Un anuncio fraudulento que suplanta al equipo de seguridad de Google ha llamado la atención por una aparente contradicción: afirma que los representantes no leen guiones durante las llamadas de phishing telefónico, al tiempo que presenta un texto que puede utilizarse como guion para una llamada.
El anuncio parece estar diseñado para dar credibilidad a la ingeniería social basada en llamadas telefónicas, comúnmente conocida como vishing. Estas estafas suelen depender de una persona que llama y afirma representar a una empresa de confianza, una institución financiera, un organismo gubernamental o un proveedor de tecnología. A continuación, la persona puede intentar convencer al objetivo de revelar contraseñas, códigos de verificación, información de pago o de instalar software de acceso remoto.
Cómo el phishing telefónico utiliza marcas de confianza
La suplantación de marcas es una táctica habitual porque los nombres conocidos pueden reducir el escepticismo. Los atacantes pueden utilizar anuncios de pago, números de teléfono falsificados, sitios web clonados y advertencias urgentes sobre la actividad de una cuenta para que sus mensajes parezcan legítimos.
La redacción del anuncio ilustra otro riesgo: los materiales de estafa pueden distribuirse abiertamente mientras se presentan como orientación de seguridad o información de atención al cliente. Las afirmaciones de que una empresa legítima utiliza un método de llamada concreto no deben considerarse prueba de que una llamada inesperada sea auténtica.
Medidas para reducir la exposición
- No proporcione contraseñas, códigos de autenticación multifactor ni códigos de recuperación a una persona que llame sin haber sido solicitada.
- Finalice las llamadas inesperadas de soporte o seguridad y contacte con la organización a través de un número de teléfono o sitio web que localice de forma independiente.
- Tenga cuidado con las solicitudes para instalar herramientas de administración remota, descargar archivos o transferir fondos a una supuesta cuenta segura.
- Verifique las alertas de cuenta iniciando sesión directamente a través de una aplicación oficial o de un sitio guardado en marcadores, en lugar de seguir enlaces o instrucciones de quien llama.
- Denuncie los anuncios y llamadas sospechosos de suplantación ante la plataforma que aloja el anuncio y ante las autoridades pertinentes de protección al consumidor o lucha contra el fraude.
Las organizaciones pueden ayudar a limitar estas campañas mediante la supervisión del uso indebido de su marca, la educación de los clientes sobre los procedimientos de soporte y la facilitación del acceso a canales de contacto legítimos. Los usuarios deben asumir que las llamadas inesperadas relacionadas con la seguridad de una cuenta requieren una verificación independiente, independientemente del nombre que aparezca en la pantalla o que mencione quien llama.