Capítulo 21: Correo electrónico fraudulento: El enlace que contiene una trampa

Nuestra bandeja de entrada de correo electrónico hace tiempo que dejó de ser solo para el "correo". Es el archivo de nuestras vidas, la caja fuerte de nuestros secretos profesionales y la puerta a través de la cual nos comunicamos con el banco, las autoridades fiscales, el fondo de salud y el empleador. Si el SMS que analizamos en el capítulo anterior es un golpe fuerte y repentino en la puerta, el correo electrónico de phishing es un magnífico caballo de Troya, uno que parece haber sido solicitado por nosotros, diseñado cuidadosamente, que utiliza un lenguaje que nos resulta familiar y se dirige a nosotros por nuestro nombre. No solo pide entrar; nos convence de invitarlo a pasar y entregarle las llaves.

Mientras que el problema de los SMS se basa a menudo en una urgencia breve y directa, un correo electrónico falso sabe aprovechar su amplio "espacio" visual. Presenta logotipos oficiales, firmas de funcionarios, enlaces que parecen legítimos y documentos adjuntos que despiertan curiosidad o ansiedad. En este capítulo analizaremos el mecanismo psicológico y tecnológico del enlace malicioso, comprenderemos la arquitectura de los sitios de phishing y examinaremos el complejo análisis legal sobre la pregunta: ¿quién asume la responsabilidad cuando es el cliente quien apretó el gatillo digital?

El siguiente escenario es un ejemplo educativo basado en patrones de estafa comunes. Los personajes y eventos son solo para fines ilustrativos.

Ingeniería social en la bandeja de entrada: la historia de Erez

Eran las 21:30 de un martes. Erez, un arquitecto independiente, estaba sentado en su oficina. En la pantalla tenía abiertos los planos de un nuevo proyecto residencial, pero sus ojos ya estaban cansados. El sonido familiar de una alerta de nuevo correo electrónico activó una pequeña notificación en la esquina de la pantalla. El título era: "Microsoft Security Team – Suspicious activity detected on your account".

Erez, cuyo mundo profesional entero está respaldado en la nube –desde contratos con contratistas hasta planos de ingeniería sensibles–, sintió cómo se aceleraba su pulso. Abrió el mensaje. El correo se veía extremadamente profesional. El logotipo familiar, los colores asociados con la marca y la redacción formal: "Estimado Erez, se ha detectado un inicio de sesión en su cuenta desde un dispositivo desconocido. Por razones de seguridad, su cuenta ha sido limitada temporalmente. Debe verificar su identidad en poco tiempo para evitar el bloqueo y la eliminación de datos".

En la parte inferior del correo aparecía un botón destacado: "Review Recent Activity".

Erez no lo pensó dos veces. La presión por la posibilidad de que todos sus archivos fueran borrados superó cualquier sentido crítico. Hizo clic en el botón. El navegador se abrió y lo llevó a un sitio que se veía exactamente como la página de inicio de sesión habitual. La dirección en la barra de direcciones era muy similar a la original, algo que parecía lo suficientemente legítimo para unos ojos cansados a altas horas de la noche.

Erez ingresó su dirección de correo electrónico y su contraseña. Un momento después, el sitio le solicitó un código de verificación que fue enviado a su teléfono. "Excelente", pensó, "la seguridad funciona". El código llegó por SMS, Erez lo ingresó en el sitio y recibió un mensaje: "La cuenta ha sido verificada con éxito, gracias". Suspiró aliviado y regresó a su trabajo.

En la práctica, en este escenario, un atacante utilizó tecnología que copia en tiempo real los detalles ingresados y los transfiere al servidor real. Cuando se ingresó el código de autenticación de dos factores (MFA), el atacante pudo usarlo para ingresar a la cuenta real, cambiar los detalles de recuperación y acceder a toda la bandeja de entrada, incluidos documentos confidenciales.

