Dominios falsos y phishing: cómo los cibercriminales te engañan con URLs falsas
Los dominios falsos y el phishing en banca online son hoy una de las amenazas más sofisticadas para nuestra seguridad digital. En el día a día, entrar en la web de nuestro banco para revisar un movimiento o buscar ayuda para una gestión parece una tarea mecánica y segura. Sin embargo, los cibercriminales ya no solo esperan a que cometamos un error accidental; ahora utilizan Inteligencia Artificial para colocar páginas web falsas justo donde solemos buscar acceso a nuestra entidad o asistencia para nuestras gestiones habituales. Esta sofisticación hace que la superficie de riesgo sea mayor, ya que las trampas se mimetizan perfectamente con los servicios en los que confiamos.
Typosquatting: dominios falsos casi idénticos a los reales
Una de las técnicas de phishing más efectivas es el typosquatting, que consiste en registrar nombres de dominios casi iguales a los reales para suplantar a bancos y empresas de confianza. Los cibercriminales se aprovechan de un proceso mental llamado efecto de mera exposición. Al estar tan acostumbrados a ver el nombre de nuestro banco, nuestro cerebro deja de analizar cada letra y simplemente rellena la información de forma automática. Así, nuestra mente prioriza el reconocimiento del patrón conocido sobre la precisión del texto, lo que nos impide detectar fallos sutiles en la URL que pueden exponernos al robo de credenciales.
Por ejemplo, es muy común que no percibamos letras cambiadas o faltantes en direcciones como acountalert.com, donde falta una letra c, o en auth-benk.com, donde se sustituye la vocal a por una e.
Del mismo modo, solemos pasar por alto las extensiones falsas. Mientras que nuestras entidades suelen utilizar las terminaciones habituales .com o .es, los cibercriminales registran versiones en .org, .net o .online, como sucede con el dominio engañoso loginlive.org. También es frecuente el uso de nombres excesivamente largos, como myaccount-protection.com, que buscan darnos una falsa sensación de calma mediante términos relacionados con la seguridad, cuando en realidad son la puerta de entrada al robo de nuestra identidad.
SEO Poisoning: páginas web falsas en los primeros resultados de Google
Ya no basta con sospechar de los correos extraños: el riesgo también se traslada a los propios buscadores mediante el SEO Poisoning. Los cibercriminales utilizan la Inteligencia Artificial para que sus webs falsas aparezcan entre los primeros resultados de búsqueda cuando buscamos el acceso a nuestra banca online o ayuda para un trámite. En estos casos, nuestro cerebro aplica un sesgo de autoridad, tendiendo a confiar por instinto en lo que aparece en las primeras posiciones. Sin embargo, estar arriba en Google no garantiza seguridad, y sitios como authentication-website.com pueden ser una trampa profesionalmente diseñada. Además, debemos desconfiar de los enlaces cortos como bi7ly.com o bit-ly.org, ya que ocultan el destino real de la web a la que vamos a entrar.
Cómo protegerte de los dominios falsos: hábitos clave de ciberseguridad
Para no caer en estas trampas de phishing con dominios falsos, podemos integrar pequeños hábitos en nuestra rutina que marcan la diferencia. El primer paso es teclear nosotros mismos la dirección oficial directamente en la barra del navegador, evitando así intermediarios o resultados de búsqueda que puedan estar manipulados. Asimismo, es fundamental que paremos ante la urgencia. Los mensajes que nos presionan para dar datos bajo la amenaza de un bloqueo de cuenta buscan activar nuestro sistema emocional para que dejemos de pensar con lógica.
Finalmente, debemos acostumbrarnos a verificar siempre la barra de direcciones antes de introducir cualquier clave o dato bancario. Si el nombre de dominio nos resulta extraño, es demasiado largo o incluye términos sospechosos como notification-authentication.com, lo más seguro es cerrar la pestaña de inmediato. Ante cualquier duda sobre la seguridad de una URL, accede directamente a la web oficial de tu banco desde marcadores de confianza. Dedicar unos segundos a revisar la dirección antes de clicar es la primera y más eficaz línea de defensa contra el phishing y los dominios falsos.
