Aprende a evitar web falsas, de timos y estafas

Una de las formas preferidas por los ciberdelincuentes para engañar a sus víctimas es el uso fraudulento de webs. En muchas ocasiones suplantan la identidad de una empresa u organismo para sacar beneficios, creando una web falsa para sus negocios ilegales, con el objetivo que los usuarios «piquen» y expongan sus datos personales y/o tarjetas de crédito. En este tutorial vamos a explicar cómo podemos detectar una web falsa de estafas para timos y fraudes.

Introducción: qué son los ataques de phishing

Los ciberdelincuentes, con un ataque de phishing, esencialmente buscan robar nuestras credenciales y contraseñas. La manera de actuar de estos atacantes consiste en mandar un mensaje en el que se suplanta la identidad de una empresa u organización.

El mensaje que llega a esa persona puede contener un archivo malicioso o simplemente un link que nos lleva a una web fraudulenta. El objetivo es que la víctima al iniciar sesión entregue los datos de su cuenta al atacante. Algunos de los ataques de phishing más recientes afectan a los bancos, y a las cuentas de redes sociales, de Microsoft y de correo electrónico.

Cómo evitar los ataques de phishing

Básicamente consiste en usar nuestro sentido común y en aplicar lo que hemos explicado aquí. Aquí es muy importante analizar la URL y también el contenido para detectar una web falsa. Así debemos fijarnos en los indicios que hemos mencionado antes como los fallos de ortografía y otros muchos más. Otro dato para sospechar es cuando juegan con la urgencia y nos piden realizar una acción antes de un tiempo determinado o de lo contrario nos cierran la cuenta.

También un elemento muy importante es no abrir y ejecutar el archivo adjunto que viene con este tipo de ataques porque podría infectar nuestro equipo con malware. Además, debemos mantener nuestros equipos actualizados con los últimos parches y actualizaciones sin olvidarnos de tener un buen antivirus.

Algunos de los puntos más importantes para detectar una web falsa son:

1. El estudio de su URL (dominio) observando la barra de direcciones de nuestro navegador.
2. Identificar al propietario del sitio web.
3. Estudiar el contenido de la página web y los métodos de pago que ofrece
4. Herramientas gratis para detectar web falsa

Ahora, vamos a ir hablando de ellos de uno en uno y vamos a explicar en qué detalles de esa web nos tenemos que fijar.

Estudio de su dominio

Lo mejor que podemos hacer para comprenderlo es tomar como ejemplo una web legítima. Así sabremos que debemos encontrar en cualquier sitio web que ofrezca unas mínimas garantías. En este caso vamos a poner como ejemplo a un banco, concretamente el BBVA. Sin duda, uno de los mejores ejemplos de webs legítima y segura que podemos encontrar suelen ser los bancos.

Un certificado digital emitido por una entidad de certificación autorizada (CA) nos da garantías de que la página web en el que estamos es legítima, no obstante, esto no siempre es así, ya que los ciberdelincuentes utilizan autoridades de certificación como Let’s Encrypt para incorporar HTTPS en sus webs, y que los navegadores comprueben que su certificado digital es legítimo.

Aquí tenemos un ejemplo en el que parece una URL en la barra de direcciones. Además, si pulsamos en el icono del candado nos dará una información adicional.

Aquí podemos observar que se trata de una conexión segura y tiene su correspondiente certificado.

Otra cosa que podemos observar a fondo es la dirección URL. Lo que haremos es seleccionarla por completo, con el botón derecho damos a copiar y luego la copiaremos en un archivo de texto. En este caso lo que podremos ver es que es del tipo https que son las webs que cifran los datos y las que llamamos «seguras».

Tal y como podéis ver, todo el tráfico va cifrado y la conexión es segura, sin embargo, que una web incorpore HTTPS y la conexión sea segura, no significa que la web sea real, puede ser perfectamente falsa y estar orientada para fraudes, pero los ciberdelincuentes han configurado correctamente el protocolo HTTPS con su correspondiente certificado para intentar «colártela».

Luego tenemos las del tipo http, la conexión a estas webs no son seguras, esto no quiere decir que no sean legítimas. Sin embargo, si trata de una web en la que se realizan transacciones económicas no es buen síntoma. Ya sea porque esos pagos están expuestos, o porque se trata de una estafa no conviene usarla para pagos. Por lo tanto, en este tipo de webs no es recomendable utilizar información confidencial ni realizar compras.

