⚠ AVISO — TRADUCCIÓN SIN VALIDAR
Traducido por IA, aún no revisado por un hablante nativo. No lo imprima ni distribuya todavía.
¿Habla español? Una hora de su tiempo basta para revisarlo. Escriba a [email protected]
(NOTICE — unvalidated AI translation, not reviewed by a native speaker. Please do not print or distribute this yet.)
«Hay un problema con su cuenta»
Es la estafa que más denuncian los estadounidenses mayores de 60 años. No es la más costosa, pero sí la que llega con más frecuencia y con más disfraces.
Cómo llega
Un mensaje de texto, un correo electrónico o un mensaje de voz sobre un problema:
- Un cargo que usted no hizo. Responda SÍ o NO
- Su cuenta está bloqueada o suspendida
- Su contraseña está por vencer
- Un pago falló y le van a cortar el servicio
- No se pudo entregar su paquete
- Un peaje sin pagar
- Verifique sus datos para no perder sus beneficios
- Su antivirus se renovó por 499 dólares. Llame para cancelar
Se hacen pasar por quien usted probablemente tenga: Amazon, su banco, Netflix, el correo, Apple, Medicare, Microsoft, la compañía de la luz, PayPal.
Qué quieren
Una de tres cosas, y cualquiera de ellas les sirve:
- Su contraseña, mediante un enlace a una página de acceso falsa que se ve perfecta
- Su código de verificación, los seis dígitos que le manda su banco
- Que usted los llame, lo cual se convierte en una de las estafas más grandes de este sitio
Esa tercera versión es la que más está creciendo, y la más astuta. No hay ningún enlace que examinar ni ningún sitio falso que detectar. Solo un número de teléfono y una historia. Los consejos de seguridad que solo hablan de «no haga clic en enlaces» no le sirven de nada aquí.
Las formas que adopta
La misma estafa, distintos vehículos. Cada forma tiene su propia manera de parecer inofensiva.
El correo falso de «verifique su cuenta»
El más antiguo y todavía el más común. Un mensaje idéntico al de una empresa que usted usa, con un botón que dice Verificar, Confirmar, Revisar o Actualizar. El botón lleva a una copia de la página de acceso real. Usted escribe su contraseña en la copia, y la copia es de ellos.
La copia suele ser perfecta. Los logotipos, la tipografía, el texto del pie y hasta el pequeño enlace para darse de baja están sacados de un correo auténtico. Que una página se vea bien no prueba nada. Verse bien es justamente el producto.
El mensaje de texto
Lo mismo, más corto y más difícil de examinar, porque la pantalla del teléfono esconde casi toda la dirección. El paquete, el peaje y el retiro del mercado son los tres que más va a recibir, y tienen su propia página (en inglés).
El remitente falsificado
El nombre que usted ve no es la dirección de donde vino. Los programas de correo muestran un nombre amable, y quien envía el mensaje elige ese nombre. «Alerta de Fraude de Chase» puede estar encima de una dirección como [email protected].
En el teléfono esto importa más, porque el nombre amable suele ser lo único que le muestran. Tocar el nombre del remitente es lo que revela la dirección de abajo, y casi nadie lo toca.
El enlace frente al archivo adjunto
Un enlace lo lleva a usted a otro sitio. Un archivo adjunto le trae algo a usted. Se usan los dos, y el adjunto es el que la gente espera menos.
Llega como una factura, un recibo, un fax, un mensaje de voz, una etiqueta de envío o una notificación judicial, en formato PDF, en un documento de Word o en un archivo ZIP. Algunos adjuntos simplemente llevan el mismo enlace falso por dentro, lo cual les permite pasar los filtros que solo revisan enlaces. Otros le piden habilitar la edición o habilitar el contenido al abrirlos, y ese segundo clic es el que instala algo.
Usted no pidió una factura que no estaba esperando. Un documento que llega de la nada recibe el mismo trato que un enlace: déjelo cerrado, comuníquese con la empresa por su propia vía y pregunte si le enviaron algo.
El código QR
Más nuevo, y funciona porque un cuadrado de puntos no le da nada que leer. No hay ninguna dirección que mirar con atención, así que no hay nada raro que notar.
Aparecen como calcomanías pegadas encima del código real de un parquímetro o de una estación de carga, impresos en volantes y en avisos falsos de corte de servicios, y dentro de correos como una imagen, lo cual les permite pasar los programas que solo revisan enlaces.
