Empecemos con el concepto basico de Phishing, obtenido de Wikipedia:
Phishing es un término informático que denomina un tipo de delito encuadrado dentro del ámbito de las estafas cibernéticas, y que se comete mediante el uso de un tipo de ingeniería social caracterizado por intentar adquirir información confidencial de forma fraudulenta (como puede ser una contraseña o información detallada sobre tarjetas de crédito u otra información bancaria). El estafador, conocido como phisher, se hace pasar por una persona o empresa de confianza en una aparente comunicación oficial electrónica, por lo común un correo electrónico, o algún sistema de mensajería instantánea1 o incluso utilizando también llamadas telefónicas.
Ingenieria Social, obtenido de Wikipedia:
En el campo de la seguridad informática, ingeniería social es la práctica de obtener información confidencial a través de la manipulación de usuarios legítimos. Es una técnica que pueden usar ciertas personas, tales como investigadores privados, criminales, o delincuentes computacionales, para obtener información, acceso o privilegios en sistemas de información que les permitan realizar algún acto que perjudique o exponga la persona u organismo comprometido a riesgo o abusos.
El principio que sustenta la ingeniería social es el que en cualquier sistema “los usuarios son el eslabón débil”. En la práctica, un ingeniero social usará comúnmente el teléfono o Internet para engañar a la gente, fingiendo ser, por ejemplo, un empleado de algún banco o alguna otra empresa, un compañero de trabajo, un técnico o un cliente. Vía Internet o la web se usa, adicionalmente, el envío de solicitudes de renovación de permisos de acceso a páginas web o memos falsos que solicitan respuestas e incluso las famosas “cadenas”, llevando así a revelar información sensible, o a violar las políticas de seguridad típicas. Con este método, los ingenieros sociales aprovechan la tendencia natural de la gente a reaccionar de manera predecible en ciertas situaciones, -por ejemplo proporcionando detalles financieros a un aparente funcionario de un banco- en lugar de tener que encontrar agujeros de seguridad en los sistemas informáticos.
Ahora les muestro un caso real que me sucedío hoy. Me llego el e-mail que les adjunto a continuación:
Como primer dato vemos que viene “o aparenta venir” desde “Facebook Help” <manager.no.034@facebook.com>, cosa que puede ser cierta o no…
Lo mas importante es el contenido del e-mail. Primero y principal Facebook no nos va a decir “loquito, te mando un password nuevo en un documento adjunto porque detectamos que te robaron tu password”… a mi me parece es un chiste y hasta obvio que eso no puede pasar. Pero hay gente que puede pensar que Facebook puede llegar a decirnos eso, y por eso este post.
Por otro lado, nunca nos van a mandar un password en un archivo adjunto, a lo sumos nos enviaran una url ( que tendremos que verificar que sea de Facebook ) en la cual tendremos que ingresar nuestro nuevo password ( nunca el viejo ! ). Y seguramente la url que nos envíen este compuesta por un ID ( el cual sera un numero -o alfanumérico- que identifique nuestra cuenta y nuestros datos ) y nos pregunte cual sea nuestro password nuevo ( recuerden, nunca nos van a preguntar nuestro viejo password ). Tampoco nos va a llegar un email que contenga el password en texto plano ( fácilmente legible ), dado que el e-mail es muy fácil de interceptar y leer el contenido ( y eso las empresas grandes lo saben y por eso no lo utilizan ).
Así que si algunas vez reciben un e-mail parecido, tomense el tiempo de analizar bien todo el contenido y consulten con alguien que sabe del tema.
Lo principal en internet es siempre desconfiar, obtener información y despues tomar una descisión basada en el analisis.