CÓMO SABER si esa WEB o SERVICIO que estás visitando es FALSA o LEGÍTIMA

Seguro que en más de una ocasión te ha pasado.

Ves un anuncio sugerente en una red social. Uno como puede ser ese tipo de anuncios sobre juegos móviles a los que le dediqué no hace mucho un episodio del podcast, y que son, básicamente, una estafa encubierta.

El caso es que clicas, y una vez dentro de esa nueva web, no puedes confirmar si estás ante un servicio legítimo o no.

Y ojo, que parte de la culpa de que esto ocurra… la tenemos los expertos en ciberseguridad.

Sí, tal cual y como lo oyes.

Hace años, los que nos dedicábamos a la concienciación, solíamos recomendar fijarnos en algo tan simple como si la web tenía «el candadito» en la URL.

Es decir, si tenía un certificado SSL activo.

¿La razón?

Pues porque, antiguamente, y como ya expliqué largo y tendido hace tiempo, para firmar una página web con un SSL, era necesario pasar por una certificadora de confianza que validaba la legitimidad de la web.

Esto sigue ocurriendo, ojo, pero hoy en día, con el auge de las conexiones cifradas y la aparición de certificaciones gratuitas como Let’s Encrypt, esta medida ya no es un indicador fiable de que una web sea legítima.

En este episodio del podcast enCLAVE DIGITAL vamos a explicar, por tanto, y de una vez por todas, todo este jaleo, dando respuesta a preguntas tales como:

• ¿Cómo podemos saber si una página web es falsa o auténtica?
• ¿Qué señales debemos buscar para evitar caer en una estafa online?
• ¿Y qué herramientas pueden ayudarnos a verificar la seguridad de un sitio web?

¡Empecemos!

Pero antes, déjame decirte que del próximo 22 al 25 de mayo vamos a celebrar uno de los mayores eventos de ciberseguridad y transformación digital de habla hispana, y que para colmo, es un evento gratuito, y se celebrará en el Hotel Evenia Zoraida de Roquetas de Mar, en Almería, un complejo hotelero a primera línea de playa con todo incluído.

Hablo de la CanallaCon, un evento apadrinado por Cosas de Hackers, el otro podcast, este colaborativo, en el que colaboro junto con Nickie y Ávalos, y con el apoyo de varios patrocinadores corporativos, y del patrocinio institucional del Ayuntamiento de Roquetas de Mar.

¿La agenda?

Pues la tienes en la web, pero básicamente van a estar los mejores del sector. Que si Chema Alonso, que si Ofelia Tejerina, que si Rafa López (más conocido como Cibercapitán), que si María Aperador... Vamos, la crème de la crème.

Dos días de charlas para todos los públicos en un entorno distendido, y un tercer día de talleres y networking. Todo en un espacio que, como te decía, es paradisíaco, para que tengas la excusa de hacer una escapada de fin de semana y encima desvirtualizar a todos esos cracks que llevas años siguiendo por redes.

Si te interesa, ya sabes: Apúntate ahora desde el enlace de la descripción (ES), o desde el código QR que acompañará este vídeo.

Y ahora sí, ¡continuemos!

El «problema» del candado SSL

El SSL (Secure Sockets Layer, por sus siglas), como te decía, solía ser un buen indicativo de que una web era segura y legítima, ya que, por detrás, para poder firmar la página y que esta cargase con HTTPs, y no solo con HTTP, los administradores de páginas webs necesitábamos contratar los servicios de una certificadora que, valga la redundancia, certificaba tanto la privacidad de la conexión como la autenticidad del sitio.

¿Alguna vez se les ha colado alguna página «trucha» a una certificadora?

Pues sí. Pero había un control previo. Al menos, había una medida de moderación que limitaba mucho que esto ocurrierese.

Sin embargo, con la llegada de soluciones gratuitas como Let’s Encrypt, y la obligación, a día de hoy, de que toda web cargue por SSL (si no carga por SSL, la mayoría de navegadores ni tan siquiera te dejan entrar en la página, mostrándote una pantalla de página potencialmente peligrosa, y olvídate además de aparecer en los buscadores, ya que este es desde hace unos años uno de los criterios básicos para poder posicionar una URL), pues obtener un certificado SSL es algo que cualquier persona puede hacer.

Incluidos, por supuesto, los ciberdelincuentes.

Hoy en día, por tanto, prácticamente cualquier web tiene HTTPS, incluyendo aquellas usadas en campañas de phishing.

La presencia del «candadito» solo nos informa, por tanto, que la conexión entre nuestro dispositivo y el servidor es privada, pero no que la web sea legítima.

