¡Alerta, phishing! Secuestran tu router para robarte las claves de tu banca electrónica

Los ciberdelincuentes están al acecho y el phishing sigue siendo una de las mayores amenazas de los internautas. Durante el pasado año, el 21,7% de los ataques de phishing tuvieron como objetivo los bancos o, mejor dicho, sus clientes, de acuerdo con un informe de Kaspersky Lab. Mediante el engaño, los phishers intentan robar la información personal de sus víctimas, especialmente sus datos financieros como las claves de acceso a la banca electrónica o la numeración de una tarjeta de crédito. Esquivar este tipo de ataques resulta fácil en la mayoría de los casos… hasta ahora. Los phishers han empezado a secuestrar los routers de sus víctimas, de manera que ahora ya no hace falta caer en el truco del correo electrónico falso.

¿Qué es el ‘phishing’?

Banco Santander, Bankia u Openbank fueron solo algunas de las entidades que durante el pasado año sufrieron ataques de phishing, según pudo detectar la Oficina de Seguridad del Internauta. En lo que llevamos de 2019 ya han caído ING, BBVA y Caja Rural. Los phishers no perdonan, así que está en nuestras manos ponerles freno.

Estos ciberdelincuentes se basan en el engaño y la suplantación de identidad para robar los datos de sus víctimas. Suelen recurrir a los canales de mensajería, como los SMS o los correos electrónicos, para hacerse pasar por instituciones reales con el objetivo de recabar datos especialmente sensibles como el usuario y la clave de acceso a la banca online, los datos de una tarjeta, el número de una cuenta corriente, etc.

La mayoría de nosotros hemos recibidos e-mails o SMS fraudulentos. Nos solicitan que accedamos a la web de nuestro banco, que en realidad es una web falsa aparentemente legítima, para que introduzcamos nuestros datos personales bajo la excusa de que cierta ley lo demanda o de que si no lo hacemos nuestra cuenta dejará de estar operativa. Nada más lejos de la realidad: nuestro banco nunca nos pedirá nuestras claves de la banca electrónica por correo electrónico, ni tampoco otro tipo de información personal.

Con el paso del tiempo nos hemos acostumbrado a recibir este tipo de comunicaciones y detectarlas es cada vez más fácil, así que los phishers se las han ingeniado para ponérnoslo más difícil; ahora, secuestran nuestro router directamente. Y Kaspersky Lab advierte al respecto: «las normas de seguridad más comunes (evitar las redes de wifi públicas, poner el cursor sobre los enlaces antes de clicar en ellos y demás) no te ayudarán en esta situación».

E-mail fraudulento en el que se suplanta la identidad de ING. Fuente: Oficina de Seguridad del Internauta.

¿A qué nos enfrentamos?

Los ciberdelincuentes aprovechan que no solemos cambiar la contraseña de acceso al panel de control del router o alguna vulnerabilidad del firmware de la máquina para secuestrar el dispositivo. Una vez los phishers han tomado el control del router, modifican la dirección del servidor DNS, el encargado de descifrar los dominios a los que el usuario quiere acceder. Kaspersky lo explica:

Todo sucede muy rápido y sin que te des cuenta. Pero cuando secuestran tu router y cambian las direcciones del servidor DNS, todas tus peticiones van directamente al servidor DNS controlado por los atacantes. En lugar de devolver la dirección IP del sitio que quieres visitar, el servidor malicioso devuelve una dirección IP falsa. Es decir, esta vez los ciberdelincuentes no te engañan a ti, sino al navegador para que cargue una página web de phishing y no el sitio que esperabas. Lo más preocupante es que tanto el navegador como tú creéis que la página es legítima.

En la práctica, este tipo de ataques provoca que cuando ponemos un dominio en la barra de direcciones de nuestro navegador, este nos cargue una página web que suplanta la original desde la cual pueden robar nuestra información, por ejemplo el usuario y la clave de acceso a nuestra banca electrónica.

Para protegernos ante este tipo de ataques, la compañía de ciberseguridad ofrece una serie de consejos:

• Cambiar la contraseña de acceso al panel de control del router (la contraseña de administración, no la contraseña del wifi) e inhabilitar la administración remota del dispositivo.

• Actualizar el router siempre que sea posible, para evitar vulnerabilidades que posibiliten el secuestro del dispositivo.

• Pinchar en varias ventanas de la página web a la que intentamos acceder antes de dejar nuestros datos personales (la mayoría de las páginas suplantadas no recrean en su totalidad la original, por lo que si la web es falsa, lo más probable es que haya funciones inoperativas o secciones a las que no se pueda acceder).

• Verificar que la URL comienza por https:// y comprobar que el certificado está a nombre de la entidad.

‘E-mails’ para robarte las claves de la banca electrónica

Aunque el phishing se esté modernizando, los ataques más rudimentarios, como el envío masivo de correos electrónicos, siguen a la orden del día.

Si somos víctimas de un ataque de phishing bancario, debemos recopilar toda la información de la que dispongamos y denunciar ante las autoridades. Además, debemos comunicar el incidente al banco al que han suplantado la identidad y, muy importante, modificar todas las claves de banca electrónica que se hayan visto comprometidas, así como bloquear las tarjetas cuyos datos hayamos compartido y, si es necesario, cerrar una cuenta y abrir otra nueva si hemos dado la numeración. Durante el pasado año el 20% de los internautas fueron víctimas de un ataque de este tipo, de acuerdo con el citado informe de Kaspersky Lab, lo que nos convierte en el octavo país del mundo por volumen de usuarios afectados.

La clave para no caer en el típico engaño del phishing por correspondencia es desconfiar y ser cauteloso. Si recibimos un correo electrónico de un banco o de otra institución en el que se incluye un enlace y que nos emplaza a actualizar con urgencia nuestros datos, huyamos. Si está redactado con faltas de ortografía, con más razón (muchos e-mails son traducciones mal hechas).

Además, nunca debemos rellenar ningún formulario, aunque parezca legítimo, con todas nuestras claves a la vez, por ejemplo poner todas las posiciones de nuestra tarjeta de coordenadas, y, antes de pinchar sobre el enlace de un e-mail, debemos comprobar que la URL se corresponde con la dirección del sitio web legítimo. En cualquier caso, siempre es rcomendable entrar en la banca online tecleando la dirección en el navegador, en lugar de acceder desde un e-mail.