Cómo detectar los correos electrónicos de phishing: Cómo reconocer palabras y terminología comunes

Puntos clave

• Los correos electrónicos de phishing utilizan tácticas psicológicas, como la urgencia, el miedo y la autoridad, para manipular a los destinatarios y que estos actúen.
• Conocer las palabras y expresiones más habituales del phishing le ayudará a identificar más fácilmente los correos electrónicos sospechosos antes de responder a ellos.
• Los ciberdelincuentes utilizan diversas técnicas de phishing, entre las que se incluyen el spear phishing, el «business email compromise» (BEC) y las campañas masivas de phishing.
• Los empleados que reciben formación periódica sobre concienciación frente al phishing están mejor preparados para identificar y denunciar los intentos de phishing.
• La combinación de cursos periódicos de sensibilización en materia de seguridad con simulaciones de phishing ayuda a las organizaciones a reducir el riesgo cibernético derivado de factores humanos y a reforzar su resiliencia cibernética.

Cómo detectar los correos electrónicos de phishing: Una guía completa

En el mundo digital actual, saber detectar los correos electrónicos de phishing es esencial. Los ciberdelincuentes aprovechan cualquier oportunidad para engañar a las personas para que revelen información confidencial. Recientes campañas de phishing han tenido como objetivo a los militares ucranianos y sus familias, mientras que durante la pandemia del Covid-19, los estafadores inundaron al público con correos electrónicos de spam aprovechando el miedo y la incertidumbre generalizados. A pesar de las diferentes temáticas, la mayoría de las campañas de phishing se basan en palabras y frases comunes diseñadas para engañar a los destinatarios.

El lenguaje de los correos electrónicos de phishing y la «acción espontánea»

Los ataques de phishing se diseñan minuciosamente para manipular a los destinatarios y que estos realicen acciones concretas. El lenguaje utilizado en estos correos electrónicos suele provocar una respuesta emocional, aprovechando tácticas psicológicas que se valen del comportamiento humano. Por ejemplo, eslóganes históricos como«Keep Calm and Carry On»combinaban la tranquilidad con una llamada a la acción, un enfoque que imitan los ciberdelincuentes para generar urgencia o miedo en los correos electrónicos de phishing. Reconocer estas señales lingüísticas es fundamental para detectar las estafas.

Terminología clave del phishing

Comprender la terminología del phishing es vital para protegerse en Internet. Los tipos más comunes de ataques de phishing incluyen:

Spear-phishing: Correos electrónicos muy selectivos elaborados utilizando información sobre el destinatario. Estos correos suelen dirigirse a la persona por su nombre y apelan a su función o responsabilidades dentro de una organización, creando confianza y urgencia.

Campañas de phishing por correo electrónico: Correos electrónicos amplios y dirigidos masivamente cuyo objetivo es engañar a los usuarios para que compartan información personal, como contraseñas, números de tarjetas de crédito o números de teléfono. Los enlaces suelen redirigir a sitios web falsos para robar las credenciales.

Compromiso del correo electrónico empresarial (BEC): Ataques que suelen comenzar con correos electrónicos de spear-phishing y conducen a transferencias fraudulentas de fondos de la empresa a cuentas de ciberdelincuentes.

Palabras y temas comunes en los correos electrónicos de phishing

Organizaciones como el Anti-Phishing Working Group (APWG) supervisan las campañas de phishing en todo el mundo, analizando las líneas de asunto, las marcas falsificadas y los registros de dominios. Las investigaciones destacan que los correos electrónicos de phishing suelen basarse en la urgencia, el miedo o la autoridad para manipular a los destinatarios. Algunos ejemplos comunes son:

• • Urgencia: «La contraseña de su cuenta ha caducado. Actualícela ahora para mantener el acceso».
  • Miedo a perderse algo (FOMO): «¡No se pierda esta oferta única en la vida!»
  • Emoción: «Le hemos grabado mientras visitaba una página web…»
  • Autoridad: Correos electrónicos que aparecen procedentes de altos cargos solicitando acciones urgentes, a menudo utilizados en ataques BEC.

Ejemplos de palabras comunes en el phishing

Los correos electrónicos de phishing suelen contener palabras clave específicas en las líneas de asunto y en el contenido del cuerpo. Algunas de las más comunes incluyen:

Ejemplos de líneas de asunto:

• Urgente
• Verificación obligatoria
• Factura
• ¡Necesito ayuda urgente!
• Actividad sospechosa de Outlook
• ¡Importante! Su contraseña está a punto de caducar
• Acción requerida…
• Ejemplos de contenido corporal:
• «Se ha identificado una vulnerabilidad en [nombre de la aplicación]».
• «Para realizar la verificación, haga clic en el enlace [hipervínculo]».
• «Aquí tiene la nueva factura de las actividades de esta semana [pulse para acceder]».
• «[Mensaje de soporte técnico] Por favor, haga clic aquí para instalar la última [aplicación]».
• «Su cuenta de [nombre de la aplicación] ha sido bloqueada por motivos de seguridad, haga clic aquí para desbloquearla».

Aunque el contexto puede cambiar en función de la actualidad, el tono, la urgencia y las palabras clave se mantienen constantes.

Cómo protegerse

Formarse a sí mismo y a sus empleados sobre las tácticas de phishing es fundamental para defenderse de ellas. Comprender el lenguaje, los temas y las palabras habituales que se utilizan en los correos electrónicos de phishing le ayudará a identificar los mensajes fraudulentos antes de hacer clic en enlaces o descargar archivos adjuntos. El conocimiento es una defensa poderosa que ayuda a las personas a mantenerse alerta frente a las ciberamenazas.

El uso de herramientas como el software «Advanced Phishing Simulation» de MetaCompliance proporciona a los empleados una experiencia práctica y real mediante la simulación de ataques de phishing realistas en un entorno seguro. Solicite una demostración para descubrir cómo MetaCompliance ayuda a las organizaciones a reforzar la concienciación sobre el phishing, reducir el riesgo humano y desarrollar una cultura de seguridad más resiliente.