Y aquí se junta otro hecho que me parece importante señalar.

• Esa «ese» de HTTPs viene de la palabra inglesa «Secure», que en español traducimos como «seguridad».
• El problema es que los anglosajones tienen otra palabra que nosotros también traducimos como seguridad: «Security».

Y claro, aunque ambos conceptos en español son el mismo, en inglés no es así.

Por tanto, ha hecho mucho daño que durante años los expertos dijéramos eso de «Si una página tiene un candadito, es que es una página segura», cuando realmente teníamos que haber dicho que «si una página tiene un candadito, la página es privada, pero no podemos saber, solo con ello, si es segura, y actualmente ni tan siquiera si es la web legítima».

Es decir, que perfectamente puedes estar entrando en una supuesta página de la Agencia Tributaria como la que expliqué en un post hace ya unos meses, y compartiendo tus datos (eso sí, cifrados de punto a punto, y por tanto, de una manera muy privada) con unos cibercriminales.

Esto comentaba en su día al respecto:

La web en cuestión se parece a la de la Agencia Tributaria, pero es aquí donde el fraude cojea, ya que, que yo sepa, hoy en día no hay manera de acceder a trámites administrativos mediante usuario y contraseña.

O bien lo haces mediante certificado digital, bien mediante Cl@ve, o PIN Permanente. Sistemas que difícilmente veo cómo pueden robárnoslos los cibercriminales.

Ver para creer…

La dificultad de verificar URLs en dispositivos móviles

Otro problema al que nos enfrentamos actualmente a la hora de saber si una web es o no la legítima es que, en dispositivos móviles, es aún más difícil comprobar la autenticidad de una URL.

¿Que por qué?

Pues esto se debe a dos razones principales:

• Los navegadores modernos ocultan parte de la URL. En la mayoría de los móviles, solo se muestra una porción del enlace, lo que dificulta ver el dominio completo, y con ello, detectar posibles engaños.
• Los enlaces desde redes sociales o anuncios suelen abrirse en navegadores embebidos. No sé si te has fijado alguna vez, pero cuando haces clic en un enlace desde Instagram, Facebook u otra red social, lo normal es que esa página se abra en un navegador interno de la propia aplicación, que ni siquiera muestra la URL… porque no tiene interfaz alguna. No puedes crear nuevas pestañas ni, en este caso, revisar cómodamente que la URL es la que corresponde al servicio legítimo donde esperas estar entrando.

Estos dos puntos hacen, como te podrás imaginar, que sea mucho más fácil caer en trampas desde un dispositivo móvil.

Y claro, teniendo en cuenta que cada vez usamos más los dispositivos móviles, la cosa se complica.

Escucha:

Ahora [en 2021], la cuota de tráfico móvil es superior al 54%, superando a los ordenadores de sobremesa como dispositivo más utilizado para acceder a Internet.

Informe sobre uso de dispositivos móviles frente a dispositivos de escritorio publicada en 2021 por Kinsta (ES)

Fíjate que hablamos de 2021. Actualmente los porcentajes son cada vez más extremos.

Señales de que una web puede ser falsa

Echas las presentaciones, vamos por tanto al tema importante de este episodio.

¿Cómo podemos saber si una web es o no legítima?

Pues, para evitar caer en potenciales estafas, debemos fijarnos en algunos detalles clave que pueden indicarnos si una web es legítima o no.

A saber:

• 1- El dominio: Los estafadores suelen usar nombres de dominio similares a los originales, pero con pequeñas variaciones. Por ejemplo, en lugar de «amazon.com», pueden usar «amaz0n.com» o «amazon-support.com». Ya te digo que en móviles quizás sea algo más incómodo de revisar, pero ya sea haciendo scroll hacia abajo o hacia arriba, ya sea pinchando en la barra de búsqueda, siempre existe una opción para echarle un ojo. Y es, en esencia, la mejor herramienta que tenemos para evitar ser víctima de un fraude.
• 2- Errores ortográficos y gramaticales: Muchas webs fraudulentas, además, tienen textos mal traducidos o con errores evidentes. Esto es cierto que cada vez lo vamos a ver menos, sobre todo con el auge de los sistemas de inteligencia artificial, y es que los chatbots conversacionales ya hacen un trabajo muy bueno no solo traduciendo a otros idiomas, sino algo mucho más importante, que es localizando los textos al idioma elegido. Pero bueno, todavía puede ser un factor de alerta a considerar.
• 3- Falta de información de contacto: Las páginas legítimas suelen incluir datos de contacto claros, mientras que las falsas suelen ocultar esta información o proporcionar datos falsos. No hay nada mejor, de hecho, que ante la duda, busquemos en Google o nuestro buscador de preferencia el nombre de la web que queremos visitar + opiniones, o el nombre + fraude, para ver qué dice Internet sobre esa página.
• 4- Demasiadas ofertas o promociones irreales: Si una web ofrece productos o servicios a precios demasiado bajos, es una señal de alerta. Y si no, pregúntale a mi pareja, cuando la estafaron con la supuesta compra de una impresora para tela que estaba tirada de precio, y que le salió como publicidad en una red social… Mucho ojo con todos estos fraudes…
• Y 5- Presión para actuar rápido: Muchas estafas intentan que tomes decisiones apresuradas, como «solo quedan 5 unidades» o «oferta válida por 10 minutos». Los típicos ganchos para que tomemos decisiones sin pensar, y que en la mayoría de los casos, nos van a llevar a tomar decisiones equivocadas. Esto, por cierto, aplica tanto para fraudes, como para cualquier oferta, sea o no real :D.

