Uno de los muchos peligros a los que uno se expone al tener presencia en línea y desgraciadamente también uno de los más frecuentes es el fraude por medio de correos electrónicos apócrifos. La forma en como estos mensajes buscan hacer daño es muy diversa, pero la finalidad es siempre obtener información personal y/o financiera de la víctima o a través de infundir miedo lograr que la víctima realice acciones que le perjudican. Por ejemplo un depósito monetario a los criminales.
Ejemplos de información que buscan obtener los defraudadores:
- Nombre parcial o completo
- Dirección
- Nombres de usuarios y contraseñas
- Datos de tarjetas de crédito o débito
- Estilo de vida
- etc.
Ejemplo 1
Primera parte de un email de sextorsión 
Segunda parte de un email de sextorsión
En este email el extorsionador manda un correo electrónico a una persona que seguramente no conoce. El extorsionador aduce tener videos íntimos de la víctima, que grabó con la computadora de la víctima misma después de haber instalado un software que le permite tener control de su computadora. Para no publicar el video el extorsionador pide que se le deposite cierta cantidad de dinero en bitcoins.
Análisis
Del correo:
- No se sabe de quien proviene el correo, supuestamente de un hacker, completamente anónimo
- Al depositar dinero en bitcoin no hay forma de rastrear el dinero
- No hay ninguna garantía de que al pagar el dinero el extorsionador dejara de joder
Lo que uno sabe:
Probabilidad de que el mensaje contenga información verídica. ¿Es factible o totalmente fuera de lugar?
¿Qué hacer cuando se recibe un correo de extorsión?
- Tranquilizarse. No tiene ningún sentido precipitarse.
- Buscar en linea para convencerse de que es una extorsión. Es muy probable que este tipo de correos hayan sido recibidos por otras personas y exista información en Internet al respecto.
- Reflexionar el porque uno fue atacado con un correo así. ¿De donde pudo haber sacado el extorsionador nuestro correo electrónico? ¿de algún blog donde hicimos un comentario y se publicó nuestro correo electrónico?, ¿lo introdujimos en alguna página de dudosa procedencia?, etc.
- Tomar medidas necesarias para evitar volver a ser víctima de un ataque. Evitar acciones en Internet que publique nuestro correo electrónico. De ser posible borrar acciones donde nuestro correo se hizo público. Tener una cuenta de correo dedicada para recibir basura y usarla para situaciones donde uno no desea revelar información verídica. Usar en todo momento el sentido común.
¿Qué hacer?
Ignorar el correo electrónico por completo.
Ejemplo 2
Es importante conocer técnicas que ayudan a identificar un correo apócrifo de este tipo.
Análisis
Hay un sinfín de indicadores en este ejemplo que ayudan a identificarlo como apócrifo, sin embargo, no todos los correos apócrifos que se reciban tendrán todas estas características. Afortunadamente, con una o un par de ellas, es suficiente para identificar de manera certera que este correo electrónico es apócrifo. Veamos.
En primer lugar uno se debe plantear la siguiente pregunta: ¿Tengo una cuenta con Banregio?, es decir, ¿Tiene sentido que yo reciba este correo? El no tener una cuenta con el servicio del cual supuestamente se recibe el mensaje es ya razón suficiente para ignorar por completo al correo. De tener razón por la cual recibir el correo, se debe estudiar este con más detalle.
- Título del correo electrónico (2Cuenta suspendida – Servicio de Alertas BanRegio.). El “2Cuenta” es muy sospechoso. ¿Qué significa el 2? Seguramente un banco revisaría más de una vez el machote de los correos que manda para no incluir caracteres no deseados en una frase.
- El mismo proveedor del servicio de correo electrónico, en este caso hotmail ha hecho un buen trabajo en identificar este correo como apócrifo y por eso lo ha mandado a la bandeja de correo no deseado. Los criterios que tienen los proveedores de correo electrónico para clasificar los correos no son 100% eficaces, pero hay que reconocer que en lo general, hacen un muy buen trabajo.
- Ver el correo electrónico del remitente, en este caso alertas@banregio.com es también algo sumamente sospechoso. Generalmente, cuando el remitente es un banco, no veríamos el correo electrónico del supuesto remitente, si que veríamos algo así como Alertas BanRegio, y solo al pasar el cursor por el nombre del remitente, se vería el correo electrónico del remitente, entre otra información.
Es importante saber que es posible mandar correos electrónicos desde un alias. Esto quiere decir que se podría mandar un correo de tal forma que el remitente parezca ser otro, por ejemplo president@usa.gov, sin necesariamente ser el propietario del correo. - Estimado Tarjetahabiente. Sí bien es obvio que el banco ocupa machotes para mandar correos electrónicos, es de esperarse que su automatismo sea capaz de sustituir el Tarjetahabiente por el nombre del cliente. En este caso es evidente que los defraudadores no poseen el nombre de la víctima.
- Faltas de ortografía. “Este intento de inicio de sesión se realizo en:” tiene dos faltas de ortografía. En general el mensaje del correo no usa acentos. Es de esperarse que un banco mande mensajes, en especial si son mensajes generados de forma automática.
- La dirección de una página que este correo invita a acceder es la parte más peligrosa de este correo, y es aquí donde se tiene que tener más precaución.
Al pasar el cursor por el enlace, el navegador muestra una dirección completamente distinta a la del enlace. Esto es ya razón suficiente para estar seguro de que este correo es apócrifo.
Si hasta este momento no se esta seguro de si el correo electrónico es apócrifo o no, y se desea revisar los movimientos que se han hecho en la cuenta bancaria, lo más recomendable es no abrir los links desde el correo, sino abrir el navegador de Internet, y acceder a la página del banco introduciendo la dirección conocida de él, o mejor aun, usar la aplicación móvil del banco.
Pero, veamos que pasa al abrir el enlace. Al darle click se abre la siguiente página:
Como se observa, el dominio de la pagina que se abrió (www.newpeople.com.pe) no tiene absolutamente nada que ver con banregio. Seguir el juego que propone está página, es decir, introducir los datos de la cuenta de banco, es la forma como los estafadores llegarían al dinero de en la cuenta de banco.
Al visitar el dominio se puede ver que es de una escuela en Perú. El sitio ha sido probablemente hackeado y es usado por los estafadores.
Otras medidas de protección
- No dejar, o al menos dejar la menor huella posible al realizar acciones en Internet. Mientras más anonimato y mientras menos cuentas activas en Internet, menos probabilidad de que un atacante sepa que existimos. Así pues, es conveniente borrar las cuentas de los servicios que no se usan.
- Uso de antivirus. Para así detectar software que puede poner en riesgo nuestra información.
- No instalar basura. Solo instalar software confiable es una buena costumbre que paga dividendos y da tranquilidad. No tiene que ser software caro, es común que existan buenas alternativas open source.
- Bloquear la computadora al dejarla desatendida (Win + L). Así se evita que alguien acceda a nuestros datos de manera no autorizada directamente en nuestra propia computadora.
- Tapar la cámara. Para tener la certeza de que nadie, ni siquiera la NSA nos esta espiando a través de la cámara cuando esta está tapada.
- Sentido común. Nada es mejor que esto. Con la computadora lo que se puede imaginar es posible, así que en todo momento hay que hacer las cosas con sentido común.
De tanto hablar de extorsionadores, defraudadores y demás gente mugrosa me acordé de una joya clásica acerca de extorsiones, aquí se las dejo:
