Suplantación de identidad
Se conoce como «phishing« a una técnica fraudulenta que mediante la suplantación de identidad de una persona u organización en la que el usuario confía, éste le de una información secreta.Se trata de una técnica, encuadrada dentro de la rama de la ingeniería social, que confía en la credulidad y buena fe de la víctima para aprovecharse de ella. Los sistemas de phishing no están orientados a una víctima concreta sino que se basan en propagar el máximo posible su gancho y esperar que algún despistado pique el anzuelo: su propio nombre lo aclara (phishing = password fishing). Se tratan de ataques masivos a miles de potenciales víctimas.
Caso típico de phishing
Aunque con el tiempo las técnicas han ido evolucionando el caso típico de phishing sería aquel por el que se intenta obtener las credenciales de acceso a la banca electrónica de cualquier víctima.
Para ello se busca una base de datos de correos electrónicos organizados por países de tal forma que se intenta suplantar la identidad de un servicio de banca que sea conocido. Una vez se ha montado un página web suplantando la identidad del banco elegido se envían cientos de miles de correos electrónicos a las posibles víctimas indicando que por algún problema deben acceder a su banco e introducir sus datos personales. En realidad el correo electrónico dirige a la víctima a la página del atacante donde se guardan y almacenan los datos del cliente. Posteriormente con estos datos los atacantes pueden acceder a las cuentas reales de las víctimas y vaciarlas.
Protección frente a estos casos
Al ser la banca electrónica la gran afectada, ésta ha preparado sus propias estrategias para evitar el phishing.
Aunque no existe un sistema único en la gran mayoría de ocasiones se solicita una segunda comprobación al usuario (mensaje a un teléfono móvil, un correo electrónico, una pregunta de seguridad, etc.) de tal manera que no sea suficiente con tener las claves de un usuario para robarle el dinero de su cuenta. La gran mayoría de bancos controlan el origen de los accesos a su web por lo que detectan rápidamente si alguien entra en nuestras cuentas desde un país extraño o con un terminal móvil de una marca diferente a la habitual.
La mayoría de sistemas anti-spam han aprendido a filtrar estos correos por lo que los usuarios simplemente no lo ven y por ello no caen en el engaño.
