Evitar caer en la trampa de un phishing se complica por momentos debido al realismo que están adquiriendo estos ataques informáticos. España es uno de los países que más ciberataques recibe al año y sus usuarios deben estar pendientes de una nueva técnica de phishing que ha conseguido superar los niveles de realismo que se habían visto hasta ahora.
Una sencilla ventana emergente para indicar los datos en el inicio de sesión de Facebook, Microsoft, Canva o Google, entre otros, es la trampa. Un truco fácil e ingenioso que no levanta sospechas y puede robar muchas contraseñas.
Mr.d0x que se define como investigador de ciberseguridad describe en su blog esta la ventana tan realista que incluso consigue modificar la URL para que el engaño sea casi imperceptible. Sin embargo, ya se ha encontrado el talón de Aquiles de este phishing que puede ayudar a los usuarios a detectarlo y proteger sus datos personales.
¿Cómo funciona?
Al acceder desde el navegador de Google Chrome, para Windows o MacOS, en diferentes páginas como Facebook u otras plataformas. Es habitual ver como se abre una segunda ventana dentro del navegador que solicita los datos del usuario, es decir, su correo y la contraseña. Este es el cebo.
La ventana cumple con todos los detalles, colores, iconos y diseño completo que cualquier usuario espera. No se percibe ningún fallo que delate que se trata de un engaño y que haga saltar las alertas de la persona antes de dar sus datos de sesión.
Phishing que calca el navegador
Incluso la URL, uno de los aspectos más confiables y el rasgo que suele delatar antes a los infractores, es realista. Existen ataques que modifican la URL, pero no tanto como para engañar a los que tienen el ojo entrenado. Sin embargo, mr.d0x ha encontrado una forma para que en la ventana emergente hasta este elemento parezca auténtico.
Aprovechando el código Java Script "si se agrega un evento onclick, al pasar el ratón sobre el enlace se seguirá mostrando el sitio web real, pero cuando se hace clic en el enlace, href lo ignora y conduce al falso. Podemos usar este conocimiento para hacer que la ventana emergente parezca más realista" explica.
La ventana emergente se puede mover por la pantalla como haría la real. "El usuario objetivo todavía tendría que aterrizar en el sitio web falso para que se muestre la ventana emergente. Pero una vez que llega estará tranquilo mientras escribe sus credenciales en lo que parece ser el sitio web legítimo (porque la URL confiable lo dice)" concluye.
¿Cómo reconocerlo?
Debido al realismo que presenta la pantalla emergente, el peligro de ser víctimas de este phishing es mayor. Los expertos llevan años aconsejando a los usuarios que se fijen en una serie de detalles en las webs o correos electrónicos, pero casi ninguno de estos trucos funcionaria con esta técnica. Aún así, ya hay alguien que ha aportado su granito de arena a socavar el engaño.
Truco para evitar phishing en ventanas emergentes
Will Dormann publica en su canal de YouTube un sencillo truco que todo el mundo puede aprovechar para examinar la credibilidad de las ventanas emergentes de aquí en adelante. Minimizar la ventana, pinchando en el logo del navegador en la barra de tareas como se muestra en el vídeo es posible diferenciar si se trata de una estafa o no.
Es difícil seguir el ritmo de los piratas informáticos que crean nuevas técnicas cada día más elaboradas de estafar a la gente por internet. Estar informado de los nuevos ataques y los consejos de quienes los analizan facilita estar alerta y evitar disgustos cuando se navega por la red.