Según reporta Websense Security Labs, se ha estado observando un cambio en la técnica utilizada en ataques de phishing, que se concentra en usuarios de Yahoo!.
Este tipo de ataque, procura capturar los datos de los usuarios, tales como nombre (ID) y contraseña, mostrando una página falsa, similar a la verdadera, algo que no es nada nuevo, ya que se ha venido utilizando desde hace bastante tiempo, incluso en los famosos "phishings" relacionados con la banca electrónica.
Pero recientemente, se están utilizando sitios alternativos, como por ejemplo Yahoo! Fotos. Los usuarios reciben un correo electrónico o un mensaje instantáneo, que reclama ser enviado por un amigo que desea mostrarles las fotos de un acontecimiento reciente, tales como vacaciones o una fiesta de cumpleaños.
El mensaje contiene el enlace a un sitio falso, que captura la identificación (usuario y contraseña) del usuario, y luego envía estos al verdadero sitio de Yahoo!, de tal modo que la víctima ignora en todo momento que sus datos han sido robados antes de llegar a las verdaderas páginas del sitio.
Cómo es fácil de comprender, esto no solo se puede aplicar a Yahoo!, y es muy probable que la técnica se esté utilizando también para atrapar los datos de usuarios y contraseñas (entre otros), de cualquier lugar que los requiera.
Lo importante, en todos los casos, es recordar una de las reglas de seguridad básicas en Internet: JAMAS hacer clic sobre enlaces que aparezcan en cualquier mensaje no solicitado, sin importar quien lo envía. Demás está decir, que tampoco debemos abrir los adjuntos que no hayan sido pedidos.
Otro consejo es tener activada (en el caso del Outlook Express), la opción para que todos los mensajes sean leídos como texto sin formato, para evitar enlaces engañosos. Esto se logra desmarcando la casilla "Leer todos los mensajes como texto sin formato" en Herramientas, Opciones, Leer. Esta opción existe desde la versión 6 SP1 del OE. Por supuesto, no es un consejo que nos proteja de toda esta clase de phishing, pero ayuda a no caer en una trampa por exceso de confianza.
Consejos genéricos sobre phishing y otros engaños:
1. NUNCA haga clic en forma directa sobre NINGUN enlace en mensajes no solicitados. Mucho menos ingrese información de ningún tipo en formularios presentados en el mismo mensaje.
Si considera realmente necesario acceder a un sitio aludido en el mensaje, utilice enlaces conocidos (la página principal de dicho sitio, por ejemplo), o en último caso utilice cortar y pegar para "cortar" el enlace del texto y "pegarlo" en la barra de direcciones del navegador.
2. Desconfíe siempre de mensajes no solicitados en los que se le pide alguna clase de información, o se le invita a seguir un enlace. Cerciórese antes en los sitios principales, aún cuando el mensaje parezca "real". Toda vez que se requiera el ingreso de información confidencial, no lo haga sin estar absolutamente seguro.
3. Preste atención al hecho de que cualquier compañía responsable, le llevará a un servidor seguro para que ingrese allí sus datos, cuando estos involucran su privacidad. Una forma de corroborar esto, es observar si la dirección comienza con https: en lugar de solo http: (note la "s" al final). Un sitio con una URL https: es un sitio seguro. Pero recuerde que eso solo significa que las transferencias entre su computadora y el sitio serán encriptadas y protegidas, de ningún modo le asegura que el sitio es real.
Note que el servidor seguro, no necesariamente es al que usted ingresa cuando entra a un sitio como el de un banco. Pero si debe serlo en el momento en que ese sitio lo lleve a algún formulario para ingresar datos confidenciales.
Compruebe SIEMPRE, si al colocar el puntero del ratón sobre cualquier dirección indicada en un mensaje (sin hacer clic), el Outlook Express le muestra abajo la misma dirección.
4. Una vez en un sitio seguro, otro indicador es la presencia de un pequeño candado amarillo en el rincón inferior a su derecha. Un doble clic sobre el mismo debe mostrarle la información del certificado de Autoridad, la que debe coincidir con el nombre de la compañía en la que usted está a punto de ingresar sus datos, además de estar vigente y ser válido.
5. Si aún cumpliéndose las dos condiciones mencionadas, duda de la veracidad del formulario, no ingrese ninguna información, y consulte de inmediato con la institución de referencia, bien vía correo electrónico (si es una dirección que siempre usó), o mejor aún en forma telefónica.
De todos modos, recuerde que prácticamente es una norma general, que NINGUNA institución responsable le enviará un correo electrónico solicitándole el ingreso de alguna clase de datos, que usted no haya concertado previamente, o la descarga de archivos no solicitados.
Más información sobre PHISHING y otros engaños:
http://www.vsantivirus.com/hoaxes.htm
Glosario:
PHISHING - Técnica utilizada para obtener información confidencial mediante engaños (generalmente por medio de un "scam", mensaje electrónico fraudulento, o falsificación de página web).
