He pinchado en un link fraudulento. ¿Qué hago?

Son constantes las alertas de las agencias de ciberseguridad y de los cuerpos de seguridad sobre oleadas de estos mensajes de phising o smishing. El primero de estos engaños consiste enviar a la víctima un email con un enlace que dirige a una página en la que se le pide que introduzca información (nombre de usuario, datos personales, contraseñas o número de tarjeta de crédito).

La víctima generalmente accede, ya que cree que se trata de la página de una empresa con la que tiene relación pero en realidad es una página trampa que han creado los delincuentes imitando el aspecto de la original para conseguir así información de ese cliente y poder suplantar su identidad. El smishing es similar, pero en lugar de un correo electrónico los delincuentes envían un mensaje de texto con el link.

Los expertos insisten en que dudemos siempre de cualquier mensaje que redirija a una web en la que haya que introducir datos, pero los delincuentes han perfeccionando tanto tus tácticas (en el mensaje advierten de la urgencia de entrar en el enlace y proporcionar esa información si no quiere exponerse a una multa, perder un paquete que le llega por mensajería o que le bloqueen la cuenta bancaria, por ejemplo) que muchas veces picamos.

¿Qué podemos hacer cuando nos damos cuenta o sospechamos que ese link al que hemos accedido es en realidad un fraude? Estas son algunas de las recomendaciones que proceden de distintas agencias de ciberseguridad.

Hay que recordar qué datos (contraseña de un sitio determinado, número de la tarjeta de crédito...) han obtenido los delincuentes. Si es posible todavía, tenemos que hacer capturas de pantalla de la web fraudulenta y del mensaje que nos haya dirigido a ella y guardarlos en un lugar seguro, por ejemplo, enviándolas a un correo de seguridad que no hayamos proporcionado, de manera que no puedan acceder los delincuentes

Esto supone eliminar cualquier archivo que se haya descargado en el móvil y revisar con un antivirus actualizado que el teléfono no esté infectado. Hay que avisar al banco para que se pueda cancelar cualquier pago no autorizado y desactivar la tarjeta bancaria si hay sospechas de que los delincuentes pueden haber accedido a esos datos.

Si la contraseña que se facilitó a los ciberdelincuentes es la que utilizamos en varios sitios (redes sociales, bancos o cuentas de correo electrónico) hay que entrar en todos esos servicios lo antes posible, cambiar la contraseña y activar la doble verificación.

Existen diferentes organismos a los que podemos recurrir. Para contactar con el Instituto Nacional de Ciberseguridad hay que llamar al 017 (gratis) de ayuda en ciberseguridad, se puede contactar también por WhatsApp en el 900 116 117 (antes hay que guardar este teléfono en la agenda de contactos del móvil) o en el canal de Telegram @INCIBE017. Pero hay otros, como el Basque CyberSecurity Centre (900 104 891, incidencias@bcsc.eus). También podemos denunciar en comisaría y aportar toda la documentación que se haya recogido.

Algunas veces, los delincuentes toman el control de las redes sociales de la víctima para, desde ellas, mandar mensajes de spam o enviar a los contactos nuevos enlaces que les dirijan a webs fraudulentas. Al provenir de alguien conocido es más fácil que los receptores abran los enlaces y se conviertan en nueva víctimas. En el caso de las redes sociales, es muy útil escribir mensajes públicos avisando de que la cuenta ha sido víctima de un ataque. Y a través del correo electrónico se puede avisar a todos los contactos (si ya no podemos acceder porque los delincuentes han cambiado las contraseñas, hay que avisar a la empresa que proporciona el servicio).