LA RESPUESTA CORTA
Separe el afirmación del mensaje de su destino real. Si un mensaje inesperado le solicita que inicie sesión, pague o proporcione información de la cuenta, verifique la solicitud a través de una ruta en la que ya confíe antes de continuar.
1. Identifique lo que el mensaje quiere que haga
Una oferta, una actualización de entrega y una solicitud de soporte de cuenta pueden parecer similares a primera vista. Lea la acción solicitada: abrir un producto, iniciar sesión, descargar un archivo, proporcionar información o realizar un pago. La acción solicitada importa más que si el mensaje utiliza un logotipo familiar.
La FTC describe los mensajes de phishing que utilizan problemas de cuenta, problemas de pago u ofertas atractivas como motivo para hacer clic. Esas son razones para verificar, no pruebas de que cada mensaje sobre un problema o cupón sea falso. Este artículo proporciona una rutina de verificación; no clasifica a un remitente o sitio web en particular.
Referencia: FTC: reconocer y evitar el phishing
2. Lea la dirección real, no solo la etiqueta.
Las palabras que se muestran en un enlace pueden diferir del destino. Cuando su navegador o aplicación de correo lo permita, inspeccione o copie el enlace sin seguirlo. Lea atentamente el nombre de host completo en lugar de reconocer una palabra familiar en algún lugar de la dirección. Si un enlace acortado oculta el destino, déjelo sin verificar hasta que pueda establecer adónde va.
El siguiente ejemplo ficticio utiliza direcciones .example reservadas y deliberadamente no se puede hacer clic en ellas. La palabra oficial en una ruta o subdominio es sólo texto elegido por quien controla esa dirección. Un candado o una conexión HTTPS describe la conexión; no establece de forma independiente que la empresa es con la que usted pretendía contactar.
| dirección ilustrativa | Lo que realmente muestra el texto |
|---|---|
| shop.example/help | Nombre de host: shop.example; ruta: /help |
| shop.example.other.example/login | El nombre de host pertenece a other.example |
| other.example/official-shop | El nombre familiar aparece sólo en el camino. |
| Una URL acortada desconocida | El destino final no está establecido aquí. |
Referencia: RFC 2606: nombres DNS reservados de nivel superior · Ayuda de Google Chrome: comprobar una conexión
3. Utiliza una ruta de contacto independiente del mensaje
Si la solicitud se relaciona con una cuenta que usa, regrese a través de un marcador guardado, la aplicación que usa normalmente o una dirección que ya estableció de forma independiente. Abra el área de cuenta correspondiente o comuníquese con el soporte allí. No utilice el mismo mensaje inesperado tanto para el afirmación como para la prueba de que es genuino.
La FTC recomienda comprobar la solicitud usando datos de contacto que sabes que son auténticos, en lugar de los incluidos en el mensaje. La pregunta práctica es: ¿la solicitud también aparece en la cuenta o puede explicarla el soporte contactado por un canal independiente? Deja la solicitud sin resolver si no puedes establecer esa conexión.
Referencia: FTC: reconocer y evitar el phishing
4. Resuelva la solicitud antes de realizar una acción sensible
Evite ingresar credenciales o información de cuenta simplemente para ver qué hace a continuación una página desconocida. Una solicitud que necesita verificación puede esperar mientras utiliza la ruta independiente. No envíe contraseñas, códigos de inicio de sesión únicos o códigos de recuperación a alguien que diga ser soporte en un chat.
Si un proceso de cuenta genuino requiere información, utilice el flujo de cuenta verificada y lea exactamente lo que se solicita. Un autor en un foro público no puede aprobar esa solicitud basándose en una captura de pantalla recortada. Puede describir el problema general públicamente sin publicar registros de cuentas privadas.
5. Registra lo que verificaste y lo que permanece abierto.
Mantenga una breve nota privada de la fecha del mensaje, el propósito reclamado, el destino inspeccionado y la verificación independiente que realizó. El resultado puede ser confirmado, inconsistente o aún desconocido. Desconocido es un resultado útil: significa que no has establecido lo suficiente para continuar a través de ese enlace.
Si ya divulgó información, utilice el proceso de seguridad de la cuenta del servicio real y el proveedor adecuado para la información involucrada. La referencia de la FTC incluye los siguientes pasos generales después de una sospecha de phishing. Este sitio web no puede inspeccionar su cuenta ni confirmar la autenticidad de un mensaje, y no necesita sus datos privados para explicar la rutina.
Referencia: FTC: reconocer y evitar el phishing
Tu lista de verificación
- Identifique la acción que solicita el mensaje.
- Inspeccione el nombre de host real y el destino cuando sea posible.
- Verificar a través de una ruta independiente del mensaje.
- Mantenga las credenciales y los códigos de recuperación fuera de los chats de soporte.
- Registre los detalles confirmados y deje abiertas las solicitudes sin resolver.
Preguntas comunes
¿HTTPS prueba que un sitio es el servicio oficial?
No. Una conexión cifrada y la identidad de la empresa son cuestiones diferentes. Verifique el destino de forma independiente.
¿Es sospechoso cada enlace de referencia o cupón?
No. Consulta su destino y contexto. Este artículo no etiqueta todos los enlaces promocionales como fraudulentos.
¿Puedo enviar a este sitio web una captura de pantalla de mi cuenta privada para su verificación?
Este sitio web no proporciona verificación de cuenta. Utilice la ruta de soporte verificada independientemente del servicio para una solicitud específica de la cuenta.
Fuentes y alcance
Este artículo editorial original utiliza las referencias siguientes como contexto. Los listados guardados y los ejemplos hipotéticos se identifican en el texto. No describe una compra o prueba de uso realizada por este sitio web.
- FTC: reconocer y evitar el phishing
Orientación general para comprobar de forma independiente mensajes inesperados. No determina si un mensaje, dominio o remitente Oopbuy en particular es genuino.
- RFC 2606: nombres DNS reservados de nivel superior
Reserva .example para ejemplos de documentación. Las direcciones ilustrativas en esta página son texto sin formato y no son destinos de servicios.
- Ayuda de Google Chrome: comprobar una conexión
Explica las conexiones seguras y recomienda verificar el nombre del sitio incluso cuando la conexión sea segura.