El descubrimiento en un escenario como este sucede a menudo solo en retrospectiva, cuando se bloquea el acceso a la cuenta o cuando se reciben alertas sobre transacciones financieras no autorizadas. El acceso al correo otorga al atacante acceso a otros servicios mediante la opción de "recuperación de contraseña" enviada al correo que ahora está bajo su control.

La anatomía de la trampa: ¿por qué caemos?

Historias como estas no indican una falta de entendimiento, sino una ingeniería social precisa. Las estafas por correo electrónico tienen éxito debido a tres componentes clave: autoridad, urgencia y familiaridad.

1. Autoridad falsa (Spoofing)

Los atacantes utilizan técnicas de "suplantación de la dirección del remitente". Aunque el correo parece provenir de una dirección oficial de una institución conocida, un examen técnico profundo de los encabezados del correo (Headers) podría revelar un origen completamente diferente. Para el usuario promedio, la línea del remitente se percibe como confiable, y los atacantes aprovechan esto.

2. Urgencia ficticia (The ticking clock)

"Su cuenta será bloqueada", "El paquete será devuelto", "Última oportunidad". El objetivo es mover al usuario de un estado de pensamiento analítico a un estado de respuesta emocional basada en la presión. Cuando el cerebro está bajo presión, busca la solución más rápida, y a veces esta solución parece ser el enlace ofrecido en el mensaje.

3. "Jardín de enlaces"

El enlace es el corazón de la estafa. Puede conducir a dos tipos de trampas:

• Página de aterrizaje engañosa: un sitio que parece idéntico al sitio del banco o de la compañía de seguros, cuyo objetivo es la recopilación de nombres de usuario y contraseñas.
• Descarga maliciosa (Drive-by Download): el simple hecho de hacer clic en el enlace o abrir un archivo adjunto podría instalar software malicioso que permita el rastreo de las pulsaciones del teclado o el control del dispositivo.

El aspecto legal: la responsabilidad del banco frente a la "negligencia" del cliente

En casos en los que un cliente solicita la cancelación de cargos o una indemnización tras una estafa de este tipo, el argumento común por parte de las instituciones financieras es que el cliente actuó de manera consciente al proporcionar sus detalles y, por lo tanto, se trata de una transacción autorizada que no requiere reembolso.

En este punto se requiere un análisis legal de la Ley de Servicios de Pago, 2019. La ley está destinada a proteger al consumidor en casos de "uso indebido" de un medio de pago, definido como el uso por parte de alguien que no tiene derecho a hacerlo.

Sin embargo, las entidades financieras a veces se basan en el argumento de "negligencia grave". Según la ley, si el cliente actuó con intención fraudulenta o entregó el medio de pago en circunstancias de negligencia grave, su responsabilidad podría ser total. La cuestión legal central debatida es si hacer clic en un enlace de phishing sofisticado equivale a "negligencia grave".

Existe una posición profesional que sostiene que la respuesta no es automática. En un mundo donde las estafas de phishing se han vuelto sumamente sofisticadas, no siempre se puede esperar que la persona promedio las distinga. Se puede examinar si la institución financiera implementó sistemas de monitoreo destinados a identificar actividades inusuales, ya que es posible que tenga responsabilidad en casos en los que estos sistemas fallaron.

El deber de cuidado de la entidad bancaria

En términos generales, se puede decir que el sistema bancario tiene un deber de cuidado hacia sus clientes. El análisis legal de estos deberes sugiere que se requiere que el banco actúe como un guardián. En casos en los que se permite una operación inusual sin la debida identificación o sin advertencia, se puede evaluar el grado de responsabilidad de la entidad que administra los fondos, incluso si el origen inicial fue un clic en un correo electrónico malicioso.

El círculo que se expande: no solo dinero, sino identidad

Las estafas por correo electrónico no terminan solo en un daño financiero directo. El acceso a la correspondencia permite llevar a cabo estafas de tipo BEC (Business Email Compromise), en las que se envían mensajes en nombre del usuario a terceros, como clientes, con solicitudes de cambio de datos de cuenta para pagos.

