Módulo 2 · Detecta las señales
Anatomía de un correo fraudulento
Lección 2.1
Vamos a diseccionar un correo
Vamos a diseccionar un correo. Pulsa cada número para ver qué esconde.
Antes, un truco: el nombre que ves como remitente lo escribe quien envía el correo. Para ver la dirección real, pulsa sobre el nombre. En el ordenador suele bastar con pasar el ratón por encima; en el móvil, toca el nombre del remitente.
Qué hacer: pulsa cada número del correo para ver qué esconde; hay uno que es una trampa. Por ejemplo: el 1 está sobre el remitente.
0 de 7 puntos explorados
Leer el correo y los siete puntos en texto
De: Personas · Talavanta <nominas@talavanta-personas.test>
Responder a: gestion.nominas@buzon-rapido.test
Para: destinatarios no revelados
Asunto: URGENTE: error en tu nómina de noviembre – revísala antes de las 14:00
[Logo de Talavanta, correcto] Estimado/a empleado/a: Hemos detectado un error en la retención de IRPF de tu nómina de noviembre que podría suponerte un descuento adicional. Para corregirlo, valida tus datos en el portal del empleado antes de las 14:00 de hoy. Si no lo haces, el ajuste se aplicará en la nómina de diciembre y no podrá revertirse. [Botón: Revisar mi nómina, cuyo destino real es https://talavanta.example.portal-empleado.test/acceso] Un saludo, Departamento de Personas.
- El nombre engaña. «Personas · Talavanta» suena a algo interno, pero la dirección es talavanta-personas.test, no talavanta.example. El nombre visible es lo más fácil de falsificar.
- Tu respuesta se iría fuera. La dirección de respuesta es un buzón externo. Si contestas, escribes al atacante.
- Enviado en masa y sin tu nombre. «Destinatarios no revelados» y «Estimado/a empleado/a». Son señales débiles, porque hay avisos legítimos así, pero suman.
- Prisa y miedo. «URGENTE», una hora límite y tu dinero: te piden algo y hay prisa.
- La acción y la amenaza. «Validar tus datos» es escribir tu usuario y tu contraseña. La amenaza irreversible te empuja a hacerlo sin consultar.
- El enlace dice una cosa y lleva a otra. Se ve intranet.talavanta.example, pero el destino real es talavanta.example.portal-empleado.test. Manda portal-empleado.test. Lo verás en L2.2.
- Trampa: el logo no prueba nada. Está copiado de la web de la empresa. Copiarlo cuesta un segundo.
No cuenta para la duración del curso y no entra en la evaluación final.
| Fácil de falsificar | Difícil, pero posible | Casi imposible de falsificar |
|---|---|---|
| El nombre visible del remitente | La dirección exacta del remitente, si el dominio no está bien protegido o si alguien ha robado esa cuenta | Tu llamada a un número que ya tenías |
| El logo, los colores, la firma y el aviso legal | Un hilo de correo real, si ha robado la cuenta de tu contacto | El procedimiento de tu empresa, como la doble firma de los pagos |
| Una ortografía perfecta, en cualquier idioma | Una voz parecida a la de alguien que conoces | La confirmación en persona o por el chat interno con un contacto que ya tenías |
| El número que aparece en la pantalla del móvil | Una palabra clave acordada para operaciones sensibles (INCIBE lo recomienda) | |
| Datos sobre ti sacados de internet |
Confía en lo que el atacante no puede tocar.
En resumen
- Mira la dirección, no el nombre.
- Mira a dónde lleva el enlace, no lo que dice.
- Lo que te piden y la prisa pesan más que el aspecto.
Lo que te llevas
- Mira la dirección, no el nombre.
- Mira a dónde lleva el enlace, no lo que dice.
- Lo que te piden y la prisa pesan más que el aspecto.
Cuando termines, sigues con «Lee los enlaces como un profesional».