Su teléfono casi siempre le muestra la dirección antes de abrir nada. Lea esa dirección antes de tocar Abrir. Si no es la empresa que usted esperaba, ciérrela. Y un código que llega en un mensaje que usted no pidió es simplemente un enlace en un mensaje que usted no pidió. No lo use.
La alerta de «¿fue usted?»
La más astuta de todas, porque toma prestada la forma del mensaje que se supone que lo protege.
«Alerta de seguridad: se accedió a su cuenta desde un dispositivo nuevo en Dallas, TX. Si no fue usted, asegure su cuenta aquí.»
No ha pasado nada. No hubo ningún acceso. La alarma es la carnada, y «No, no fui yo» es el botón que ellos esperan, porque lleva a una página de acceso que es de ellos.
El mismo truco llega como un cambio de contraseña que usted nunca pidió, y como un aviso de verificación en su teléfono que sigue sonando hasta que usted lo aprueba solo para que pare.
Nunca apruebe un aviso que usted no inició. Un cambio de contraseña que usted no pidió no es una tarea, es un aviso. Ignore el mensaje, entre a la cuenta como entra siempre y mire usted mismo.
Las señales
Cada una de estas es motivo para ir más despacio y mirar. Ninguna es una prueba, en ningún sentido. Un mensaje con tres de estas señales puede ser igualmente su banco en una mala mañana, y un mensaje sin ninguna puede ser igualmente una estafa. Una señal sirve para ir a comprobar por su cuenta. Nunca es un veredicto, y nunca es motivo para sentirse tonto por haber creído algo bien hecho.
El enlace está mal, y lo que está mal es pequeño. Real: chase.com. Falso: chase-secure-alerts.com, chase.verify-account.net, chasebank-support.co.
Mejor regla todavía: no examine los enlaces. No se vuelva bueno detectando falsificaciones. Simplemente no use ninguno. Escriba usted la dirección, o use su propio marcador, o la aplicación de su banco.
El saludo es genérico. «Estimado cliente», «Estimado titular». Su banco sabe su nombre.
Urgencia con fecha límite. 24 horas. De inmediato. O se cierra su cuenta.
Errores pequeños. Gramática rara, un espacio extraño antes de un signo de puntuación, un logotipo de un color ligeramente distinto. Ojo: los buenos ya no tienen ninguno de estos. La inteligencia artificial ya escribe sin errores. La ausencia de errores no prueba nada.
El único camino está dentro del mensaje. Todas las vías que le ofrece, el botón y el número y el código y el archivo adjunto, viven dentro del propio mensaje. A las empresas de verdad les parece bien que usted las contacte por su propia vía. Un mensaje que necesita que usted se quede dentro de él le está diciendo algo.
Llegó de la nada. Usted no esperaba ningún paquete. Usted no maneja por esa autopista de peaje. Usted no tiene esa suscripción. Aunque a veces sí: mandan miles y algunos caen bien.
Cómo mirar sin tocar nada
Usted no necesita esta parte. La regla de más abajo resuelve todos los casos sin examinar nada. Pero a la gente le gusta mirar, y mirar es seguro mientras usted nunca toque.
En la computadora, pase el cursor por encima. Deje el puntero sobre el enlace sin hacer clic. La dirección real aparece en la esquina inferior de la ventana, o en un recuadro pequeño junto al puntero.
En el teléfono, mantenga el dedo apretado. Sostenga el dedo sobre el enlace un segundo en lugar de tocarlo. Se abre un panel con la dirección completa, con una opción de Copiar y una de Cancelar. Léala y luego Cancelar.
Para ver el remitente real, toque o haga clic en el nombre del remitente. El nombre amable se abre y muestra la dirección verdadera de abajo.
Lea una dirección de derecha a izquierda, no al revés. Busque la primera barra sola. Las dos palabras inmediatamente antes de ella son el dueño de la página, y nada más lo es:
- chase.com/login es Chase
- secure.chase.com/alerts es Chase
- chase.secure-login.net/verify es secure-login.net, no Chase
- chase-com.info/account es chase-com.info, no Chase
Todo lo que está a la izquierda de esas dos palabras puede decir absolutamente cualquier cosa. Ese es todo el truco, y por eso las falsificaciones se leen tan bien.
Ahora guarde todo eso. Saber examinar un enlace es un truco de fiesta. No usar ninguno es una defensa. Los que caen no son los que no habrían podido darse cuenta. Son los que estaban cansados, ocupados o con prisa, y le dedicaron un segundo en vez de cinco.
