El correo que cita su web: cómo usan los estafadores lo que usted publica

Hace un tiempo llegó al buzón de ShieldWave un correo de una empresa que quería vendernos un proyecto de IA. El remitente decía haber leído nuestra web y ofrecía una «cita» de ella. La cita empezaba así: «Stop motion My sites Overview Sites Reports». Son etiquetas de la maqueta del panel que aparece en nuestra página de inicio: el botón que desactiva la animación, las opciones del menú y los dominios de ejemplo. El programa que escribió el correo había tomado textos de la interfaz por una frase escrita por alguien de ShieldWave.

Aquel era un mensaje comercial inofensivo y fácil de reconocer. Pero la misma técnica, un programa que lee la web de una empresa y escribe un mensaje a partir de ella, la usan también los estafadores. A ellos les da mejores resultados, porque no necesitan entender nada. Les bastan unos cuantos nombres de pila, el nombre de un proveedor y el tono con el que escribe la empresa.

Antes el phishing se delataba solo

Durante años el consejo más simple era: desconfíe de los correos con faltas de ortografía, gramática extraña y un genérico «Estimado cliente». Ese consejo ha envejecido. Los modelos de lenguaje escriben correctamente en cualquier idioma, casi gratis, e incorporan al mensaje detalles de su web: el nombre de pila de su contable, el programa de facturación que usa, un cliente de su sección «Confían en nosotros».

Adaptar un correo a una empresa concreta le llevaba antes una hora a una persona. Ahora cuesta lo mismo que el spam corriente. Por eso el fraude personalizado llega ya también a las pequeñas empresas.

Lo que su web le cuenta a un estafador

La mayor parte de esto lo publica a propósito, porque ayuda a los clientes. Conviene saber cómo puede utilizarse.

Las personas y sus funciones. Una página de «Equipo» con nombres, cargos y direcciones de correo es un mapa listo para usar: quién aprueba los pagos, quién lleva la contabilidad, quién dirige la empresa. El estafador escribe entonces al contable haciéndose pasar por el director general y le saluda por su nombre.

El patrón de las direcciones. En cuanto aparece ana.garcia@empresa.com en la página, la dirección de cualquier compañero es fácil de adivinar. Las direcciones compartidas como oficina@ o facturas@ revelan menos.

Proveedores y socios. Logotipos de clientes, el mayorista, el banco o el programa de contabilidad que menciona. Una factura falsa de un proveedor real, con su logotipo y otro número de cuenta, es uno de los fraudes más comunes contra empresas.

Ofertas de empleo. «Se requiere experiencia con el programa X» le dice a todo el mundo qué programa usa. Un correo «de los creadores de X» que le pide iniciar sesión y confirmar su licencia llega entonces justo donde debe.

Noticias. Una entrada que dice «nos mudamos a una nueva oficina» o «cambiamos a un nuevo sistema de pedidos» es la excusa perfecta para un «debido al cambio, actualice nuestros datos de pago».

La tecnología del sitio. Versiones de WordPress y de plugins visibles en el código de la página, una copia de seguridad olvidada, un registro DMARC que falta. Un visitante normal no lo nota, un script lo comprueba en segundos. Uno de estos rastros se explica en el artículo sobre la copia de seguridad olvidada en el servidor.

Puede mantener su página de equipo y su lista de clientes. Plantéese, eso sí, usar una dirección compartida en lugar de la personal de cada empleado, y quite detalles que a los clientes no les sirven, como el nombre de su programa de contabilidad.

Cómo reconocer un correo construido a partir de su web

El texto en sí ya no es una buena señal, así que fíjese en lo que un script no puede falsificar con tanta facilidad.

1. La dirección completa del remitente. Haga clic en el nombre del remitente y lea la dirección hasta el final. Los estafadores registran dominios que se parecen al auténtico: ernpresa.com en lugar de empresa.com, empresa-es.com, empresa.com.facturas.net.
2. La dirección de respuesta. Un correo puede venir de una dirección real, secuestrada o falsificada, y la respuesta ir a otra parte. Haga clic en «Responder» y compruebe qué dirección aparece en el campo «Para».
3. El resultado de SPF, DKIM y DMARC. En Gmail: los tres puntos junto al mensaje y después «Mostrar original». Un FAIL en un correo que dice venir de su empresa o de un proveedor conocido es una señal fuerte. Cómo funcionan estas protecciones se explica en el artículo sobre SPF, DKIM y DMARC.
4. Una petición de cambiar algo. Un nuevo número de cuenta, una nueva dirección para las facturas, un pago urgente «antes de que acabe el día», un inicio de sesión a través de un enlace del correo. Los detalles sacados de su web solo están ahí para que no lo compruebe. La petición es la de siempre.
5. Un detalle casi correcto. Los scripts fallan en cosas pequeñas: citan una etiqueta del menú, se equivocan en un cargo, escriben a alguien que se fue hace un año. Si un correo se lee como su web leída por una máquina, probablemente así se hizo.

Reglas que funcionan diga lo que diga el correo

Nadie detecta todas las estafas. Lo que sí puede hacer es acordar unas cuantas reglas con las que ni siquiera un correo convincente consigue nada.

• Confirme por teléfono cualquier cambio de datos bancarios. Llame a un número que ya tenga del contrato o de trabajos anteriores, nunca al que aparece en el correo que pide el cambio. Los bancos dan el mismo consejo.
• Los pagos grandes los aprueban dos personas. Así no basta un correo «del director» al contable.
• Abra su banco, su programa de contabilidad y el panel de su web desde un marcador. Nunca desde un enlace de un correo, por familiar que parezca.
• La urgencia es un motivo para ir más despacio. Un socio real esperará una hora a que le devuelva la llamada.
• En un correo del que no se fía, no haga clic tampoco en «darse de baja». El clic confirma que la dirección funciona y que alguien la lee.

Puede denunciar los mensajes sospechosos a la agencia nacional de ciberseguridad o al CERT de su país. Las denuncias ayudan a bloquear las webs falsas antes de que lleguen a más personas.

Su dominio en los correos de otros

Hay otra cara: un estafador puede hacerse pasar por usted y escribir a sus clientes. Un registro DMARC configurado como p=quarantine o p=reject impide que alguien use su dominio exacto en el campo «De». Nada de lo que haga usted detiene un dominio que solo se parece al suyo. Una cosa ayuda: que sus clientes sepan que sus datos bancarios nunca cambian por correo electrónico. Puede decirlo en sus facturas, en la firma de sus correos o junto a los datos de pago de su web.

Puede comprobar si su dominio tiene SPF, DKIM y DMARC con la prueba gratuita (en inglés), sin necesidad de cuenta. Un análisis de ShieldWave muestra además lo que su web revela desde fuera: versiones de software, archivos olvidados y cabeceras de seguridad que faltan.