Montar una falsificación convincente no cuesta nada. Los logotipos, las tipografías, la maquetación e incluso el candado de la barra de direcciones se copian en una tarde. Lo único que un atacante no puede copiar es el nombre de dominio, y por eso toda comprobación fiable acaba volviendo a leer bien la URL.
Las suscripciones para adultos atraen este ataque por un motivo concreto: es poco probable que la víctima llame al servicio de atención al cliente, reenvíe el correo a un compañero o haga ruido después. La discreción es la palanca. Reconocer que la vergüenza forma parte del diseño del ataque ya es en sí una defensa.
¿Cómo se lee correctamente una URL?
Se lee de derecha a izquierda, no al revés. El dominio que importa es la etiqueta que aparece justo antes del dominio de primer nivel.
Todo lo que quede a la izquierda de eso lo elige libremente quien controla el dominio, incluidas palabras que suenan tranquilizadoras:
| URL tal y como se muestra | Dominio registrado | Veredicto |
|---|---|---|
account.example.com/billing |
example.com |
Pertenece a example.com |
example.com.billing-secure.xyz |
billing-secure.xyz |
Dominio del atacante |
example-billing.com |
example-billing.com |
Un dominio completamente distinto |
examp1e.com |
examp1e.com |
Homoglifo: el dígito uno en lugar de la letra l |
example.com@evil.tld/pay |
evil.tld |
Todo lo anterior a @ se ignora |
Dos trampas más. Los dominios internacionalizados pueden mostrar caracteres
cirílicos o griegos visualmente idénticos a los latinos; los navegadores suelen
representarlos como punycode xn--, así que una barra de direcciones que
muestre xn-- en una marca conocida es una falsificación segura. Y en el móvil
la barra de direcciones se trunca: tócala para desplegar la URL completa antes
de juzgar nada.
¿Dónde debería estar realmente el formulario de la tarjeta?
En una página a la que no has llegado por tu cuenta, no debería estar en ninguna parte.
La mayoría de los comercios legítimos no quieren tocar el número de tu tarjeta, porque manejarlo directamente les impone una carga de cumplimiento mucho más pesada. O bien te redirigen al dominio de la propia pasarela de pago, o bien incrustan los campos de la tarjeta en un iframe servido por la pasarela. En cualquiera de los dos casos, el número se introduce en la página de la pasarela, no en la del comercio.
Las comprobaciones prácticas:
- ¿Lo has iniciado tú? Una página de facturación a la que has llegado pulsando un enlace de un correo no es lo mismo que una a la que has llegado escribiendo la dirección del sitio e iniciando sesión. Solo la segunda es verificable.
- ¿El sitio ya tiene tu tarjeta? A los suscriptores existentes casi nunca se les pide teclear otra vez el número completo. «Vuelve a confirmar tus datos de pago» es uno de los indicios aislados más fuertes de una falsificación.
- ¿El formulario pide más de lo que necesita un pago? Número de tarjeta, caducidad, CVC y código postal son un pago. Añadir fecha de nacimiento, número de documento, contraseña de la cuenta, apellido materno o una foto de la tarjeta es recolección de credenciales.
- ¿Se repite la petición del CVC? Un flujo genuino lo pide una vez.
¿Qué señales separan una falsificación de una página de facturación real?
Compara con lo que hace la versión legítima, en lugar de buscar fallos: las falsificaciones modernas tienen muy pocos.
| Señal | Página de phishing | Página legítima |
|---|---|---|
| Cómo has llegado | Enlace en un correo, un mensaje directo o un anuncio | Escribiste la dirección e iniciaste sesión |
| Dominio | Parecido, con guiones o sin relación | El dominio registrado del propio sitio |
| Tono | Plazo, amenaza de suspensión, «último aviso» | Neutro, sin cuenta atrás |
| Datos que pide | Tarjeta más contraseña más documentos de identidad | Solo los campos de la tarjeta |
| Introducción de la tarjeta | Campos alojados en la misma página | Dominio o iframe de la pasarela |
| Vía de contacto | Teléfono o enlace de chat en la propia página | Vía de contacto dentro de tu cuenta con sesión iniciada |
| Estado de sesión | Te pide iniciar sesión otra vez para «verificar» | Ya tienes la sesión iniciada |
| Idioma | Pequeñas erratas gramaticales, moneda inconsistente | Coherente con el resto del sitio |
¿Y los correos que dicen tener grabaciones tuyas?
Trata el correo de sextorsión como spam con una amenaza incorporada. La versión estándar cita una contraseña que reconoces —sacada de una lista de filtraciones antigua, no de tu dispositivo— y afirma tener grabaciones de la cámara web.
La pista es que esos mensajes nunca incluyen el material, porque no existe. Incluyen una contraseña, un plazo y una dirección de monedero. Si un atacante real tuviera grabaciones auténticas, el primer mensaje incluiría un fotograma.
La respuesta correcta es no pagar nada, no responder nada y cambiar la contraseña citada en cualquier cuenta que siga usándola. Pagar te identifica como alguien que paga y produce sin falta una segunda exigencia.
¿Y si ya has introducido tus datos?
Aquí el orden importa más que la velocidad, aunque ambas cosas ayudan.
| Paso | Por qué va donde va |
|---|---|
| 1. Llama al emisor de tu tarjeta al número que figura en la tarjeta | Bloquear el número detiene la pérdida; nunca uses un número sacado de la página o el correo sospechosos |
| 2. Cambia en el sitio real la contraseña que introdujiste | Da por hecho que las credenciales quedaron capturadas en el momento de enviarlas |
| 3. Cambia esa contraseña en cualquier otro sitio donde la reutilizaras | El relleno de credenciales contra otros servicios llega en cuestión de horas |
| 4. Cierra todas las sesiones de la cuenta real | En algunas plataformas un token de sesión robado sobrevive a un cambio de contraseña |
| 5. Revisa las opciones de recuperación de la cuenta | Los atacantes añaden un correo o un teléfono de recuperación para conservar el acceso |
| 6. Repasa los extractos en busca de cargos de prueba pequeños | El sondeo de la tarjeta precede al cargo real |
Una omisión deliberada: no respondas instalando una herramienta «de seguridad» que recomiende la página o el correo. Esa es una segunda fase reconocida del mismo ataque, y convierte un problema de tarjeta en un problema de dispositivo.