Phishing

Definición breve

El phishing es una estafa en la que un atacante se hace pasar por una entidad o persona de confianza, como un bróker, un exchange, un banco, un regulador, un servicio de atención al cliente o incluso un conocido, para inducir al usuario a revelar información sensible o transferir dinero. Puede llegar por correo electrónico, SMS, redes sociales, llamadas telefónicas o sitios web falsos.

Para quienes operan en mercados financieros, la información que se intenta robar suele incluir contraseñas de acceso, códigos de un solo uso, documentos de identidad, datos bancarios, permisos de cuentas de trading, claves API, frases semilla o claves privadas de monederos cripto. El phishing no es una estrategia de trading; es un riesgo de seguridad de cuenta y de protección de fondos.

Cómo funciona

El phishing suele apoyarse en la confianza y la urgencia. Un proceso típico incluye:

1. Suplantar a una entidad confiable: se usan nombres, logotipos, direcciones de correo o diseños web parecidos a los de brókeres, exchanges o bancos legítimos.
2. Crear presión: se afirma que hay actividad sospechosa, falta de margen, retiro bloqueado, necesidad de volver a verificar la identidad o una alerta de seguridad con plazo limitado.
3. Dirigir al usuario a hacer clic o contactar: se pide abrir un enlace, descargar un archivo adjunto, escanear un código QR, unirse a un grupo de chat o hablar con un supuesto gestor o soporte exclusivo.
4. Robar datos o tomar control de la cuenta: mediante páginas de inicio de sesión falsas, software de asistencia remota o archivos maliciosos, se obtienen contraseñas, códigos de verificación o acceso al dispositivo.
5. Transferir fondos o continuar la estafa: el atacante entra en la cuenta real, cambia datos de retiro, solicita transferencias o exige nuevos pagos por supuestos impuestos, márgenes, desbloqueos o comisiones.

Escenarios habituales en trading

Ejemplos sencillos

• Recibes un correo que parece venir de tu bróker con el asunto: Cuenta con inicio de sesión anómalo, verifique en 30 minutos. El enlace abre una página casi idéntica al sitio oficial, pero el dominio tiene una letra adicional. Si introduces tu usuario y código de verificación, el atacante podría intentar entrar de inmediato en tu cuenta real.
• Una persona en redes sociales dice ser soporte de un exchange y afirma que puede acelerar tu retiro, pero te pide la frase semilla de tu monedero. Si la frase semilla se revela, los activos del monedero pueden transferirse directamente y, por lo general, es difícil recuperarlos.
• Un SMS indica que tu cuenta de trading requiere un pago adicional de margen para desbloquearse y pide transferir dinero a una cuenta personal o a una dirección de criptomonedas. Este tipo de solicitud debe tratarse con mucha cautela, especialmente si no puede verificarse desde la app oficial o el sitio web oficial.

Señales de alerta

Las siguientes señales no prueban por sí solas que se trate de una estafa, pero cuantas más aparezcan, mayor es el riesgo:

• La dirección de correo, la URL o el nombre de la app difieren ligeramente de los de la entidad legítima, por ejemplo por un carácter adicional, una letra sustituida o una extensión poco habitual.
• Se usan enlaces acortados, códigos QR o archivos comprimidos, y no se explica con claridad el destino.
• Se solicita la contraseña, códigos de un solo uso, frase semilla, clave privada, clave API o datos completos de la tarjeta bancaria.
• Se presiona para actuar de inmediato por supuestos bloqueos de cuenta, fallos de retiro, revisiones regulatorias u ofertas por tiempo limitado.
• Se pide pagar a una cuenta personal, a un monedero de terceros o a una dirección que no puede verificarse.
• Se promete recuperar pérdidas, desbloquear una cuenta o garantizar rendimientos de inversión.
• El supuesto soporte solo se comunica por mensajería privada y evita que verifiques su identidad a través del sitio web o la app oficial.

