El spoofing es una forma de fraude en la que un delincuente se hace pasar por un remitente de confianza: un número de teléfono conocido, la dirección de correo electrónico de tu banco o una página web que se parece a la original. El objetivo es casi siempre el mismo: ganarse tu confianza para que facilites tus datos o realices una transferencia de dinero. Para un consumidor, se trata de una molesta llamada falsa. Para una organización, la situación es diferente: el spoofing es una de las técnicas mediante las cuales una identidad falsa se cuela a través de un proceso de control o de incorporación.
En resumen
- El «spoofing» consiste en falsificar el remitente (número, dirección de correo electrónico, página web) para inspirar confianza.
- Se presenta en muchas formas: teléfono, correo electrónico, SMS, página web/DNS y GPS.
- El «spoofing» es el engaño. El «phishing» es el ataque que suele producirse a continuación.
- Lo reconocerás por detalles que no cuadran del todo, la presión del tiempo y una solicitud de datos o dinero.
- Para las empresas, el verdadero riesgo es que una identidad falsificada supere el proceso de verificación.
- La verificación sólida de la identidad y la detección de vida reducen ese riesgo.
Índice
- ¿Qué es el spoofing?
- ¿Qué tipos de suplantación de identidad existen?
- Spoofing frente a phishing: ¿cuál es la diferencia?
- La suplantación de identidad como fraude de identidad
- ¿Cómo se reconoce el spoofing?
- ¿Cómo se evita el spoofing?
- ¿Cómo? Ayuda de DataChecker
¿Qué es el spoofing?
La palabra «spoofing» proviene del inglés falsificar: suplantar, engañar. La esencia es siempre la misma: un atacante falsifica un rasgo identificativo de un remitente. Puede tratarse de un número de teléfono, una dirección de correo electrónico, un dominio web o incluso una señal de ubicación.
Lo que lo hace peligroso es que se aprovecha de la confianza. Ves el nombre de tu banco en la pantalla, o un número de móvil que parece correcto, y te dejas llevar por la conversación. La técnica que hay detrás suele ser sencilla. El daño se produce al dar por hecho que el remitente es quien dice ser.
¿Qué tipos de suplantación de identidad existen?
El «spoofing» es un término genérico. Estas son las formas más habituales que se dan en la práctica:
- Suplantación de identidad del número de teléfono o del identificador de llamadas. La persona que llama falsifica el número que aparece en tu pantalla, a menudo el de un banco, una administración pública o un número de móvil real.
- Suplantación de identidad en el correo electrónico. La dirección del remitente parece pertenecer a una entidad de confianza, aunque el correo electrónico procede de un atacante. A menudo es el preludio de un intento de phishing o de fraude en las facturas.
- Suplantación de identidad en SMS. Aparece un mensaje en una cadena de mensajes ya existente, por ejemplo, de un banco o una empresa de mensajería, debido a que se ha falsificado el nombre del remitente.
- Suplantación de sitios web o de DNS. Acabarás en una página web falsa que se parece a la original, con el fin de obtener tus datos de acceso o de pago.
- Falsificación de la señal del GPS. La señal de localización de un dispositivo se falsifica. Esto ocurre, entre otras cosas, en casos de fraude relacionado con servicios basados en la localización.
Cinco tipos de suplantación de identidad
Teléfono / identificador de llamadas
Falsificado: el número que aparece en tu pantalla
Correo electrónico
Falsificada: la dirección del remitente
SMS
Falsificado: el nombre del remitente
Página web / DNS
Falsificado: la dirección web
GPS
Falsificado: la señal de ubicación
La forma varía, pero el principio es el mismo: se imita una característica reconocible.
En resumen: La forma varía, pero el principio es el mismo. Siempre se imita un rasgo reconocible para que el destinatario confíe en el remitente.
Spoofing frente a phishing: ¿cuál es la diferencia?
Ambos términos se suelen utilizar indistintamente, pero no significan lo mismo. El «spoofing» es el disfraz: la suplantación del remitente. El phishing es el ataque: la obtención efectiva de datos o dinero.
En la práctica, ambas técnicas se complementan. Un correo de phishing resulta más convincente si la dirección del remitente es falsa. Una llamada fraudulenta funciona mejor si la conversación conduce a una pregunta de phishing («confirme su código PIN»). La suplantación de identidad hace que la mentira resulte creíble. El phishing saca partido de ella.
Spoofing frente a phishing
El disfraz
Suplantación de identidad
Falsificar los datos del remitente: número, dirección de correo electrónico o página web. Hace que la mentira resulte creíble.
El ataque
Phishing
El hecho de conseguir realmente datos o dinero. Hace que la mentira dé sus frutos.
El spoofing y el phishing están relacionados: el engaño hace que el ataque resulte más convincente.
El spoofing como fraude de identidad: por qué afecta a las organizaciones
Para un particular, el spoofing suele limitarse a una llamada falsa o un correo electrónico sospechoso. Para las organizaciones, el riesgo es mayor. Y es que el spoofing es una técnica que permite hacerse pasar por otra persona. Y ahí es precisamente donde empieza el fraude de identidad.
Piensa en un candidato o un nuevo empleado que se incorpora a distancia. O en un cliente que abre una cuenta de forma digital. Si un atacante consigue introducir una dirección de correo electrónico falsificada, un documento manipulado o una identidad falsa, el riesgo no es la llamada telefónica incómoda. El riesgo es que esa identidad falsa sea aceptada por tu proceso de verificación e incorporación aparece y solo se nota mucho más tarde.
