Ponte a proba

Detectas o phishing?

Oito mensaxes: unhas son fraude e outras son perfectamente normais. Maquetámolas tal e como che chegarían ao móbil ou ao correo. Decide unha a unha e, acertes ou falles, contámosche en que había que fixarse. Lévache cinco minutos e non fai falta saber nada de informática.

Este test funciona mellor con JavaScript activado, que é o que o converte nun xogo. Sen el verás os oito casos coa súa resposta e a súa explicación, que ao final é o que importa.

Caso 1 de 8

  1. 1

    SMSDe: Correos

    O seu envío ES447190235ES está retido no noso centro loxístico por unha taxa aduaneira pendente de 1,79 €.

    Aboe o importe para reprogramar a entrega de hoxe:

    Ligazón da mensaxe:https://correos-redireccion.info/pago

    É lexítimo ou é phishing?

    Era phishing

    En que había que fixarse

    • O dominio de Correos é correos.es, e xa está. Aquí o dominio é correos-redireccion.info: leva a palabra dentro, pero non é Correos. Calquera pode rexistrar un dominio coa palabra que queira.
    • A cantidade é pequena a propósito. 1,79 € non doen, e por iso non o pensas dúas veces. O que buscan non é ese cobro: é o número da túa tarxeta.
    • Chégache xusto cando agardas un paquete. Non é punteiría: mándano a millóns de números sabendo que, en calquera semana, media España agarda un.

    É a fraude por SMS máis repetida en España e funciona por volume puro. Se de verdade agardas un envío, non toques a ligazón: entra ti en correos.es ou na app da tenda e busca o pedido polo seu número de seguimento. Tardas o mesmo e non hai forma de que saia mal.

  2. 2

    É lexítimo ou é phishing?

    Era lexítimo

    En que había que fixarse

    • Acábalo de pedir ti. O contexto é media resposta: un correo que contesta a algo que fixeches hai trinta segundos non se parece en nada a un que aparece da nada un martes.
    • O dominio que hai xusto antes da primeira barra é accounts.google.com. O de verdade, sen guións raros e sen colgar doutro sitio.
    • Non hai ameaza nin conta atrás real. Dime que, se non fuches ti, non pasa nada e non tes que facer nada. A fraude case sempre precisa que te movas xa.

    Non todo correo que che pide unha acción é unha fraude, e desconfiar absolutamente de todo cansa tanto que se acaba abandonando. A pregunta útil non é "pídeme algo?", senón "provoqueino eu, e o dominio é exactamente o que debería ser?".

  3. 3

    É lexítimo ou é phishing?

    Era phishing

    En que había que fixarse

    • Busca a primeira barra da ligazón e mira o que ten pegado á esquerda: validacion-buzon.xyz. Ese é o dominio de verdade. O microsoft.com que vai diante é un subdominio que eles escribiron a man, coma quen se pon un nome falso.
    • O remitente tampouco é de Microsoft: m365-soporte.net é un dominio calquera rexistrado por dez euros.
    • A conta atrás de 24 horas está posta exactamente para que non fagas as dúas comprobacións anteriores.

    Este é o truco que máis xente pica, e é o único que hai que aprender de memoria: nunha dirección web manda o que está pegado á esquerda da primeira barra. microsoft.com.validacion-buzon.xyz non é Microsoft, igual que "policia.tuacasa.com" non é a policía. Aprende a ler as direccións de dereita a esquerda e aforras a metade das fraudes.

  4. 4

    WhatsAppDe: +34 612 84 39 07 · Número descoñecido

    Hola mamá, son eu 😊 Caeume o móbil á auga e escríboche desde este número. Gárdao, que o outro está morto.

    Teño un lío: bloqueáronme a app do banco ata mañá e hoxe vence unha factura, se non a pago cáeme recarga.

    Pódesme facer ti o Bizum e mañá cho devolvo? Son 780 €. Grazas mamá, es a mellor ❤️

    Sen ligazón

    É lexítimo ou é phishing?

    Era phishing

    En que había que fixarse

    • Número novo, urxencia e cartos, os tres na mesma mensaxe. Ese combo é a estafa enteira; non fai falta buscar máis.
    • Cada escusa está posta para tapar unha comprobación: o móbil roto explica por que non recoñeces o número, e o banco bloqueado explica por que non pode pagalo el.
    • Nunca hai unha chamada, nin un audio. Escriben, porque a voz delataríaos ao instante.

