Los famosos cuatro dígitos.

"Este mes, tenemos una serie de ofertas para que disfrute unas grandiosas vacaciones en compañía de su familia". Este tipo de correos casi seguro los han recibido de parte de su banco preferido. Claro que para que uno sepa que son "auténticos", nos personalizan el correo incluyendo los últimos tres o cuatro dígitos de nuestra tarjeta de crédito o débito que tenemos con ese banco en particular.

 

¿Qué pasa si alguien recibe un mensaje que en lugar de usar los últimos cuatro dígitos de la tarjeta, usa los primeros cuatro dígitos? "Estimado usuario de la banca en línea con número de inicio en su tarjeta 4555, usted ha ganado un concurso este mes de abril, siga la liga adjunta para hacerse acreedor a un juego de …". ¿Realmente la gente sospecharía de algo? ¿Cuántos usuarios darían click en este tipo de mensajes que como tiene los primeros números de su tarjeta, es por definición válido?

Pequeño detalle: los primeros cuatro dígitos de las tarjetas de crédito o de débito inician en un país o región por lo general con números idénticos, por lo que 4555 será el inicio de miles de tarjetas por ejemplo aquí en México.

 

El problema del phising radica principalmente  en que el banco manda correos válidos a sus usuarios. Punto. Si los usuarios reciben correos válidos de su banco entonces aceptará este tipo o vía de comunicación como válida. Esto es todo lo que el phising necesita. Por lo tanto es "natural" obtener un mensaje diciendo que nuestra cuenta tiene un problema y que debemos hacer click en un link para solucionarlo. La peor idea es haber iniciado el envío de correos válidos con ofertas y otro tipo de mensajes porque ahora los usuarios están acostumbrados a recibir correos y por lo tanto podremos intentar engañarlos.

 

En el mundo físico, la gente estaba acostumbrada a que cuando recibían correspondencia con los logotipos y formatos del banco o de la empresa "X", debía de ser realmente de esa institución. Pero en el mundo electrónico, que un correo tenga un logotipo, colores, lenguaje y formato de una institución no quiere decir que realmente lo manda quien dice ser.

 

Consejo: jamás dar click en ninguna liga incluida en un  correo de bancos o instituciones similares y leer estos correos en formato simple (plain text). ¿Aunque sean válidos? Sí, aunque sean válidos para jamás equivocarse.