Por eso, la suplantación de identidad no es solo una cuestión de seguridad, sino también de verificación.
¿Cómo se reconoce el spoofing?
El spoofing rara vez se detecta por una sola señal clara. Se nota en los detalles que no cuadran del todo:
- El nombre del remitente es correcto, pero la dirección de correo electrónico o el dominio difieren ligeramente.
- De forma inesperada, se te solicitan datos, códigos o un pago.
- Hay prisa («su cuenta se bloqueará hoy»).
- El tono o el estilo de redacción no se ajusta a la organización.
- Un número conocido llama para hablar de algo de lo que esa persona nunca suele hablar.
¿Tienes dudas? Rompe el contacto y ponte en contacto tú mismo a través de un canal oficial que busques por tu cuenta. No utilices el número ni el enlace que aparece en el mensaje.
Consejo: Un banco o una entidad pública de verdad nunca te pedirá por teléfono tu código PIN, tu código de acceso completo ni que transfieras dinero a una «cuenta segura». Si esto ocurre, da por hecho que se trata de un caso de suplantación de identidad.
¿Cómo se evita el spoofing?
Para los consumidores, lo más importante es: no caigas en la trampa de la urgencia, no hagas clic en enlaces de mensajes inesperados, no devuelvas la llamada al número que aparece en el mensaje y denuncia los casos sospechosos. Es así de sencillo y así de difícil, porque la presión en ese momento es real.
Para las organizaciones, la solución se sitúa en otro nivel. La suplantación de identidad en el correo electrónico se puede limitar mediante tecnologías como SPF, DKIM y DMARC, que permiten a los servidores de correo receptores comprobar si un correo procede realmente de tu dominio. Sin embargo, estas medidas no cubren el riesgo más grave: una identidad falsificada que se cuela a través de un proceso de registro o de incorporación.
En este sentido, resulta útil una verificación de identidad rigurosa. Comprobar las características de autenticidad de un documento de identidad válido, vincular el documento a la persona que lo presenta y, con verificación biométrica y la detección de vida permiten determinar que se trata de una persona real y viva, y no de una foto, un vídeo o una máscara. De este modo, resulta mucho más difícil hacer pasar una identidad falsificada o robada por el control.
¿Cómo? Ayuda de DataChecker
DataChecker ayuda a las organizaciones a verificar que una persona es quien dice ser. Estafa Verificación de identidad Se comprueba la autenticidad de los documentos de identidad y se verifican que correspondan a la persona que los presenta, con el apoyo de datos biométricos y la detección de vida. Esto cierra la puerta a quienes intentan cometer suplantación de identidad y fraude de identidad: colarse bajo una identidad falsa.
De esta forma, reduces la probabilidad de que una identidad falsa supere tu proceso de incorporación o registro, sin que los usuarios legítimos tengan que enfrentarse a obstáculos adicionales.
Preguntas frecuentes sobre el spoofing.
¿Es delito el spoofing?
Sí, la suplantación de identidad puede constituir varios delitos, como la estafa y el fraude de identidad. La calificación exacta depende de lo que ocurra con la identidad suplantada y del perjuicio que se produzca.
¿Qué debo hacer si mi número de móvil se utiliza para suplantar la identidad?
No puedes recuperar tu número por tu cuenta, pero sí puedes darlo de baja. A menudo, el abuso cesa por sí solo con el paso del tiempo, ya que los atacantes utilizan números diferentes cada vez. Denúncialo al Fraudehelpdesk y avisa a las personas de tu entorno.
¿Dónde puedo denunciar un caso de suplantación de identidad?
Si recibes llamadas, correos electrónicos o mensajes sospechosos, denúncialos al Fraudehelpdesk; si sufres pérdidas económicas, presenta una denuncia ante la policía. Denunciar ayuda a identificar patrones y a alertar a los demás.
¿Cuál es la diferencia entre el spoofing y el hacking?
En el caso del «hacking», alguien se introduce en un sistema; en el caso del «spoofing», solo se falsifica el remitente. Para llevar a cabo el spoofing no es necesario acceder a tu dispositivo ni a tu cuenta, lo que lo convierte en una técnica de fácil ejecución y de amplia aplicación.
¿Qué es la suplantación de identidad en el correo electrónico y cómo puedes proteger a tu empresa contra ella?
La suplantación de identidad en el correo electrónico consiste en falsificar la dirección del remitente de un correo electrónico. Gracias a los estándares SPF, DKIM y DMARC, los servidores receptores pueden comprobar si un correo procede realmente de tu dominio, lo que limita el uso indebido de tu nombre de dominio.
¿Se puede utilizar el spoofing para eludir la verificación de identidad?
Puede que sea un intento en ese sentido, pero la autenticación fuerte tiene precisamente como objetivo impedirlo. La verificación de documentos, la biometría y la detección de vida real dificultan que se pueda pasar el control con una identidad falsificada o robada.
¿Cómo se reconoce un correo electrónico falso?
Presta atención a las direcciones de remitente o dominios que presenten pequeñas diferencias, a las solicitudes inesperadas y a la presión por el tiempo. En caso de duda: no hagas clic en ningún sitio y ponte en contacto con el supuesto remitente a través de un canal oficial.