Por tanto, y para finalizar, si una web utiliza HTTP y te pide introducir credenciales de usuario o datos de la tarjeta de crédito, es muy probable que sea una web falsa para fraudes. Que incorpore HTTPS constituye un buen indicio de que esa web es legal, pero también debes tener cuidado y mirar que el dominio pertenece realmente a la entidad bancaria o web que esperas, porque la incorporación de HTTPS no significa que sea legítima.

Información sobre el propietario de la web

Por ley, el propietario de una web debe estar correctamente identificado. También debe de cumplir con una política de privacidad que deben de respetar. Para preservar nuestros derechos tenemos el Reglamento General de Protección de datos (GDPR) para que las empresas mantengan a buen recaudo nuestros datos. Una cosa que se puede observar en una web legítima, es que nos pide permiso para poder utilizar las cookies.

Si queremos saber quién es el propietario de una web, abajo del todo solemos tener esa información. En la web de ejemplo que seleccioné antes, podemos ver esto:

Si pulsamos en Aviso legal obtendremos estos datos:

Aquí podremos ver cómo nos ofrece una información detallada de la empresa. Así, podemos ver datos tan importantes como su número de identificación fiscal o CIF junto con su dirección. Normalmente las empresas que cometen estafas no ofrecen una información tan detallada que se podría comprobar.

Cuando no sabemos quién es el dueño de una web, o queremos contrastar esa información podemos recurrir a dos webs. Una es la web nominalia a la que accederemos haciendo clic sobre el enlace, así podremos obtener información sobre este sitio. En esta ocasión vamos a cambiar de website. Allí en el nombre del dominio escribimos marca.com y nos ofrecerá una extensa información sobre esta famosa web deportiva.

Ahora vamos a utilizar otra diferente pero esta vez con la intención de contrastar información. La segunda es la herramienta WHOIS, que nos permitir averiguar la propiedad de un dominio de Internet. No obstante, con el RGPD el WHOIS ya no es público porque se considera información privada, no podremos saber a ciencia cierta el dueño de una web si está en «suelo» europeo, pero te servirá para otras webs fuera de nuestras fronteras.

Estudiar el contenido de la web en busca de anomalías

Además de la identificación de la web y de comprobar si utiliza HTTPS (aunque esto último no te garantiza que sea una web legítima) tenemos que fijarnos en más detalles. Una cosa muy importante en ese sentido, es cuando encontramos fallos en la utilización del lenguaje. Si encontramos faltas de ortografía, puede ser un indicio para detectar una web falsa. Esto puede ser síntoma de errores en la traducción junto que no aparezca la letra ñ.

Sin embargo, eso no es lo único:

• Nos ponemos en contacto con ese vendedor y nos responde en otro idioma.
• Piden que realicemos una transferencia bancaria mediante el envío de un e-mail.
• Se dirigen a nosotros con fórmulas como estimado cliente en vez de por nuestro nombre propio.
• Precios anormalmente bajos.
• Eluden los métodos de pago seguros, como PayPal.

Aquí tenemos el ejemplo de la seguridad que establece una empresa de reconocido prestigio para realizar los pagos.

Cómo podéis observar, admite tarjetas de crédito VISA, Mastercard, transferencias y, además, protegen las transacciones con un certificado SSL. En el momento del pago hay que estar atentos y comprobar que se utilice el protocolo de seguridad https.

Herramientas gratis para detectar una web falsa

Browser JSGuard, una extensión para navegadores

Otra de las opciones que podemos usar para detectar una web falsa, es la instalación de una extensión en el navegador. Uno de los que podríamos instalar es Browser JSGuard.

En el momento que entremos a una web sospechosa nos avisará para que salgamos de ella inmediatamente. Para instalar Browser JSGuard en nuestro navegador únicamente debemos ir aquí si nuestro navegador es Chrome y aquí si es Firefox. Debemos recordar que actualmente tanto Chrome como Firefox también son capaces de detectar webs falsas, pero si tienen poco tiempo de vida, no nos saldrá el típico mensaje de peligro con la pantalla en color rojo.

ScamAnalyze para detectar webs de scam

La página ScamAnalyze nos va a permitir analizar otras webs para comprobar si son legítimas o no. En la pantalla principal introducimos el dominio de la página que queremos comprobar y le damos a buscar.

A continuación, nos mostrará si esa web es segura o no junto con otros datos más.

Tal y como habéis visto, debemos tener mucha precaución cuando vayamos a introducir datos de pago o datos personales en webs que no conocemos, debemos extremar el cuidado y comprobar todo lo que os hemos comentado para asegurarnos de no caer en manos de ciberdelincuentes.

El artículo Aprende a evitar web falsas, de timos y estafas se publicó en RedesZone.