Estafas financieras
La estafa de phishing consiste en la suplantación de identidad mediante mensajes fraudulentos que buscan obtener información confidencial o inducir a la víctima a ejecutar acciones peligrosas, como acceder a enlaces falsos o descargar ficheros maliciosos.
El riesgo principal es la pérdida de datos y dinero, así como la instalación de malware que puede robar credenciales. En este artículo encontrarás cómo funciona el engaño, señales de alerta, medidas para protegerte y qué hacer si te afecta.
En ASOVALIA te trasladamos toda la información relativa al phising para que estés alerta y evites ser víctima de esta peligrosa estafa.
El phishing es una técnica en la que ciberdelincuentes envían mensajes haciéndose pasar por entidades de confianza para que la víctima revele datos sensibles o ejecute acciones que comprometan sus equipos o cuentas.
Su característica esencial es la suplantación de identidad, que puede fingir bancos, redes sociales, empresas, entidades públicas, conocidos o figuras de autoridad; la estafa busca que la víctima introduzca contraseñas, datos bancarios o descargue malware.
El mecanismo principal es el envío de mensajes fraudulentos que inducen a la víctima a clicar un enlace o descargar un archivo que conduce a un sitio web falso o instala software malicioso en el dispositivo.
El engaño puede adoptar formatos muy diversos, desde campañas masivas hasta ataques dirigidos (incluido el Business Email Compromise, BEC), y suele combinar técnicas de presión y suplantación para lograr su objetivo.
El primer contacto suele ser un correo electrónico, un SMS o un mensaje en redes sociales o aplicaciones de mensajería que aparenta proceder de una entidad legítima o de un conocido.
Ese mensaje incluye un gancho que pide una acción inmediata, como clicar un enlace, descargar un adjunto o proporcionar información, y utiliza canales como correo, mensajería, plataformas de colaboración o mensajes directos en juegos.
Los atacantes imitan nombres, logos y formatos de comunicación de entidades reales y pueden hacerse pasar por ejecutivos, proveedores o personas de confianza en ataques más dirigidos.
Además emplean técnicas de persuasión como la urgencia, amenazas o apelaciones a la autoridad y pueden personalizar el mensaje para que parezca creíble y reduzca las sospechas del receptor.
Los objetivos documentados son obtener contraseñas, números de tarjetas y datos bancarios o personales que permitan el acceso a cuentas o el uso fraudulento de información.
Otras metas incluyen instalar malware para capturar credenciales y, en ataques BEC, provocar transferencias de dinero hacia cuentas controladas por los atacantes, ocasionando pérdidas económicas y robo de identidad.
Existen señales concretas que ayudan a identificar un intento de phishing antes de interactuar con el mensaje; prestar atención a estas señales reduce el riesgo de caer en el engaño.
En el primer mensaje suelen aparecer urgencia y saludos genéricos, y el remitente puede ser desconocido o estar marcado como externo por tu cliente de correo.
También es frecuente detectar errores de redacción o dominios que no coinciden, señales que deben motivarte a no interactuar con el mensaje y a verificar su autenticidad por otros medios.
Si interactúas y la comunicación pide más datos, acceso a cuentas o descargar ficheros, es una señal clara de peligro y conviene detener la acción inmediatamente.
En ataques dirigidos el estafador puede pedir transferencias o acciones administrativas simulando órdenes de directivos o proveedores; esa solicitud debe contrastarse antes de realizar cualquier movimiento financiero.
Solicitudes de números de tarjeta, información bancaria, contraseñas o códigos PIN son alertas críticas que indican intento de fraude o suplantación.
Vínculos que conducen a páginas que piden datos financieros o adjuntos que instalan software malicioso también son señales claras de phishing y no deben abrirse ni facilitar información.
La prevención combina precaución al abrir comunicaciones y el uso de herramientas y procedimientos de verificación que minimizan la probabilidad de exposición a enlaces falsos o archivos maliciosos.
Comprueba el remitente y el dominio real del mensaje pasando el ratón sobre los enlaces sin clicar y revisando si la dirección coincide con la entidad que supuestamente envía el correo.
Si el mensaje afirma proceder de una organización, contacta con ella por canales oficiales que figuren en facturas, extractos o su web oficial, y evita usar enlaces incluidos en el propio mensaje.
No facilites contraseñas, números de tarjeta ni datos bancarios a través de enlaces o formularios recibidos por mensaje, ni introduzcas códigos o PIN solicitados en comunicaciones no verificadas.
