¡Hola a todos! Hoy quiero hablaros sobre un tema muy importante en el ámbito de la ciberseguridad: el phishing. Este término, aunque suena como «fishing» en inglés, no tiene nada que ver con la pesca, aunque la analogía de «pescar» usuarios desprevenidos es bastante acertada.

¿Qué es el Phishing?

El phishing es una técnica utilizada por ciberdelincuentes para engañar a las personas y obtener información confidencial, como contraseñas, números de tarjetas de crédito o datos personales. Los atacantes se hacen pasar por entidades confiables, como bancos, empresas de servicios o incluso amigos y familiares, para lograr que las víctimas les proporcionen esta información voluntariamente.

¿Cómo reconocer el phishing?

• Email sospechosos: ten precaución con correos electrónicos inesperados o mensajes que solicitan información confidencial. Verifica siempre la autenticidad del remitente antes de responder o hacer clic en enlaces.
• Enlaces sospechosos: evita hacer clic en enlaces incrustados en correos electrónicos no solicitados. Antes de hacer clic, pasa el cursor sobre el enlace para ver la dirección web real.
• Errores de ortografía y gramática: los correos electrónicos de phishing a menudo contienen errores gramaticales o de ortografía. Muéstrate escéptico ante mensajes que parezcan poco profesionales.

¿Cómo Funciona el Phishing?

• Correo Electrónico Fraudulento: Uno de los métodos más comunes es el envío de correos electrónicos que parecen proceder de una fuente legítima. Estos correos suelen contener enlaces a sitios web falsos.
• Sitios Web Falsos: Los enlaces en los correos fraudulentos redirigen a sitios web que se ven casi idénticos a los sitios web oficiales de las organizaciones que los atacantes están imitando.
• Mensajes de Texto y Llamadas Telefónicas: Además del correo electrónico, los atacantes también utilizan mensajes de texto (SMS) y llamadas telefónicas para intentar engañar a las víctimas.
• Redes Sociales y Mensajería Instantánea: También pueden usar plataformas de redes sociales y aplicaciones de mensajería instantánea para enviar mensajes engañosos.

Ejemplos Comunes de Phishing

• Correos Electrónicos de Bancos: Un correo que parece ser de tu banco pidiendo que verifiques tu cuenta o actualices tu contraseña.
• Notificaciones de Pago: Un mensaje diciendo que hay un problema con un pago que realizaste y que debes ingresar a un enlace para corregirlo.
• Ofertas y Promociones Falsas: Promociones demasiado buenas para ser verdad, como ganar un iPhone gratis si haces clic en un enlace y proporcionas tu información.

¿Cómo protegerse del phishing?

• Verificación del remitente: antes de responder a un correo electrónico, comprueba la dirección del remitente para asegurarte de que sea legítima.
• No compartas información confidencial: nunca proporciones información confidencial, como contraseñas o números de tarjetas de crédito, a través de correos electrónicos no solicitados.
• Actualiza contraseñas regularmente: cambia tus contraseñas con regularidad y utiliza combinaciones fuertes de letras, números y caracteres especiales.
• Uso de Autenticación de Dos Factores (2FA): Activar 2FA en tus cuentas añade una capa extra de seguridad.
• Educación y Conciencia: Mantente informado sobre las últimas tácticas de phishing y comparte esta información con amigos y familiares.
• Software de Seguridad: Utiliza programas de seguridad y antiphishing que te ayuden a identificar y bloquear intentos de phishing.
• (Si te llega al correo de la empresa) Informa a IT: si sospechas que has recibido un correo electrónico de phishing, repórtalo de inmediato al equipo de IT.
• Adicionalmente, en cualquier mensaje sospechoso que recibas a través de Outlook, GMail o cualquier otro proveedor de correo, deberías marcar con el botón derecho la opción Reportar como Correo no Deseado / Marcar como phishing.

El phishing es una amenaza seria y constante en el mundo digital. Los ciberdelincuentes están siempre buscando nuevas maneras de engañar a las personas, por lo que es crucial mantenerse alerta y bien informado. Recuerda, si algo parece sospechoso, es mejor ser cauteloso y verificar antes de actuar.

¡Mantente seguro en línea y comparte esta información para que otros también puedan protegerse!

Hoy os vengo a recomendar un curso muy interesante e instructivo sobre seguridad web. Además, ¡es gratuito!

Este curso es una visión general de la seguridad web. El objetivo es comprender los ataques web más comunes y sus contramedidas. Dada la inseguridad generalizada del panorama web moderno, existe una necesidad apremiante de que los programadores y diseñadores de sistemas mejoren su comprensión de los problemas de seguridad web.

Los temas incluyen: Principios de seguridad web, ataques y contramedidas, el modelo de seguridad del navegador, vulnerabilidades de aplicaciones web, inyección, denegación de servicio, ataques TLS, privacidad, fingerprinting, política del mismo origen, cross site scripting, autenticación, seguridad JavaScript, amenazas emergentes, defense-in-depth y técnicas para escribir código seguro. Los proyectos del curso incluyen la escritura de exploits de seguridad, la defensa de aplicaciones web inseguras y la implementación de estándares web emergentes.

Este es el enlace a la lista de vídeos, por si lo quieres ver directamente en Youtube: ENLACE.

Robar un usuario y una contraseña puede no ser tán dificil como suena. Podría ser tan siempre como compartir la misma red que tu víctima.

«Lo que vamos a aprender no es ninguna broma y no es ético probarlo en redes sin consentimiento expreso. En muchos contexto es ilegal y podrías hasta ir a la carcel.»

No se si lo sabéis pero en internet hay dos protocolos importantes HTTP y, uno más nuevo, HTTPS que es más «seguro».

Si utilizamos HTTP, los datos enviados a internet no están encriptados y por tanto son susceptibles de ser leídos por terceras personas. Si un atacante está conectado a la misma red que nosotros, puede leer todos los paquetes (Cuadrado rojo de la imagen siguiente) que se envían y reciben dentro de la misma y por tanto analizarlos.

Para analizar esos paquetes existen herramientas como «WhireShark». Una vez descargada la herramienta la ponemos a escuchar paquetes. Lo más sencillo es seleccionar la opción any para que coja todo

En una futura entrega realizaremos un ejemplo práctico de todo lo que se puede obtener de los paquetes que pasan por nuestra red.

De todo esto podemos aprender dos cosas muy importantes:

• No conectarse a redes gratuitas. Muchos atacantes generan este tipo de redes para que los usuarios novatos y no tan novatos se conecten a ellas y puedan coger sus contraseñas.
• Dejar de utilizar el protocolo HTTP. Muchos navegadores actuales te avisan cuando te estás conectando a una web a través de HTTP para que lo sepas. Si necesitas utilizar ese protocolo, recuerda utilizar otras técnicas para dar más seguridad a la comunicación y nunca envíes contraseñas.