Un pretexto que encaja
Un pago pendiente, una entrega, un problema con la cuenta, un documento que firmar. Cuanto más creíble, mejor funciona: por eso los buenos ataques investigan antes.
El correo que funciona no parece sospechoso
Durante años se enseñó a detectar el engaño por las faltas de ortografía y el saludo genérico. Ese consejo hoy hace daño, porque enseña a bajar la guardia ante un texto bien escrito: redactar un correo impecable en español ya no cuesta nada, y los que causan pérdidas grandes están perfectamente redactados.
El correo que funciona tiene sentido cuando llega. Menciona un pedido que existe, una factura que está pendiente, un trámite que efectivamente estás haciendo. Por eso hay que reconocer otra cosa: no el estilo, sino la estructura.
Las cuatro piezas que se repiten siempre
Prisa
«Hoy antes de las 5», «se suspende el servicio», «el proveedor está esperando». La urgencia existe para impedir que consultes, que es lo único que desmonta el engaño.
Un canal único
Responde a este correo, escribe a este WhatsApp, llama a este número. Todos los caminos que ofrece el mensaje llevan al mismo sitio: al atacante.
Una acción difícil de deshacer
Transferir, entregar una clave, dictar un código, instalar algo. Nunca piden algo reversible.
La regla que las rompe todas es una sola: verificar por un canal que el mensaje no te haya dado. El teléfono que ya tenías del proveedor. El número del reverso de la tarjeta. La persona, en el puesto de al lado. Si el mensaje es legítimo, no pasa nada por confirmar; si no lo es, ahí se cae.
El que más dinero mueve: «cambiamos de cuenta bancaria»
Este merece su propio apartado porque es el que arruina empresas pequeñas, y porque casi nunca despierta sospecha.
Llega un correo del proveedor de siempre. Firma igual, logo igual, el mismo tono de siempre. Avisa de que cambiaron de banco y adjunta la factura con los datos nuevos. Y justo esa semana hay un pago pendiente con ese proveedor.
Por qué sabe lo del pago pendiente
Porque normalmente el atacante ya está leyendo un buzón: el del proveedor, o el de la propia empresa. Lleva semanas mirando la conversación y espera el momento exacto.
Por eso el correo no se equivoca en nada: no está inventando el contexto, lo está copiando.
Por qué la dirección parece la buena
Puede ser un dominio casi idéntico -una letra cambiada, un
.co en vez de .com-, que a simple vista no se
distingue. Y en los casos peores no hay nada que notar, porque el correo sale
de la cuenta real del proveedor, que está comprometida.
Ahí ninguna revisión del remitente ayuda. Solo ayuda llamar.
La regla que lo evita, y no tiene excepciones
Todo cambio de cuenta bancaria se confirma por teléfono, al número que ya tenías, antes de pagar. No al que viene en el correo nuevo.
Conviene que sea una norma escrita del negocio y no un criterio personal: así quien recibe el correo no tiene que decidir solo ni sentir que está desconfiando de un cliente.
Antes de pulsar: qué se mira de verdad
Tres comprobaciones que caben en diez segundos y que no dependen de saber de informática.
La dirección completa del remitente, no el nombre que se muestra
El nombre visible lo escribe quien envía: puede decir «Banco» sin problema. Lo que cuenta es lo que va después de la arroba, leído entero y despacio.
A dónde lleva el enlace, sin pulsarlo
En computador, dejando el cursor encima aparece el destino abajo. Se lee de derecha a izquierda desde la barra: lo que importa es el dominio que está pegado a la primera barra, no las palabras tranquilizadoras que vengan después.
Qué te está pidiendo hacer
Si es transferir, dictar un código, escribir una contraseña o instalar algo, ahí se para y se verifica por otro canal. Sin excepción, aunque el mensaje sea impecable.
En el teléfono se cae mucho más. El mismo enlace engañoso se pulsa un 40% más desde el celular que desde el computador: la dirección aparece cortada, no hay forma cómoda de ver a dónde lleva y normalmente se revisa el correo de pie, entre dos cosas. Si un mensaje te pide algo importante y estás en el teléfono, eso solo ya es motivo para dejarlo para el computador.
Y si ya pulsaste
Pasa, y lo que decide el desenlace es la rapidez, no la culpa. Si escribiste la contraseña en una página falsa: cámbiala ya en el sitio real y en cualquier otro donde la hayas repetido, revisa que no haya quedado activado un reenvío automático de tu correo, y avisa a quien lleve los sistemas.
Si el engaño terminó en una transferencia, el banco tiene más margen en las primeras horas. Esconderlo un día por vergüenza es lo que convierte un susto en una pérdida definitiva.
Compruébalo tú mismo
Llega un correo del proveedor habitual avisando de un cambio de cuenta bancaria, justo cuando hay un pago pendiente. ¿Qué haces?
Las opciones 2 y 4 usan canales que da el propio mensaje: si es un fraude, contestas al atacante. Y la 1 no sirve, porque el correo puede salir de la cuenta real del proveedor, ya comprometida.
¿Por qué el consejo de «fíjate en las faltas de ortografía» se quedó corto?
El problema no es que el consejo sea falso, es que hoy tranquiliza justo ante los mensajes más peligrosos, que están bien escritos. Lo que se reconoce es la estructura: pretexto, prisa, canal único y acción irreversible.
Acabas de escribir tu contraseña en una página que resultó ser falsa. ¿Cuál es la primera acción?
La contraseña ya está en manos de alguien: lo único que importa es que deje de servir cuanto antes, en ese sitio y en todos donde fuera la misma. Después se revisa si quedó activado algún reenvío del correo.
En la próxima lección
Cerramos la puerta que abre la mitad de los casos: la lección 5 va del equipo y la red -por qué el aviso de actualizar que aplazas es la primera vía de entrada, qué hace realmente el cifrado del disco y qué pasa y qué no cuando te conectas a una wifi ajena-.
Siguiente: El equipo y la red
Continuar ← El segundo factor: cuál sirve y cuál no