No descargues ni abras archivos adjuntos inesperados, y no proporciones credenciales en sitios cuya autenticidad no puedas confirmar previamente.
Pausa la acción y verifica la autenticidad del mensaje por otro medio, por ejemplo llamando a la organización o a la persona que supuestamente te contactó usando un número conocido.
Informa del mensaje mediante las herramientas de tu cliente o borrándolo después de avisar, y en entornos corporativos avisa al soporte de TI para que analice y gestione el incidente.
Si has sido víctima de una estafa o tienes problemas con una plataforma financiera, contacta con nosotros de forma gratuita.
Si has sido víctima, actúa con rapidez para limitar el alcance del daño y preservar evidencias que permitan investigar y notificar el fraude.
Cambia las contraseñas de las cuentas afectadas y de las que compartían la misma contraseña y activa la autenticación multifactor siempre que sea posible para reducir el riesgo de acceso no autorizado.
Si has compartido datos financieros, contacta con la entidad emisora de la tarjeta o el banco y, si corresponde, informa al soporte TI de tu organización para que bloquee accesos y supervise actividad sospechosa.
Conserva el mensaje de phishing original y anota todos los detalles relevantes para que puedan examinarse los encabezados y los datos del ataque.
Informa a las entidades financieras relevantes si has facilitado datos bancarios o de tarjeta y avisa a las autoridades locales si has sufrido pérdida de dinero o robo de identidad.
Si usas productos Microsoft, utiliza las opciones de notificación integradas o envía el mensaje original como adjunto a phish@office365.microsoft.com cuando el canal aplicable y las instrucciones lo indiquen.
El phishing es una técnica para obtener información confidencial o instalar malware mediante mensajes fraudulentos que suplantan entidades legítimas y buscan que la víctima revele contraseñas, datos bancarios o descargue archivos maliciosos.
Los estafadores contactan por correo electrónico, SMS, mensajes directos en redes sociales o videojuegos, plataformas de colaboración y aplicaciones móviles, además de llamadas telefónicas en algunos casos.
El objetivo es obtener contraseñas, números de tarjeta, información bancaria o personal, instalar malware, robar dinero o identidad y, en ataques BEC, provocar transferencias de dinero hacia cuentas controladas por el atacante.
Las señales más frecuentes son urgencia o amenazas, saludos genéricos, errores ortográficos, dominios que no coinciden, remitentes no verificados, enlaces sospechosos y adjuntos inesperados, que requieren precaución antes de interactuar.
No abras enlaces ni adjuntos, verifica el destino real de los enlaces sin clicar y accede al servicio por su web oficial; si procede, confirma la autenticidad por otro canal y reporta el mensaje antes de eliminarlo.
En Outlook usa «Informar > Suplantación de identidad (phishing)», en Teams «Más opciones > Notificar este mensaje» y en Edge «Ayuda y comentarios > Notificar sitios no seguros»; en otros clientes envía el mensaje original como adjunto a phish@office365.microsoft.com si procede.
Anota todos los detalles del ataque, cambia contraseñas, activa la autenticación multifactor, avisa al soporte TI si es laboral y contacta con el banco si compartiste datos financieros, además de informar a las autoridades locales si hubo pérdida económica.
No; el phishing también ocurre por SMS, redes sociales, videojuegos, plataformas de colaboración corporativa, aplicaciones móviles y llamadas telefónicas, por lo que hay que extremar la precaución en múltiples canales.
Sí; especialmente en ataques BEC dirigidos a empresas se han documentado pérdidas millonarias, como casos en los que organizaciones sufrieron pérdidas de decenas de millones de dólares.
Sí; si has facilitado información de tarjetas o cuentas, contacta con la entidad emisora o el banco para alertarles de la posibilidad de fraude y seguir sus indicaciones para limitar el daño.
Jean Paul Iragorri se dedica desde 2022 principalmente a la investigación, análisis y elaboración de contenidos sobre estafas financieras en Internet, incluidos chiringuitos financieros, plataformas fraudulentas, suplantaciones de identidad y alertas de fraude.
Su trabajo está vinculado a la lucha contra el fraude y a ayudar a las personas afectadas a comprender su situación y conocer posibles vías de actuación.
También es especialista en posicionamiento SEO y GEO. Es licenciado en Marketing por ESIC-Madrid y cuenta con formación de posgrado en Gestión, Publicidad, SEO y GEO.