No caigas en la trampa: Los secretos oscuros del Black Friday que los compradores deben conocer antes de hacer clic

El Black Friday, que tendrá lugar el viernes 29 de noviembre, se aproxima y marca el inicio de la temporada de compras navideñas. Un gran número de ofertas y promociones captan la atención de los cibercompradores, quienes, según las estadísticas del Observatorio Cetelem, tienen previsto gastar un promedio de 280€.

Durante esta campaña, se espera que un 70% de los españoles realicen compras, lo que representa un incremento del 20% en comparación con el año anterior. El canal más utilizado para estas adquisiciones será Internet, lo que nos obliga a estar más vigilantes ante posibles ciberestafas. Esto se debe a que una gran parte de los ataques cibernéticos ocurre a través de la ingeniería social, técnica que consiste en engañar a las personas haciéndose pasar por alguien más con el fin de obtener información privada o dinero.

De acuerdo con Jorge Martínez, profesor de ciberseguridad en el Grado en ‘Ingeniería del software’ en el Centro Universitario U-tad, "en momentos clave como el Black Friday y el Cyber Monday, debemos extremar las precauciones porque está comprobado que este tipo de ciberdelitos de ingeniería social aumentan considerablemente". Es fundamental reflexionar, comparar y verificar antes de realizar una compra, así como también, es muy importante hacerlo antes de hacer clic en cualquier enlace. Este especialista ha creado una lista que detalla algunos de los ciberataques más comunes que utilizan los ciberdelincuentes durante estas fechas, junto con consejos sobre cómo identificarlos y qué acciones tomar si se recibe alguno de estos ataques.

Los ciberatacantes están creando tiendas online fraudulentas, un fenómeno conocido como typosquatting. Durante esta época en la que el comercio online alcanza su máximo apogeo, los cibercriminales desarrollan aplicaciones o sitios web falsos. Estos pueden ser tanto tiendas ficticias como réplicas de franquicias ya establecidas. Aprovechándose de errores tipográficos comunes que suelen cometer los usuarios al escribir, logran engañarlos para que proporcionen sus datos personales o bancarios.

Un ejemplo claro de esto es la compra del dominio www.mediamarket.es, en lugar del legítimo www.mediamarkt.es. Los atacantes imitan con gran precisión los elementos visuales del sitio auténtico, lo que impide que las víctimas sospechen y facilita así el fraude. Para evitar caer en estas trampas, es aconsejable verificar siempre la legitimidad de la tienda. Esto se puede hacer buscando información en Google y, si se trata de una marca reconocida, es crucial revisar cómo y desde dónde hemos recibido la información, además de validarla en Internet.

A menudo, los hackers envían mensajes SMS que redirigen a las personas hacia estas aplicaciones fraudulentas. También es fundamental recordar que nunca se debe proporcionar el número de tarjeta ni ingresarlo en aplicaciones desconocidas.

Una de las técnicas más antiguas y sencillas que utilizan los ciberdelincuentes es el phishing, en la cual se hacen pasar por otra entidad o remitente. Este tipo de ataque busca engañar a un usuario haciéndose pasar por una persona, empresa o servicio que genere confianza, como podría ser un banco, una franquicia comercial, cualquier compañía de servicios o incluso un familiar.

Los estafadores elaboran correos electrónicos falsos que parecen creíbles y que exigen una acción inmediata por parte del receptor. Además, estos mensajes suelen incluir un enlace a una página web fraudulenta creada por el propio atacante, con el fin de recopilar todos los datos que los usuarios ingresen. Por lo general, este tipo de ciberataque se distribuye masivamente a través del correo electrónico, esperando que alguien caiga en la trampa.

Para evitar ser víctima de este engaño, se aconseja acceder al servicio directamente mediante el navegador, sin hacer clic en ningún enlace incluido en mensajes, independientemente de si parecen legítimos o no.

Duplicados de tarjeta SIM (Sim swapping): después de llevar a cabo un robo de identidad utilizando alguno de los métodos mencionados previamente, el atacante se presenta como la víctima para solicitar un duplicado de su tarjeta SIM. Para obtener esta tarjeta, en muchas ocasiones basta con realizar una llamada a la compañía telefónica, proporcionando el DNI y el nombre completo. Una vez que el atacante logra apoderarse de la tarjeta SIM de la víctima, tiene la capacidad de hacerse pasar por ella en diversos servicios. Es importante recordar que es habitual que los servicios en línea que requieren identificación pidan una confirmación a través de un SMS. Por lo tanto, se debe tener precaución con los mensajes de confirmación que contienen un código de seguridad. Si este mensaje no fue solicitado por nosotros, no se tratará de un error; será necesario contactar a la compañía telefónica para cancelar el duplicado de la tarjeta.

Una llamada falsa y ‘supuestamente urgente’ (conocida como vishing) es un tipo de ciberataque relativamente nuevo. Este ataque consiste en recibir una llamada telefónica en la que los delincuentes se hacen pasar por alguna empresa, similar a las que mencionamos anteriormente, con el objetivo de obtener información confidencial. Por ejemplo, los atacantes suelen utilizar motivos como el bloqueo de tarjetas de crédito o la notificación de paquetes pendientes para captar la atención de sus víctimas.

Lo más alarmante de esta estafa es que, al tratarse de una llamada telefónica, la víctima tiende a ponerse más nerviosa y puede terminar revelando más información de la que debería. Por lo tanto, si recibimos una llamada de un banco o cualquier otra compañía solicitando datos personales, independientemente de cuán urgente parezca el trámite, lo más prudente es colgar. Es fundamental no proporcionar ninguna información y, en su lugar, contactar directamente al servicio de atención al cliente para verificar la situación.

Además, ha surgido un nuevo tipo de engaño donde el usuario recibe una llamada y, al responder con un “sí”, se activa una grabación que informa sobre la formalización de un servicio con un costo determinado. Esto provoca que el usuario, asustado, devuelva la llamada al número indicado. En ese momento, le piden ciertos datos para cancelar este servicio (que podría ser un paquete premium o algo similar), pero en realidad están robando su información personal.

La recomendación en estos casos es clara: nunca devolver la llamada a ningún número “misterioso” y siempre comunicarse directamente con la empresa que supuestamente está siendo suplantada para confirmar que no hemos contratado ningún servicio no deseado.

Recibimos mensajes de texto inesperados que contienen enlaces indeseados, lo que se conoce como smishing. Esta técnica de ingeniería social es similar al phishing, pero en lugar de recibir un correo electrónico, nos llega un SMS. Uno de los ejemplos más recientes detectados consiste en un mensaje que informa sobre un cargo fraudulento en nuestra cuenta y menciona que nuestra tarjeta ha sido bloqueada. Para resolver la situación, se nos solicita hacer “click” en un enlace que conduce a una página web falsa.

Otro caso reciente involucra un SMS engañoso que dice: “mamá, mi teléfono se ha estropeado, este es mi nuevo número”. En este mensaje, supuestamente nuestro hijo nos comunica que su móvil está dañado y que está enviando el mensaje desde el dispositivo de un amigo. Posteriormente, intentará solicitarnos dinero.

Nunca debemos caer en las trampas de este tipo de estafas. Lo primero que hay que hacer es bloquear al remitente. Si hemos realizado algún pago, es fundamental contactar con nuestra entidad bancaria lo antes posible. En caso de haber proporcionado los datos de nuestra tarjeta de crédito, debemos notificar rápidamente a nuestro banco para que procedan a cancelarla.