Qué puedes hacer si has picado en el 'phishing'

El aumento del uso del móvil durante las vacaciones multiplica la navegación por webs poco habituales y la exposición a los ciberdelincuentes y a sus estafas a través de correos electrónicos ('phishing'), SMS ('smishing') o redes sociales, pero ¿cómo identificar los fraudes y cómo reclamar si uno ha caído?

Expertos en seguridad de la Organización de Consumidores y Usuarios (OCU) y la Agencia Española de Protección de Datos (AEPD) reconocen al 'phishing' como uno de los métodos más utilizados para sacar información de la víctima a través de correos electrónicos, SMS, redes sociales o mensajería instantánea, y suplantar la identidad de páginas de servicios conocidos, instituciones o bancos.

'Phishing', 'smishing'..., el resultado es similar, pero el procedimiento es diferente cada vez. Los ciberdelincuentes se las ingenian para colarse en ordenadores, móviles o tabletas con malas intenciones.

Artimañas para estafar a sus víctimas

Lamentablemente la imaginación de los delincuentes parece no tener fin y cada vez utilizan más artimañas para apoderarse de los datos personales y bancarios de sus víctimas.

Los delincuentes informáticos envían un mensaje a través de cualquier plataforma con cualquier excusa, si puede ser adaptada al momento, para animar a pinchar en un enlace.

Desde que la DGT le informa de una multa que tiene que pagar inmediatamente (una situación creíble en vacaciones donde no siempre se conoce las carreteras) hasta el otro falso mensaje de un descuento espectacular en un hotel o un vuelo para estas fechas o el cada vez más usado recurso del 'hijo en apuros'.

El 'gancho' también puede ser que Hacienda le devuelve dinero y necesita su número de tarjeta, o que le han obsequiado con un premio y necesitan su dirección postal y otros datos para enviárselo, o que tiene que entrar con urgencia en su banco para rechazar un cargo que se acaba de hacer de gran importe, o que debe pagar una multa de aparcamiento.

Si hace clic en el enlace, le redirigirán a una web falsa que simula ser la oficial de, por ejemplo, la Agencia Tributaria, un banco o cualquier empresa o tienda que piensa que es de su total confianza. Ahí le pedirán los datos de acceso (usuario y contraseña) y de su tarjeta, y debe tener claro que ninguna empresa o banco opera así.

Las señales para detectar el 'phishing'

Antes de caer en su trampa, debe conocer las señales que los ciberdelincuentes dejan a su paso para poderlas identificar.

• Cuando navegue por una web en la que le piden sus datos personales, lo primero que debe hacer es mirar la url (la dirección web) de la barra de direcciones del navegador. Por ejemplo, si le escriben de Telefónica el enlace habitual es www.movistar.es, en ningún caso la url terminará en .cl, que es de Chile, por ejemplo.
• Desconfíe si la url contiene el nombre oficial del sitio web, pero no es la dirección oficial; si utiliza el nombre del sitio oficial con alguna letra o símbolo añadidos o si tiene un fallo ortográfico como "paypa1" en vez de "paypal" o si no usa un protocolo seguro, es decir, no comienza por https://.
• Tampoco se fie si la web tiene fallos de ortografía o el lenguaje no es correcto o si la página no se corresponde con los colores o logos oficiales que recuerda de la página legítima, y compruebe si los menús de la pagina funcionan cuando pincha en ellos.
• Si duda, teclee usted mismo la dirección en el navegador o en el buscador de Google porque así podrá comprobar si el enlace a la web es el habitual de la empresa o no tiene nada que ver ella.

¿Y si ya he picado?

Si las señales no han sido suficientes para darse cuenta del ataque, lo primero que sería aconsejable que hiciera es cambiar la contraseña del servicio suplantado (cuenta de correo, acceso al servicio, etc.).

Debe avisar lo antes posible a los bancos afectados por el fraude y bloquear o anular las tarjetas que se han podido ver implicadas. Debe hacerlo rápido para evitar que la entidad pueda alegar que ha actuado con negligencia grave.

También debe denunciarlo ante las fuerzas de seguridad.

Si tiene cargos indebidos reclame al banco porque las entidades están obligadas a contar con mecanismos de supervisión de operaciones que permitan detectar pagos no autorizados o fraudulentos.

También deben auditar los procedimientos, lo que implica bloquear operaciones que se salgan del patrón habitual de pagos y disponer de tecnología 'antiphishing' para detectar páginas clonadas.

Si el banco no le quiere devolver el dinero, le queda acudir a la vía judicial y allí su abogado tendrá claro que el Código Civil establece que el consentimiento será nulo si se presta por error, con lo que, según las organizaciones de consumidores, ningún pago que se realice bajo un engaño podrá ser considerado autorizado y el banco será el que tenga que hacer frente al reembolso.