    É "o timo do fillo" e lévase millóns ao ano en España, sobre todo de xente maior que ademais sente vergoña despois e non o denuncia. A defensa é dunha sinxeleza case ofensiva: chama ao número de sempre. Se non contesta, pregúntalle por escrito algo que só poida saber el e que non estea nas súas redes.

  5. 5

    É lexítimo ou é phishing?

    Era phishing

    En que había que fixarse

    • Le o dominio amodo, letra a letra: suministrosdelqado.es. O do teu provedor escríbese suministrosdelgado.es. Cambia un único carácter no medio da palabra, e o teu ollo corríxeo só sen avisarte. Por iso funciona.
    • Un cambio de número de conta anunciado por correo é, case sempre, unha fraude. É a petición máis rendible que existe: abonda con que cole unha vez.
    • O "RE:" do asunto simula que isto continúa unha conversa que en realidade nunca existiu.

    Chámase fraude do CEO, ou BEC, e é o que máis cartos lle custa ás PEMES españolas, moi por riba do ransomware do que todo o mundo fala. Hai unha regra que o corta en seco e non custa nada implantar: ningún cambio de conta bancaria se acepta por correo, nunca, sen chamar antes por teléfono ao provedor. Ao número que xa tiñas, non ao que vén no correo.

  6. 6

    SMSDe: Amazon

    123456 é o teu código de verificación de Amazon. Non o compartas con ninguén.

    Amazon nunca che pedirá este código por teléfono.

    Sen ligazón

    É lexítimo ou é phishing?

    Era lexítimo

    En que había que fixarse

    • Non trae ningunha ligazón. Unha mensaxe que só che dá un número e non te manda a ningures non pode roubarche nada por si mesma.
    • A propia mensaxe avísate do único perigoso que pode pasar agora: que alguén te chame para pedircho.
    • Provocáchelo ti ao intentar entrar. E se che chega sen que estiveses facendo nada, o SMS segue sendo real: o que pasa é que alguén máis está probando o teu contrasinal.

    A mensaxe é lexítima, pero é xusto o punto onde arranca o outro ataque: alguén chama dicindo que é do servizo e pídeche "o código que acabas de recibir". Ese código é a última porta que che queda pechada. Non se di en voz alta, non se reenvía e non se teclea nunha web á que chegases desde unha ligazón. E se aparece sen telo pedido, vai cambiar o contrasinal.

  7. 7

    SMSDe: Correos

    O teu envío 0000123456789 sae hoxe a reparto. Podes seguir o seu estado en correos.es con ese número.

    Se non estás na casa deixarémolo na túa oficina máis próxima durante 15 días.

    Sen ligazón

    É lexítimo ou é phishing?

    Era lexítimo

    En que había que fixarse

    • Non che pide cartos, nin datos, nin que fagas nada antes dunha hora concreta. Só te informa, e aí remata.
    • Dáche o número de seguimento e convídate a comprobalo pola túa conta no sitio oficial. A fraude prefire levarte da man ata onde ela quere.
    • Se houbese ligazón, apuntaría a correos.es. O dominio é, outra vez, onde cae a careta.

    Este caso e o primeiro chegan do mesmo remitente, pola mesma canle, e moitas veces caen literalmente no mesmo fío do móbil, un debaixo do outro: o nome que aparece arriba nun SMS é texto e pódese suplantar sen ningunha dificultade. Por iso non significa nada. O que non se pode falsificar é o dominio ao que te mandan, así que a única pregunta que serve sempre é: a onde me está levando isto exactamente?

  8. 8

    É lexítimo ou é phishing?

    Era phishing

    En que había que fixarse

    • A Axencia Tributaria non anuncia devolucións por correo nin pide datos bancarios a través dunha ligazón. As súas notificacións agardan na sede electrónica, onde entras ti con certificado ou con Cl@ve.
    • O dominio oficial é agenciatributaria.gob.es. Só as administracións españolas poden usar .gob.es; un .com coas palabras correctas dentro rexístrao calquera en cinco minutos.
    • A cifra con céntimos soa a expediente de verdade. Está elixida así xustamente por iso.

    A cobiza funciona igual de ben que o medo, e ás veces mellor, porque a ninguén lle parece sospeitoso que lle devolvan cartos. Fíxate nun detalle: o correo non che pide un contrasinal, pídeche o número de conta. É moito máis doado de dar, ninguén sente que estea entregando nada, e sóbralles para o que vén despois.

Tamén podes responder coas teclas 1 e 2, e pasar ao seguinte con Enter.