Cuando un usuario accede periódicamente a su cuenta de correo electrónico y no ha cambiado la contraseña ni ha actualizado la aplicación, pero aun así se le solicita introducir la contraseña, surge la pregunta de por qué esto ocurre. Aunque un usuario pueda enviar y recibir correos sin problema, el aviso de que se necesitan las credenciales para la cuenta puede generar confusión.
Posibles razones y primeros pasos
Ante la pregunta de qué hacer cuando aparece el aviso "se necesitan las credenciales" o "Ingrese las credenciales para la cuenta", es importante considerar varios factores.
Según el soporte técnico de Microsoft, en primer lugar, se debe verificar la autenticidad del mensaje. Es crucial no hacer clic en ningún enlace ni proporcionar credenciales si no se está seguro de la legitimidad de la solicitud.
Además, es recomendable asegurarse de que la aplicación de correo electrónico esté actualizada a la última versión. Si el mensaje proviene de una aplicación de confianza, un primer paso puede ser intentar volver a ingresar los datos de inicio de sesión manualmente.
Phishing: La amenaza detrás de la solicitud de credenciales
La preocupación principal cuando se solicitan credenciales de forma inesperada es la posibilidad de ser víctima de una campaña de phishing, también conocida como suplantación de identidad. Por medio del phishing, se busca engañar al usuario para que revele sus claves.
La empresa de ciberseguridad Eset advirtió sobre una campaña de phishing que intentaba obtener credenciales de acceso al correo Microsoft Outlook. A pesar de la sofisticación de estos engaños, existen algunas sutilezas que, si se les presta atención, permiten identificar que se trata de una estafa.
Características de los correos electrónicos fraudulentos
A diferencia de los correos legítimos enviados por servicios de correo electrónico, que usualmente indican que, si el usuario es quien ha realizado una actividad inusual, ignore el mensaje, los correos electrónicos fraudulentos tienen una particularidad. Solicitan al usuario comunicar la actividad, sea cual sea el caso, después de acceder a un enlace para revisar una supuesta actividad reciente, lo cual es un engaño. El falso correo notifica al usuario sobre un supuesto problema en el inicio de sesión de su cuenta.
Páginas de inicio de sesión falsas y sus engaños
En caso de que el usuario caiga en la trampa y acceda al enlace malicioso, es redirigido a una página que simula ser la de inicio de sesión en Microsoft Outlook. Esta página falsa a menudo cuenta con un certificado asociado a un dominio que utiliza técnicas de ataques homográficos, lo que le permite aparentar una dirección de Internet legítima. Incluso puede utilizar el protocolo seguro (HTTPS) y mostrar el candado de seguridad en el navegador.
Desde Eset, destacan que, aunque es importante revisar estos elementos en un sitio web, ya no son suficientes para corroborar si se trata de un sitio genuino o no. El falso sitio pedirá al usuario que ingrese sus credenciales de acceso para obtener los datos de la cuenta de la víctima.
Cómo identificar un sitio fraudulento
Existen indicios que permiten identificar que se trata de un sitio fraudulento, como:
- Una URL que sustituye puntos por guiones.
- Caracteres de sobra en la dirección.
- Errores en la interfaz o en el diseño.
Una vez que el sitio de phishing ha logrado obtener tanto la dirección de correo del usuario como la contraseña, la víctima es dirigida a una última etapa. En esta etapa, supuestamente, el navegador ha identificado que se trata de un sitio engañoso y lo ha bloqueado, aunque en realidad es otra página mostrada por el sitio falso. Una vez que los operadores detrás de esta campaña de phishing han obtenido la información sensible de los usuarios, el engaño termina.
Los ciberdelincuentes están haciendo uso de sitios cada vez mejor elaborados, lo que aumenta la efectividad de sus engaños.
Medidas de protección y qué hacer si ha caído en el engaño
Si se sospecha de un intento de phishing o, peor aún, se ha caído en el engaño, es crucial actuar rápidamente.
En caso de haber caído en el engaño, es conveniente:
- Actualizar las contraseñas comprometidas de inmediato.
- Habilitar medidas de seguridad adicionales, como el doble factor de autenticación (2FA) o la autenticación multifactor (MFA), en todas las cuentas que lo permitan.
Si no se ha realizado ninguna actividad con las cuentas que genere alertas de actividad inusual, como la utilizada en esta campaña maliciosa, la precaución es aún más importante.
Consejos para prevenir el phishing
- Nunca acceda a través del enlace de verificación en un correo electrónico sospechoso.
- En caso de duda, acceda a su cuenta desde el link habitual o escribiendo directamente la dirección del sitio en el navegador.
- Si realmente hay un problema con la cuenta, el usuario podrá verificarlo al entrar a su cuenta normalmente, no a través de enlaces externos.
- Tener siempre actualizado el sistema operativo y el antivirus.
¿Cómo detectar un correo de PHISHING? - Tip de ciberseguridad
Es importante recordar que, aunque el asunto y el cuerpo del mensaje de phishing pueden variar, todos suelen seguir una estructura común. Algunos incitan al usuario a acceder a un enlace malicioso para cambiar su contraseña o actualizar un servicio. Otros solicitan los datos directamente en el cuerpo del correo. Este tipo de campaña de phishing a menudo ofrece una justificación en el cuerpo del mensaje para que el usuario acceda al enlace indicado e introduzca sus credenciales. Por ejemplo, se puede informar al usuario de que se llevarán a cabo tareas de mantenimiento y actualización y que, de no verificar su cuenta, será eliminada.
¡ALERTA! NO INTRODUZCAS TUS CREDENCIALES si sospechas de la legitimidad de la solicitud. Si las envías, estas quedarán en manos de los ciberdelincuentes. ¡TAMPOCO RESPONDAS AL CORREO FRAUDULENTO!
tags: #porque #hotmail #pide #acreditar #credencial