Estás cenando, viendo una serie o trabajando, y de repente tu teléfono vibra. Es un mensaje oficial de Google, Instagram o Microsoft con un código de verificación o un enlace para restablecer tu contraseña. Tú no has intentado entrar en tu cuenta, así que piensas: "Qué raro, alguien se habrá equivocado al escribir su usuario" y lo ignoras.
Error. Ignorarlo es seguro, pero no entender qué está pasando te deja vulnerable. Estás presenciando la fase de "reconocimiento" o de "ejecución" de un ataque dirigido.
¿Cómo funciona la estafa de la recuperación no solicitada?
Existen tres variantes principales de este ataque, de menor a mayor peligrosidad:
1. El ataque de Fatiga de MFA (MFA Fatigue)
El atacante ya tiene tu contraseña (posiblemente filtrada en una base de datos antigua) pero no puede entrar por el 2FA. Entonces, solicita el código decenas de veces para bombardearte a notificaciones. Su esperanza es que, por puro cansancio o error, termines pulsando "Aceptar" o "Permitir" en tu móvil para que los avisos cesen.
2. El Phishing de seguimiento (El "Soporte Falso")
Pocos minutos después de que recibes el código legítimo, recibes otro mensaje (esta vez falso) de alguien que finge ser el equipo de seguridad:
"Hemos detectado un intento de acceso no autorizado. Para bloquearlo, reenvíenos el código que acaba de recibir por SMS".
La realidad: Si les das ese código, no estás bloqueando el ataque; les estás dando la llave maestra para entrar.
3. El ataque de Interceptación (SIM Swapping)
Si recibes el aviso de cambio de contraseña y, acto seguido, tu móvil se queda sin cobertura o sin señal de red, es una alerta roja máxima. Podrían haber duplicado tu tarjeta SIM para recibir ellos tus mensajes de verificación.
Anatomía de un mensaje legítimo vs. uno fraudulento
Incluso en este escenario, los atacantes intentan confundirte. Aprende a distinguirlos:
El Mensaje Legítimo: Suele ser corto. "Tu código de seguridad es 123456. No lo compartas con nadie". No incluye enlaces extraños ni te pide que respondas.
El Mensaje Fraudulento: Suele incluir un enlace para "cancelar la solicitud" o "asegurar tu cuenta". Ese enlace te lleva a una web falsa diseñada para robar tus credenciales actuales.
¿Qué debes hacer si recibes un código que no pediste?
Si el código te llega de la nada, sigue este protocolo de seguridad de 3 pasos:
NO compartas el código: Bajo ninguna circunstancia entregues ese número a nadie que te lo pida por mensaje, llamada o redes sociales. Las empresas legítimas nunca te pedirán un código de vuelta.
Cambia tu contraseña inmediatamente: Si el sistema te envió un código de verificación, significa que alguien ya conoce tu contraseña actual y solo el 2FA lo está frenando. Entra desde una pestaña nueva (nunca desde el enlace del mensaje) y cambia tu clave.
Cierra sesiones activas: En los ajustes de seguridad de tu cuenta (Gmail, Facebook, etc.), busca la opción "Cerrar sesión en todos los dispositivos". Esto expulsará a cualquier atacante que haya logrado una sesión persistente.
Conclusión: El 2FA te ha salvado, ahora te toca a ti
Recibir un mensaje de recuperación no solicitado es una prueba de que tus sistemas de seguridad están funcionando: el muro ha detenido el ataque. Sin embargo, también es el aviso de que estás en el punto de mira de un atacante. No te limites a borrar el mensaje; refuerza tus defensas.
¿Te ha pasado alguna vez? ¿Recibiste el código y luego una llamada o mensaje sospechoso? Comparte tu historia en los comentarios para que otros lectores identifiquen el patrón antes de que sea tarde.
.jpg)
No hay comentarios:
Publicar un comentario