Este tipo de ataque, procura capturar los datos de los usuarios, tales como nombre (ID) y contraseña, mostrando una página falsa, similar a la verdadera, algo que no es nada nuevo, ya que se ha venido utilizando desde hace bastante tiempo, incluso en los famosos "phishings" relacionados con la banca electrónica.
Pero recientemente, se están utilizando sitios alternativos, como por ejemplo Yahoo! Fotos. Los usuarios reciben un correo electrónico o un mensaje instantáneo, que reclama ser enviado por un amigo que desea mostrarles las fotos de un acontecimiento reciente, tales como vacaciones o una fiesta de cumpleaños.
El mensaje contiene el enlace a un sitio falso, que captura la identificación (usuario y contraseña) del usuario, y luego envía estos al verdadero sitio de Yahoo!, de tal modo que la víctima ignora en todo momento que sus datos han sido robados antes de llegar a las verdaderas páginas del sitio.
Cómo es fácil de comprender, esto no solo se puede aplicar a Yahoo!, y es muy probable que la técnica se esté utilizando también para atrapar los datos de usuarios y contraseñas (entre otros), de cualquier lugar que los requiera.
Lo importante, en todos los casos, es recordar una de las reglas de seguridad básicas en Internet: JAMAS hacer clic sobre enlaces que aparezcan en cualquier mensaje no solicitado, sin importar quien lo envía. Demás está decir, que tampoco debemos abrir los adjuntos que no hayan sido pedidos.
Otro consejo es tener activada (en el caso del Outlook Express), la opción para que todos los mensajes sean leídos como texto sin formato, para evitar enlaces engañosos. Esto se logra desmarcando la casilla "Leer todos los mensajes como texto sin formato" en Herramientas, Opciones, Leer. Esta opción existe desde la versión 6 SP1 del OE. Por supuesto, no es un consejo que nos proteja de toda esta clase de phishing, pero ayuda a no caer en una trampa por exceso de confianza.
Consejos genéricos sobre phishing y otros engaños:
1. NUNCA haga clic en forma directa sobre NINGUN enlace en mensajes no solicitados. Mucho menos ingrese información de ningún tipo en formularios presentados en el mismo mensaje.
Si considera realmente necesario acceder a un sitio aludido en el mensaje, utilice enlaces conocidos (la página principal de dicho sitio, por ejemplo), o en último caso utilice cortar y pegar para "cortar" el enlace del texto y "pegarlo" en la barra de direcciones del navegador.
2. Desconfíe siempre de mensajes no solicitados en los que se le pide alguna clase de información, o se le invita a seguir un enlace. Cerciórese antes en los sitios principales, aún cuando el mensaje parezca "real". Toda vez que se requiera el ingreso de información confidencial, no lo haga sin estar absolutamente seguro.
3. Preste atención al hecho de que cualquier compañía responsable, le llevará a un servidor seguro para que ingrese allí sus datos, cuando estos involucran su privacidad. Una forma de corroborar esto, es observar si la dirección comienza con https: en lugar de solo http: (note la "s" al final). Un sitio con una URL https: es un sitio seguro. Pero recuerde que eso solo significa que las transferencias entre su computadora y el sitio serán encriptadas y protegidas, de ningún modo le asegura que el sitio es real.
Note que el servidor seguro, no necesariamente es al que usted ingresa cuando entra a un sitio como el de un banco. Pero si debe serlo en el momento en que ese sitio lo lleve a algún formulario para ingresar datos confidenciales.
Compruebe SIEMPRE, si al colocar el puntero del ratón sobre cualquier dirección indicada en un mensaje (sin hacer clic), el Outlook Express le muestra abajo la misma dirección.
4. Una vez en un sitio seguro, otro indicador es la presencia de un pequeño candado amarillo en el rincón inferior a su derecha. Un doble clic sobre el mismo debe mostrarle la información del certificado de Autoridad, la que debe coincidir con el nombre de la compañía en la que usted está a punto de ingresar sus datos, además de estar vigente y ser válido.
5. Si aún cumpliéndose las dos condiciones mencionadas, duda de la veracidad del formulario, no ingrese ninguna información, y consulte de inmediato con la institución de referencia, bien vía correo electrónico (si es una dirección que siempre usó), o mejor aún en forma telefónica.
De todos modos, recuerde que prácticamente es una norma general, que NINGUNA institución responsable le enviará un correo electrónico solicitándole el ingreso de alguna clase de datos, que usted no haya concertado previamente, o la descarga de archivos no solicitados.
Más información sobre PHISHING y otros engaños:
http://www.vsantivirus.com/hoaxes.htm
Glosario:
PHISHING - Técnica utilizada para obtener información confidencial mediante engaños (generalmente por medio de un "scam", mensaje electrónico fraudulento, o falsificación de página web).
Entradas