En estos casos, la cuestión legal se vuelve compleja y toca la distribución de la responsabilidad entre las partes que fueron víctimas de la estafa. Los tribunales pueden verse obligados a decidir sobre cuestiones de negligencia contributiva y división de daños entre partes inocentes.

Además, el objetivo a veces es la "recolección de identidades" (Identity Harvesting). Obtener documentos de identificación de la bandeja de entrada permite a los delincuentes realizar diversas acciones en nombre de la víctima, lo que podría conducir a daños duraderos más allá del robo financiero inmediato.

Señales de advertencia: ¿cómo identificar la trampa antes de hacer clic?

A pesar de la sofisticación, se pueden identificar señales sospechosas en muchos correos electrónicos:

• El dominio del remitente: se recomienda examinar la dirección de correo electrónico completa y no solo el nombre mostrado. Una dirección que no coincide exactamente con el dominio oficial de la empresa es una señal de advertencia significativa.
• Direccionamiento general: las instituciones oficiales tienden a dirigirse por nombre completo. Un saludo general como "Estimado cliente" debería despertar sospechas.
• Verificación del enlace (Hover): pasar el ratón sobre un enlace (sin hacer clic) permite ver la dirección de destino real. Si la dirección parece sospechosa o no está relacionada con la empresa, no se debe hacer clic en ella.
• Lenguaje y sintaxis: errores gramaticales, redacciones poco naturales o el uso inusual de signos de puntuación pueden indicar una estafa.
• Solicitud de detalles sensibles: las entidades financieras no suelen solicitar contraseñas o detalles completos de tarjetas de crédito a través de enlaces dentro de mensajes de correo electrónico.

¿Qué hacer inmediatamente si ha hecho clic en un enlace sospechoso?

En caso de sospecha de haber caído en una trampa, una acción rápida podría minimizar los daños:

1. Desconexión de la comunicación: en caso de descarga de un archivo, desconectar el dispositivo de Internet podría evitar una mayor filtración de información.
2. Cambio de contraseñas: realizar un cambio de contraseñas inmediatamente desde otro dispositivo que no haya estado expuesto a la estafa.
3. Control de medios de pago: comunicarse con las compañías de crédito y los bancos para congelar o cancelar los medios de pago que pudieran haber quedado expuestos.
4. Documentación: guardar el correo electrónico falso, la dirección del remitente y los enlaces como pruebas potenciales para un procedimiento legal futuro.
5. Denuncia: contactar al Conjunto Cibernético Nacional y presentar una denuncia ante la Policía de Israel.

Aspecto legal: el camino para la recuperación de fondos

A lo largo de sus años de trabajo profesional, los abogados que se ocupan del campo se han encontrado con diversos casos de víctimas de estafas. Se pueden explorar opciones legales para la recuperación de fondos, y la probabilidad de éxito depende de las circunstancias específicas de cada caso. En el marco del examen de una demanda contra una entidad financiera, es habitual centrarse en varios aspectos:

• Nivel de sofisticación de la estafa: examen de si se trata de técnicas avanzadas que incluso una persona razonable tendría dificultades para distinguir.
• Comportamiento de la entidad financiera: si se llevaron a cabo acciones de monitoreo suficientes y si hubo señales sospechosas que deberían haber llevado a detener la actividad por parte del banco.
• Cumplimiento de las obligaciones de notificación: examen de la rapidez con la que el cliente informó del incidente, ya que la notificación inmediata es una condición significativa para ejercer los derechos según la ley.

La mejor defensa es adoptar la regla de que no se deben ingresar a cuentas sensibles a través de enlaces enviados por correo electrónico. El acceso proactivo a través del sitio web oficial o la aplicación es la forma más segura de verificar la veracidad de los mensajes y mantener la seguridad de la información y los fondos.