Cómo frenar cinco ciberataques: la señal y el gesto que los detiene
En Hong Kong, en 2024, un empleado transfirió unos veinticinco millones de dólares tras ver a su director financiero en una videollamada que era falsa. Estos son cinco ataques, del más común al más sofisticado, con la señal que delata a cada uno y el gesto exacto que lo frena.
Lo que tienen en común: la ingeniería social
Casi ningún ataque rompe una cerradura. Lo que hacen es convencerte de que abras tú la puerta. Se llama ingeniería social: fabrican prisa, miedo o autoridad para que actúes antes de pensar.
Los cinco ataques comparten una señal: una urgencia que llega por un canal que no has elegido tú.
1. El mensaje falso o phishing
Te llega un SMS de un supuesto repartidor. Tu paquete está retenido y debes pagar un euro con noventa. El importe da igual: quieren los datos de tu tarjeta para hacer compras mayores.
La señal es un enlace, prisa y un pago pequeño que no esperabas. Ojo con un mito: el candado junto a la dirección web solo indica que la conexión va cifrada, no que la web sea legítima.
La defensa: no entres nunca desde el enlace. Abre tú la aplicación oficial del transportista o escribe la dirección a mano. Si el paquete existe, aparecerá allí.
2. La contraseña reciclada
Cuando una web sufre una filtración, los atacantes prueban automáticamente ese correo y esa clave en bancos, tiendas y redes. Si repites contraseña, la filtración de un foro olvidado puede abrir tu correo. La señal es un aviso de acceso desde un dispositivo desconocido.
La defensa es un gestor de contraseñas que cree una clave distinta para cada sitio. En iPhone, la aplicación Contraseñas. En Android, el Gestor de contraseñas de Google, dentro de los ajustes de Google. Después, entra en haveibeenpwned.com y escribe tu correo para ver en qué filtraciones aparece.
Cambiarla cada tres meses no es necesario. El NIST, la agencia de estándares de Estados Unidos, desaconseja imponerlo, porque la gente acaba pasando de Verano2024 a Verano2025. La contraseña debe ser larga y única, y solo se cambia si se filtra.
3. El código de seis cifras de WhatsApp
Un contacto conocido te escribe: dice que te ha enviado un código por error y te pide que se lo pases. Es el código de verificación de tu WhatsApp. Si lo compartes, instalan tu cuenta en otro móvil y piden dinero a tus contactos en tu nombre. Ese contacto suele ser una cuenta robada con el mismo truco.
La señal es que te piden un código que no has solicitado. La defensa: un código que te llega a ti no se reenvía nunca, lo pida quien lo pida. Además, activa en WhatsApp la opción Ajustes, Cuenta, Verificación en dos pasos, y elige un PIN de seis cifras. Sin él, el código robado no les basta.
4. La llamada falsa del banco
En tu pantalla aparece el número real de tu entidad. Una voz tranquila te avisa de un cargo sospechoso y te pide mover el dinero a una «cuenta segura». Ese número se puede falsificar; la técnica se llama spoofing.
La señal es que te piden mover dinero o dictar claves y códigos por teléfono. Ningún banco lo hace. La defensa: cuelga y llama tú al número impreso en el dorso de tu tarjeta. Si la alerta era real, te lo confirmarán.
5. La voz y la cara clonadas con inteligencia artificial
La inteligencia artificial ya puede imitar una voz de forma creíble con unos pocos segundos de audio sacados de redes. En Hong Kong, según la policía, el empleado sospechó del primer correo. Fue la videollamada con el director y varios compañeros, todos falsos, lo que disipó sus dudas. Ver y oír a alguien ya no demuestra que sea esa persona.
La señal es prisa y dinero, aunque la cara y la voz encajen. La defensa: pacta en persona con tu familia una palabra clave que nunca hayáis escrito y pídela ante cualquier petición de dinero. En el trabajo, toda transferencia pedida por vídeo o audio se confirma colgando y llamando al número guardado en la agenda.
El empleado de Hong Kong acabó llamando a la sede de su empresa, pero después de transferir. Esa llamada, hecha antes, habría destapado el engaño. Los cinco ataques necesitan que respondas por el canal que ellos eligen. Si cambias de canal, el ataque pierde su fuerza.
Preguntas frecuentes
¿El candado en la dirección web garantiza que la página es segura?
No. Solo indica que la conexión va cifrada, no que la web sea legítima.
¿Hay que cambiar la contraseña cada tres meses?
No. El NIST desaconseja imponerlo; basta con que sea larga y única, y cambiarla solo si se filtra.
¿Cómo protejo mi cuenta de WhatsApp?
No reenvíes nunca un código que te llegue y activa la verificación en dos pasos en Ajustes, Cuenta, con un PIN de seis cifras.
¿Qué hago si ya he caído en uno de estos ataques?
Llama al 017, la línea gratuita de ayuda en ciberseguridad del INCIBE, avisa a tu banco cuanto antes y denuncia.
Artículo informativo elaborado con ayuda de herramientas de IA a partir del guion verificado del vídeo.