Campaña de phishing suplantando a ING ¡No les des ni un dato!
Cualquier autónomo cliente de ING.
Se ha detectado una campaña de envío de correos electrónicos fraudulentos que suplantan a la entidad bancaria ING. Su objetivo es dirigir a la víctima a una página web falsa (phishing) para robar sus credenciales de acceso al banco e información personal.
Como en cualquier otro caso de phishing, se recomienda estar alerta de correos que soliciten datos para entidades bancarias, empresas de paquetería y entidades públicas, en particular si contienen archivos adjuntos o como en este caso, enlaces externos a páginas de inicio de sesión.
Se recomienda verificar que el remitente del correo coincide con la entidad que supuestamente lo envía. En este caso, el ciberdelincuente utiliza cybersquatting homográfico en el texto ING del asunto y del remitente.
Se ha de verificar también los enlaces observando si al situar el puntero del ratón sobre el enlace a seguir, la dirección que aparece en la parte inferior izquierda del navegador, o en la barra de navegación tras hacer clic en los mismos, se corresponde con la dirección real de la entidad. Ante cualquier sospecha llama a la entidad.
Además, antes de facilitar algún dato personal o bancario a través de un enlace, es preferible recurrir directamente a la página web legítima de la entidad, verificando que utilice canales de comunicación seguros (https) y que su certificado sea correcto, para posteriormente confirmar posibles notificaciones o, en caso de duda, contactar telefónicamente con ellos.
En cualquier caso, nunca se deben facilitar las credenciales de acceso y datos personales si no se ha verificado previamente la autenticidad del remitente y si surgen dudas acerca del correo recibido.
Si has recibido un correo de estas características, has accedido al enlace e introducido los datos de acceso a la cuenta bancaria, deberás modificar lo antes posible la contraseña de acceso a la banca online, así como contactar con la entidad para informarles de la situación. Además, se recomienda modificar la contraseña de todos aquellos servicios en los que se utilice esta cuenta de correo y esta contraseña.
Como pautas generales, para evitar ser víctima de fraudes de este tipo, se recomienda:
- No abrir enlaces de usuarios desconocidos o que no haya solicitado: hay que eliminarlos directamente.
- No contestar en ningún caso a estos mensajes.
- No seguir, sin verificarlos previamente, enlaces ni descargar ficheros adjuntos en correos electrónicos, SMS, mensajes en WhatsApp o redes sociales, aunque sean de contactos conocidos.
- Tener siempre actualizado el sistema operativo y el antivirus. En el caso del antivirus, comprobar que está activo.
- Asegúrate de que las cuentas de usuario de tus empleados utilizan contraseñas robustas y sin permisos de administrador.
Además, para prevenir y reforzar estos consejos, es importante realizar acciones de concienciación en ciberseguridad entre los empleados.
- Decálogo antiphishing
- TemáTICas Phishing
- Ingeniería social: técnicas utilizadas por los ciberdelincuentes y cómo protegerse;
- ¿Dudas sobre la legitimidad de un correo? Aprende a identificarlos;
- Busca otro al que engañar, yo no voy a picar; Historias reales: el ciberdelincuente le «pescó» por su falta de formación;
- Phishing: no muerdas el anzuelo.
Si tienes dudas, contacta con el organismo oficial a través de su página web legítima (HTTPS) y ellos te aclararán cualquier cuestión.
¿Te gustaría estar a la última con la información de nuestros avisos? Anímate y suscríbete a nuestros boletines, al canal de Telegram @ProtegeTuEmpresa, al perfil de twitter @ProtegeEmpresa o síguenos en Facebook. Serás el primero en enterarte de los últimos avisos de seguridad para empresas. También ponemos a tu disposición la línea gratuita de ayuda en ciberseguridad de INCIBE: 017.
La campaña de correos electrónicos fraudulentos que suplanta a ING tiene como asunto «Actualización de datos personales» aunque no se descarta que puedan utilizar otro tipo de asuntos. En la comunicación se informa al usuario que debe actualizar los datos personales asociados a su cuenta, para ello debe acceder al «Área de clientes» facilitando un enlace en el correo.
Si se hace clic en el enlace incluido en el correo, el usuario será redirigido a una página web que suplanta ser la legítima. En ella se solicita que el usuario introduzca su documento de identificación y fecha de nacimiento, como lo hace la web de ING. Sin embargo, si nos fijamos, el navegador marca el candado tachado indicando que no es un sitio que use un protocolo seguro, lo que ya debería hacernos desconfiar.
Si pulsa ENTRAR redirige a otra página donde solicita que complete las posiciones que faltan de su clave de seguridad, aunque no hay ninguna marcada con asteriscos o rellena.
Después pide introducir el número de teléfono móvil.
A continuación, envía a una página con apariencia de Orange que el navegador también detecta como no segura.
A continuación, será redirigido a la página web legítima de ING, pero si ha introducido sus datos personales y bancarios, estarán en manos de los ciberdelincuentes. Con estos datos podrían entrar en su cuenta de ING.
