En nuestro rol como divulgadores de la Ciberseguridad nos toca reiterar mensajes en torno a la detección y prevención de estafas como:
"Fíjate si el origen del correo es de confianza"
"Revisa las faltas de ortografía"
"No hagas clic en enlaces sospechosos"
Muchas veces me he preguntado si estas técnicas siguen siendo efectivas para identificar una estafa online.
Puede ser que como divulgadores, nos toca reiterar tantas veces lo mismo, que damos por descontado que la gente ya conoce estas pistas, que pueden estar aburridos del mismo mensaje de siempre, o por último, tal vez estamos enviando los mensajes equivocados.
Las nuevas herramientas digitales como ChatGPT y la democratización del acceso a conocimiento en general me han hecho dudar muchas veces en torno a si el mensaje que estamos entregando es efectivo, o simplemente lo hacemos por una especie de ceguera en torno a las tácticas reales de los atacantes. El día a día, por otro lado, nos obliga a cambiar de foco constantemente y no disponemos del tiempo suficiente para reflexionar y desarrollar campañas de sensibilización con análisis profundo y orientado a la cultura en la que nuestros usuarios se desenvuelven.
Bueno, tenía la opinión que nuestros mensajes no estaban acorde a la realidad de las estafas de hoy, hasta que quise vender mi tablet.
No tengo ningún problema técnico con mi tablet, está en perfectas condiciones, sin ningún detalle, tan solo pensé que era hora de cambiar de tecnología por algo más pequeño en pantalla y ojalá con mayores prestaciones de hardware.
Mi primera opción fue publicar el dispositivo en un portal de compra y venta, sin mucha fe en lograr la venta en un plazo corto.
Al día siguiente de la publicación, a primera hora, los primeros mensajes de parte del "comprador":
¿En qué condiciones se encuentra la batería?
Estoy interesado en el producto, pero me gustaría que me enviaras un video, a xxxxxx @ gmail.com
Hasta ahí, todo normal.
Sin nada que perder, hice un video corto del producto, tratando de mostrar las condiciones en que se encontraba y el acceso a aplicaciones básicas y lo envié al gmail indicado. De vuelta, el "comprador" me indica que está interesado en la compra y que durante la tarde efectuará la transacción.
Durante la tarde, mientras estaba en un espacio público, tomando un café, recibo la confirmación de la transacción. 4 correos me indicaban que la venta estaba cerrada y además, la contraparte me enviaba una captura de pantalla con el cierre de la transacción en el sitio web.
Como estaba fuera de casa, toda esta información solo la pude ver mediante el smartphone. Lo primero que hice fue validar si la transacción ya me aparecía en mi cuenta del comercio. Nada. Supuse que era solo una demora entre la transferencia y la actualización, algo típico. Preferí revisar el estado volviendo a casa.
Mientras tanto, el "comprador" me indicaba que quería coordinar la opción de "recogida a domicilio" (proceso que se indicaba en uno de los 4 correos de confirmación). Esta alternativa era la más cómoda, porque éste se encontraba "cuidando a su abuela". No suelo vender recurrentemente artículos, por lo que entendí que era tan solo otra modalidad de entrega disponible en la tienda. Adicional a todo lo anterior, me solicita que cuando el repartidor aparezca, le envíe una foto, tras la cual me entregaría una valoración positiva, condición para liberar el pago del producto.
Ok, no suelo vender muchos productos en la plataforma, pero sí compro muuuuchos productos (necesarios e innecesarios, lo reconozco). Y no recuerdo que tuviera que dar alguna valoración positiva para liberar un pago, ni nada parecido. Fue la primera señal de que algo raro ocurría.
Claro, al llegar a casa tuve un poco más claro el panorama, al ver el detalle de los correos de confirmación recibidos:
Todos los correos recibidos venían de la dirección pago.xx.confirmado @ gmail.com.
Uno de ellos se refería al método indicado "Una vez que recibimos la información de envío del vendedor, el dinero total será transferido a la cuenta que registres al recibir la calificación positiva. Este método de pago es para proteger tanto al vendedor como al comprador."
Otro comprobante de la venta insistía "Recuerda que aún deben calificarte positivo para recibir el pago de su venta".
El último correo decía "¡Confirmación de envió!"
Bueno, suficiente, caso cerrado. No necesitaba más evidencias.
Demás está decir que nunca tuve una confirmación de la venta por medio del sitio oficial.
Obviando la desilusión por la venta fallida, posteriormente pensaba sobre el tema del principio: ¿siguen vigentes los consejos que repetimos por años en nuestras campañas de sensiblización?
Bueno, solo les puedo sugerir que consideren los siguientes 5 tips para reconocer estafas:
Verifiquen que el remitente es de confianza. Es muy fácil falsificar el nombre de un remitente, pero si tratan de responder a la dirección, aparecerá el correo verdadero, y no solo el nombre de fantasía.
Revisen si el correo recibido tiene faltas de ortografía. Como alguna vez lo leí en un artículo, es probable que los delincuentes hagan esto para "filtrar" a sus víctimas. Los atacantes van por las víctimas más vulnerables, no invierten tiempo en objetivos complejos, salvo que se trate de un ataque de alto perfil, pero eso es otra historia.
Confirmen la información de la transacción en el sitio legítimo, desde un dispositivo de confianza. Conviene hacer esto con paciencia y no apurarse por cerrar una venta que no está confirmada.
Validen siempre el proceso de venta, para verificar que no hay nada "extraño". Cualquier situación que salga de lo normal debe hacernos sospechar y levantar la guardia.
Este es uno de mis tips favoritos, de hecho siempre se lo comento a los usuarios. El correo de estafa siempre va a tener dos características invariables: llama la atención del usuario, y le solicita una acción. Si están presentes estas dos características, están frente a un correo sospechoso.
En definitiva, lamentablemente tengo que concluir que vamos a necesitar seguir repitiendo los mensajes que usamos en nuestras campañas por un buen rato.