Una llamada puede abrir la puerta a sus cuentas

Una llamada puede bastar para perder el acceso al correo, a una cuenta bancaria o a los servicios digitales de una empresa. El delincuente no siempre pide una contraseña. En muchos casos busca que la víctima comparta un código de verificación o apruebe una notificación que llega a su celular.

La modalidad se conoce como vishing, una forma de suplantación por llamada telefónica. Quien está al otro lado se presenta como empleado de un banco, operador móvil, plataforma digital o área de sistemas. Advierte sobre un supuesto acceso sospechoso, una compra no autorizada o un bloqueo inminente y ofrece ayuda para “proteger” la cuenta.

El objetivo es conseguir información o una autorización que permita entrar a servicios digitales.

Esta semana, el tema volvió a la agenda tecnológica luego de que ShinyHunters, un grupo de ciberdelincuentes, afirmara haber accedido a información de empleados y antiguos trabajadores del Buró Federal de Investigaciones de Estados Unidos, FBI.

La entidad investiga una posible actividad no autorizada relacionada con FBIJobs.gov, su portal de empleo. El grupo divulgó muestras de datos que incluirían nombres, teléfonos, direcciones, fechas de nacimiento y contactos de emergencia de trabajadores y solicitantes.

La investigación continúa y el FBI no ha confirmado el alcance de la posible filtración. El caso evidencia que los ataques también aprovechan llamadas, correos y solicitudes de acceso que parecen legítimas.

No siempre buscan la contraseña

Durante años, la recomendación principal fue no compartir contraseñas. Sigue siendo válida, pero ya no es suficiente.

Muchas cuentas usan autenticación en dos pasos. Después de ingresar la contraseña, el sistema solicita un código enviado por mensaje de texto, correo electrónico o una aplicación autenticadora. Esa capa adicional puede perder efectividad si el usuario entrega el código a otra persona.

El atacante puede iniciar sesión con una clave obtenida en una filtración previa. Después llama a la víctima y afirma que necesita confirmar un código para bloquear un acceso. Si la persona entrega el número recibido, termina autorizando el ingreso del delincuente.

La misma estrategia puede incluir una notificación en el celular. El supuesto asesor pide aprobar un inicio de sesión, descargar una aplicación de soporte técnico o abrir un enlace que llega por WhatsApp, SMS o correo.

En algunos casos, el enlace lleva a una página falsa. En otros, dirige a una plataforma real de Google, Microsoft o una entidad financiera. El atacante inicia la solicitud y la víctima, engañada, completa el proceso.

Cómo reconocer la estafa

El fraude suele seguir una secuencia: alguien llama desde un número que parece corporativo, se presenta como asesor y utiliza información básica para generar confianza. Luego crea una urgencia y pide actuar sin verificar.

Estas son algunas señales de alerta:

• Una llamada inesperada que pide códigos de seguridad, contraseñas o datos de tarjetas.
• Una advertencia sobre bloqueo de cuenta, compra no reconocida o acceso extraño.
• Una solicitud para instalar aplicaciones de control remoto.
• Un enlace enviado por WhatsApp, SMS o correo durante la llamada.
• Una petición para aprobar una notificación de inicio de sesión no solicitada.
• Insistencia para no colgar ni contactar directamente a la empresa.

El número telefónico no confirma que la llamada sea real. Los delincuentes pueden alterar el identificador de llamadas para que aparezca el número de un banco, una empresa o una línea local.

Qué hacer

Si alguien llama para pedir un código o una clave, lo recomendable es terminar la llamada. Luego, contacte a la entidad por un canal confirmado: la aplicación oficial, su página web, el número incluido en un extracto bancario o un documento propio.

No devuelva llamadas al número que aparece en la pantalla ni use teléfonos enviados por mensaje durante la conversación.

Si ya entregó un código o aprobó un inicio de sesión, cambie la contraseña desde un dispositivo confiable, cierre las sesiones abiertas que no reconozca y revise las aplicaciones que tienen acceso a su correo o cuenta.

Las empresas también deben establecer una regla clara para clientes y empleados: sus áreas de soporte no deben pedir códigos de verificación por teléfono, correo o chat.

Si una llamada exige actuar de inmediato, pide compartir un código o evita que usted confirme la información con la entidad, trate la comunicación como un intento de estafa.