Y junto a estas recomendaciones, afortunadamente, existen también herramientas que pueden ayudarnos a identificar si una página es legítima o no.

Por ejemplo:

• 1- Verificadores de URL: Servicios como VirusTotal, una empresa española comprada hace años por Google, permiten analizar un enlace antes de hacer clic en él. De verdad que es una pasada lo bien que funciona. Y además es gratuita.
• 2- Desacortadores de enlaces: Si recibes un enlace acortado (como bit.ly o tinyurl), puedes usar servicios como checkshorturl.com para ver el destino final antes de abrirlo. Otra manera inteligente de evitar ser víctima de un fraude, ya que no es raro que muchas de estas campañas de fraude utilicen redireccionadores para complicar a los sistemas automáticos de reconocimiento de fraudes el que los identifiquen como tal. Lo pasas por una de estas herramientas, y ves en pequeñito la web real, sin que todavía haya cargado en tu dispositivo, además de su dirección final, pudiendo darte cuenta entonces si se trata del dominio correcto o no.
• 3- Sistemas anti-phishing: La mayoría de los antivirus modernos incluyen funciones para detectar sitios sospechosos. No son 100% eficaces (nada lo es en esta vida), pero oye, sí son capaces de identificar buena parte de las campañas que, eso sí, ya tienen que ser conocidas, por lo que si no quieres complicarte, puedes apostar por alguno de esos antivirus comerciales que hay en el mercado para que hagan el trabajo sucio por ti.
• Y, por último, la 4- Extensiones de seguridad para navegadores: Al igual que los antivirus, hay complementos como HTTPS Everywhere o Netcraft que pueden ayudarnos a identificar amenazas mientras navegamos. Lo instalas una vez, y generalmente te olvidas, ya que de llegar a una página reconocida ya en algún listado como fraudulenta, te avisarán, evitando, de paso, que puedas entrar en ella.

Conclusiones

Como has podido ver, identificar si una página web es falsa o legítima es cada vez más difícil, pero no imposible.

Conocer los riesgos, prestar atención a los detalles y utilizar herramientas de verificación puede ayudarnos a evitar caer en trampas online.

En tu mano está…

Y ahora, preguntas para ti:

1. ¿Alguna vez has caído en una web fraudulenta sin darte cuenta? ¿Cómo lo descubriste?
2. ¿Qué medidas sueles tomar para asegurarte de que una web es legítima antes de introducir tus datos?
3. Y por último: ¿Crees que los navegadores deberían mostrar siempre la URL completa para evitar fraudes?

Déjame saber tu opinión en comentarios, y abramos debate.

Sobre el videopodcast enCLAVE DIGITAL

enCLAVE DIGITAL es el videopodcast de Pablo F. Iglesias, consultor especializado en ayudar a referentes a blindar su reputación, diversificar y escalar su autoridad como marca.

Me puedes leer y escuchar en www.pabloyglesias.com (recuerda que la primera Y de «Yglesias» es «Y griega», que si no me confundís con otro), y me puedes escribir a contacto(at)pabloyglesias.com.

Si este contenido te sirve para estar bien informado sobre la actualidad en materia de negocios digitales, reputación y tecnología, te agradecería que le dieras a suscribirte en mi canal de Youtube o en la plataforma de podcasting desde donde me escuchas, le des a Me Gusta, al botón de hype de Youtube, me dejes un comentario o reseña y lo compartas con aquellos a los que les pueda interesar.

¡Seguimos!

Si utilizas otra plataforma de podcasting, busca «enCLAVE DIGITAL« en la app para localizarlo, o visita la página del videopodcast, donde ofrezco enlaces directos a las principales plataformas actuales: