulan ser de tu banco, una plataforma de pago, o un servicio de paquetería, pidiendo "verificar tu cuenta" o "confirmar un pago" mediante un enlace.

3. Smishing (phishing por SMS/WhatsApp) Mensajes de texto con enlaces falsos, frecuentemente sobre paquetes "retenidos" o problemas con una cuenta, que llevan a sitios diseñados para robar datos.

4. Phishing en redes sociales Perfiles falsos que suplantan marcas, perfiles o soporte al cliente, para engañar con trampas y fines oscuros. Construyen una falsa sensación de legitimidad de identidad con seguidores y comentarios comprados. RE@CH detecta este tipo de actividad a través de Bot Radar, analizando por ejemplo patrones de crecimiento y autenticidad de interacción social, o algún reporte o comentario negativo que pueda tener.

Señales de alerta para identificar phishing

1. La URL no coincide exactamente Revisa con cuidado la dirección del sitio. Los atacantes usan dominios muy similares al real (letras cambiadas, extensiones distintas, subdominios engañosos) para que a simple vista parezcan legítimos.

2. Urgencia artificial "Tu cuenta será suspendida en 24 horas", "Tu paquete será devuelto si no confirmas ahora" — el phishing depende de que actúes con prisa, sin verificar.

3. Solicitud de información que la empresa real nunca pediría Ningún banco legítimo te pedirá tu contraseña completa o el código de verificación de tu tarjeta por correo, SMS o WhatsApp.

4. Errores de diseño o idioma Aunque cada vez son más sofisticados, muchos sitios de phishing todavía tienen errores tipográficos, logos de baja calidad, o traducciones extrañas.

5. Remitente o enlace sospechoso Verifica el dominio del correo remitente (no solo el nombre mostrado) y pasa el cursor sobre cualquier enlace antes de hacer clic, para ver la URL real de destino.

Qué hacer si sospechas de un sitio o mensaje

1. No hagas clic en el enlace — si necesitas verificar algo con tu banco o una tienda, entra directamente escribiendo la dirección oficial en tu navegador
2. Verifica por un canal alterno — llama al número oficial de la empresa (no el que aparece en el mensaje sospechoso) para confirmar
3. Reporta el intento — la mayoría de bancos y plataformas tienen canales específicos para reportar phishing
4. Si ya ingresaste tus datos, cambia tus contraseñas de inmediato y contacta a tu banco para monitorear actividad sospechosa

Cómo RE@CH ayuda a identificar sitios falsos

RE@CH verifica automáticamente señales técnicas asociadas a sitios fraudulentos: certificados SSL inválidos o recién creados, dominios con patrones sospechosos, y cruces contra bases de datos de sitios reportados como maliciosos. Antes de ingresar tus datos en un sitio nuevo, verificar su Digital Trust Score te da una capa adicional de protección más allá de tu propio criterio.

Conclusión

El phishing depende de la velocidad y de que bajes la guardia. La mejor defensa es simple: nunca actúes con prisa ante un mensaje que pide información sensible, verifica siempre por un canal alterno, y cuando tengas duda sobre un sitio nuevo, tómate el tiempo de comprobarlo antes de ingresar cualquier dato.