Buenas prácticas para traders principiantes

• Accede desde canales oficiales: escribe manualmente la dirección del sitio web o usa una app oficial descargada desde una fuente verificada; no inicies sesión en tu cuenta de trading desde enlaces recibidos por correo o SMS.
• Revisa el dominio y el certificado: observa la ortografía, la extensión y las redirecciones; no te fíes solo del logotipo o del diseño de la página.
• Activa la autenticación multifactor: utiliza métodos de verificación más seguros cuando estén disponibles y guarda los códigos de respaldo en un lugar seguro.
• No compartas credenciales críticas: una entidad legítima normalmente no te pedirá tu contraseña, códigos de un solo uso, frase semilla, clave privada ni acceso remoto a tu dispositivo.
• Limita los permisos de API: si usas una API de trading, concede solo los permisos necesarios, evita habilitar retiros por defecto y rota las claves periódicamente.
• Verifica por canales oficiales: ante bloqueos de cuenta, problemas de retiro o solicitudes de verificación de identidad, confirma primero desde el sitio web oficial, la app oficial o los teléfonos públicos de atención al cliente.
• Mantén el dispositivo seguro: actualiza el sistema y el navegador, y evita instalar extensiones, software de control remoto o herramientas de trading de origen desconocido.

Qué hacer si ya hiciste clic o introdujiste información

Si sospechas que has sido víctima de phishing, actuar rápido es importante, pero evita seguir instrucciones del estafador:

1. Detén la interacción de inmediato: no sigas haciendo clic, no descargues archivos y no transfieras dinero.
2. Cambia tus contraseñas: entra desde canales oficiales y cambia las contraseñas de la cuenta de trading, el correo electrónico y las cuentas de pago relacionadas.
3. Revoca permisos sospechosos: revisa dispositivos conectados, claves API, correo y teléfono vinculados, direcciones de retiro y autorizaciones de terceros.
4. Contacta con el soporte oficial y con tu banco: explica que podrías haber sufrido phishing y pregunta si pueden congelar la cuenta, bloquear operaciones o reforzar la verificación.
5. Conserva pruebas: guarda correos, SMS, conversaciones, enlaces, justificantes de pago, hashes de transacción y cualquier otro dato relevante.
6. Informa a las autoridades o entidades correspondientes: según tu ubicación, puedes reportarlo a reguladores financieros, organismos de protección al consumidor, plataformas de denuncia de ciberdelitos o la policía.

Estas medidas no garantizan recuperar pérdidas, pero pueden ayudar a reducir daños adicionales y aportar información útil para una investigación.

Diferencias frente a una notificación de seguridad legítima

Las entidades financieras legítimas pueden enviar alertas de seguridad o pedirte completar una verificación de identidad. Sin embargo, normalmente te dirigirán a canales oficiales, no a introducir todas tus credenciales en un enlace desconocido ni a pagar a una cuenta privada. Para evaluar una solicitud, usa como referencia la app oficial, el sitio web oficial, los comunicados publicados, los documentos contractuales y los teléfonos públicos de atención al cliente; no tomes decisiones solo con base en correos, SMS o mensajes en redes sociales.

Términos relacionados

• Ingeniería social: técnica de manipulación psicológica para obtener información o inducir acciones; el phishing es una de sus formas más comunes.
• Sitio web falso: página que imita la interfaz y el dominio de un sitio legítimo para robar datos de acceso o información de pago.
• Malware: software diseñado para robar información, supervisar dispositivos o controlar sistemas de forma remota.
• Autenticación multifactor: método que añade pasos de verificación además de la contraseña para reducir el riesgo de robo de cuenta.
• Toma de control de cuenta: situación en la que un atacante obtiene control de una cuenta y modifica datos, realiza operaciones o transfiere fondos.

Fuentes de referencia

• https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams
• https://www.finra.org/investors/insights/phishing-scams
• https://www.sec.gov/investor/pubs/onlinebrokerage.htm
• https://www.cisa.gov/secure-our-world/avoid-phishing