He sido víctima de phishing: ¿qué hago?

El phishing es un tipo de ciberestafa que, como explica la Oficina de Seguridad del Internauta, consiste en el envío de un correo electrónico por parte de un estafador a un usuario simulando ser una entidad legítima (red social, banco, institución pública, etc.) con el objetivo de robarle información privada, realizarle un cargo económico o infectar el dispositivo. Ahora, una víctima ha explicado cómo lograron engañarle con una técnica similar, aunque algo más sofisticada.

En primer lugar, recibió la llamada de una persona que se hacía pasar por un trabajador del equipo de seguridad de su banco, ING. Este emisor le hizo creer que alguien había hackeado su cuenta y se había hecho con el control de todos sus ahorros. De este modo, la víctima se alarma y el estafador consigue que sienta miedo y le invada una sensación de urgencia.

Transferir los ahorros a una cuenta segura

Cuando la persona que realiza la llamada fraudulenta logra que su interlocutor crea que su dinero está en riesgo, le ofrece una supuesta tabla de salvación: transferir todos sus ahorros a una "cuenta segura". No obstante, si acepta está perdido, porque sus ahorros quedan en manos del estafador. En este punto, la víctima dudó, así que el ciberdelincuente le propuso que, para que pudiera corroborar que efectivamente era un trabajador de su banco, comprobase el número desde el que le estaba llamando en Google.

Y, ciertamente, ambos números coincidían. Esto es posible gracias a la tecnología VoIP (Voz sobre Protocolo de Internet), una herramienta que sirve para modificar el número mostrado durante la llamada. Es un servicio legal y permitido, pero si se usa para estos fines puede ser fatal. Así, esta víctima perdió 11.000 euros.

Cómo actuar si has sufrido phishing

Si la víctima pierde su dinero en un ataque de spoofing como este (que, en resumidas cuentas, es una estafa que se realiza simulando evitar una estafa ficticia), hay varios pasos que debe seguir, que también son aplicables si es un caso de phishing.

Artículo relacionado

La DGT alerta de una estafa en su nombre: cuidado si te reclaman el pago de una multa por email

Juan Manuel Del Olmo

Dado que ir a por el estafador resulta muy complicado, lo más práctico, en muchos casos, es emprender acciones contra el banco, dado que se puede interpretar que la entidad no ha aplicado las medidas de seguridad adecuadas. Ya existen, de hecho, sentencias que dan la razón a las víctimas (siempre y cuando éstas no hayan incurrido en una negligencia grave).

El caso de Unicaja

Por ejemplo, en julio de 2023, un juzgado de Plasencia condenó a Unicaja a devolver 3.010 euros a una víctima de estafa de phishing, ya que consideró que "hubo un fallo por el proveedor del servicio de pago".

Asimismo, un juzgado de Mieres (Asturias) condenó en diciembre a la misma entidad a devolver a un usuario 6.000 euros. En la sentencia se recogía que Unicaja era responsable de la sustracción por ciberdelincuentes de los ahorros de la cuenta de la víctima porque había existido “un incumplimiento contractual al ejecutar la orden de pago sin comprobar la debida autorización de las mismas, al no disponer de un adecuado sistema de seguridad que previniere tal tipo de órdenes fraudulentas”.

Cambiar las contraseñas

Con todo, los bancos suelen intentar eludir su responsabilidad, pero la ley respalda a las víctimas. En este sentido, los expertos consideran que, cuanto más sofisticada es la estafa, más probabilidades hay de que una víctima recupere su dinero tras presentar una reclamación o iniciar un litigio. Por otra parte, es necesario cambiar las contraseñas de las cuentas bancarias del usuario, además de las del correo electrónico.

Otra medida recomendable es activar el antivirus e intentar detectar si en el dispositivo hay una invasión de malware.

Revisar los movimientos de la cuenta

También conviene mantener, durante algún tiempo, un seguimiento de las cuentas y operaciones con las tarjetas para comprobar que no hay movimientos sospechosos.

Artículo relacionado

Así debes elegir tu contraseña para que sea un verdadero escudo contra las estafas

Juan Manuel Del Olmo

Además, si la estafa ha ocurrido suplantando la identidad de una empresa conocida, hay que hacérselo saber a la misma para que pueda tomar medidas con las que proteger a otros usuarios.

Dónde pueden denunciar las víctimas de phishing o spoofing

Las víctimas de phishing o spoofing pueden presentar una denuncia ante la Policía Nacional o la Guardia Civil. La Policía Nacional tiene una unidad especializada en delitos informáticos, la Brigada de Investigación Tecnológica. Además, en determinados casos se puede contactar con la Agencia Española de Protección de Datos.

En su denuncia, las personas estafadas deben recopilar toda la información que tengan, como capturas de pantalla, mensajes y registros de llamadas.