Qué hacer
Nunca use el enlace. Nunca use el número del mensaje.
En cambio:
- Abra la aplicación de su banco, o escriba la dirección que ya conoce
- Llame al número que está al reverso de su tarjeta
- Entre como entra siempre
Si la alerta es real, va a estar esperándolo dentro de su cuenta. Si no hay nada ahí, no había nada.
Nunca le lea un código de verificación a nadie. Su banco se lo manda para dejar afuera a los demás. Nadie legítimo le va a pedir jamás que lo diga en voz alta ni que lo escriba en un chat. Quien se lo pide está parado en la puerta de su banco tratando de que usted le entregue la llave.
No responda STOP a un mensaje de estafa. Confirma que una persona real lee ese número. Bórrelo, o repórtelo reenviándolo al 7726 (SPAM), gratis en todas las compañías de Estados Unidos.
Los tres pasos, aplicados a un mensaje
Este sitio tiene un solo método, y aquí funciona exactamente igual que en una llamada telefónica.
Busque el dato usted mismo.
No el enlace. No el número del mensaje. No la dirección de la firma. Abra la aplicación que ya tiene, o escriba la dirección que ya conoce, o use el número del reverso de su tarjeta.
Comuníquese usted mismo con la empresa.
Cierre primero el mensaje, después comuníquese por su propia vía y pregunte con claridad: «Me llegó un mensaje que dice que hay un problema con mi cuenta. ¿Me lo mandaron ustedes?» Si la alerta es real, va a estar esperándolo dentro de su cuenta. Si no hay nada ahí, no había nada.
Espere un día.
Casi nada dentro de una cuenta real necesita respuesta esta noche. Un bloqueo por fraude de verdad, una factura vencida de verdad y un retiro del mercado de verdad sobreviven todos a una noche de sueño. La fecha límite del mensaje es la única parte que es falsa con seguridad.
El mensaje quiere que los tres pasos ocurran dentro del mensaje: su enlace, su número, su reloj. Sacar cualquiera de los tres hacia afuera basta para terminarlo.
Si hizo clic y escribió su contraseña
- Cambie esa contraseña de inmediato, en el sitio real, escrito por usted
- Si usa esa contraseña en algún otro lado, cámbiela ahí también. Ese es el daño de verdad. Una contraseña repetida abre toda una vida.
- Cambie primero la contraseña de su correo electrónico si era la misma
- Active la verificación en dos pasos donde se la ofrezcan
- Revise sus estados de cuenta durante tres meses
Usted no está en problemas. Escribió algo en una casilla. Millones de personas lo hacen cada año, incluidas personas que trabajan en seguridad informática.
Si abrió un archivo adjunto
Abrir el archivo casi nunca es el momento del daño. El daño viene de lo que le pidió hacer después.
- Si lo abrió, lo cerró y no pasó nada más, lo más probable es que esté bien. Bórrelo.
- Si habilitó la edición, habilitó el contenido, permitió una descarga o se instaló un programa, pase un análisis con el antivirus que ya tiene en la computadora y pídale a alguien de confianza que lo revise.
- Si escribió una contraseña para poder ver el documento, trátelo igual que la sección anterior. Cambie esa contraseña y cámbiela en todos los lugares donde la repitió.
El cambio que hace que esto deje de importar
Repetir la misma contraseña en todas partes es la razón por la que una contraseña robada se convierte en diez cuentas robadas. Un administrador de contraseñas lo arregla para siempre: inventa una contraseña distinta y más difícil para cada sitio y las recuerda todas, así usted solo tiene que recordar una.
Lo más probable es que ya tenga uno, gratis, dentro de un aparato que ya es suyo. Apple («Contraseñas» en el iPhone y en la Mac), Google («Administrador de contraseñas» en Chrome y Android) y Microsoft (en Windows y Edge) incluyen uno. No hace falta comprar ni instalar nada. Pídale a alguien de confianza que le ayude a activarlo y a mudar ahí sus contraseñas más importantes, primero el correo y el banco.
El hábito que acaba con toda esta categoría
Nunca use un enlace ni un número que le llegó a usted. Comuníquese con la empresa por su propia vía, siempre, sin excepción.
Eso no es estar en guardia y no le exige examinar nada. Es un hábito, y una vez que lo tiene, toda esta categoría de estafa simplemente deja de funcionarle: la versión de hoy y todas las que inventen después.
Relacionado: Los tres pasos · Todas las páginas en inglés