Los enlaces de phishing están hechos para superar un vistazo rápido. Ahí está el nombre de la marca, ahí está el candado y la página parece la correcta. Aprender a leer una URL como la lee un navegador lleva unos minutos, y permite descubrir la mayoría de los trucos que siguen.
Los ejemplos de este artículo usan nuestro propio dominio, angelforce.eu, y dominios de ejemplo reservados. No visite dominios parecidos para probarlos.
Encuentre la parte que importa: el dominio registrable
Una dirección web tiene varias partes. Solo una de ellas indica quién controla el sitio.
https://login.angelforce.eu.account-check.example/session/verify?ref=angelforce.eu| Parte | Valor | Quién la controla |
|---|---|---|
| Esquema | https | No dice nada de quién es el propietario del sitio |
| Subdominios | login.angelforce.eu | Quien posea el dominio registrable |
| Dominio registrable | account-check.example | El propietario del dominio: este es el sitio |
| Ruta y consulta | /session/verify?ref=angelforce.eu | El propietario del dominio, que puede escribir aquí lo que quiera |
Lea el nombre del host de derecha a izquierda. Empiece por el final, .example, y tome una etiqueta más hacia la izquierda. Ese par es el dominio registrable, y quien lo registró controla todo lo que queda a su izquierda. Nuestro nombre aparece dos veces en el enlace anterior, y ninguna de las dos significa nada.
Algunas terminaciones necesitan dos etiquetas o más. co.uk es un sufijo público, así que en shop.example.co.uk el dominio registrable es example.co.uk. Los navegadores se basan para ello en la Public Suffix List, que mantiene la comunidad, por ejemplo para resaltar la parte más importante de un dominio en la barra de direcciones.
El candado y https solo significan que la conexión está cifrada. Cualquiera puede obtener un certificado para un dominio que controle, también un atacante.
Dominios parecidos
El truco más sencillo es un dominio que, a simple vista, se lee como el suyo:
- una letra cambiada:
angeIforce.eu, con una I mayúscula en lugar de una l minúscula, que se parecen en muchas tipografías - una palabra de más:
angelforce-security.euoangelforce-eu.com - otra terminación:
angelforce.coen lugar deangelforce.eu
Ninguno de ellos es nuestro. Cualquiera podría registrar cualquiera de ellos.
Homógrafos y punycode
Los nombres de dominio pueden contener letras de otros alfabetos. En el DNS se guardan en una forma ASCII que empieza por xn--, generada por un algoritmo llamado Punycode. La letra cirílica «а» se ve igual que la «a» latina en la mayoría de las tipografías, así que:
аngelforce.eu (first letter is Cyrillic)
xn--ngelforce-zyh.eu (what DNS actually sees)(En el ejemplo, la primera letra de la primera línea es cirílica; la segunda línea es lo que ve realmente el DNS.)
Chrome muestra una etiqueta en su forma xn-- cuando mezcla alfabetos de forma arriesgada, por ejemplo latino con cirílico. También detecta los nombres escritos por completo con letras parecidas, como аррӏе.com, que muestra como xn--80ak6aa92e.com, y los que imitan dominios populares.
No confíe solo en esto. Estas comprobaciones protegen mejor a los dominios conocidos, y no se aplican al texto de un enlace en un correo, que puede decir cualquier cosa. Si alguna vez ve xn-- en un enlace que no esperaba, considérelo sospechoso.
El truco de la @
Si aparece una @ antes de la primera / después de https://, todo lo que va delante es «información de usuario», no el host. El RFC 3986 advierte de que esta parte puede manipularse para que parezca un nombre de dominio de confianza.
https://www.angelforce.eu@203.0.113.50/loginEste enlace lleva al servidor 203.0.113.50. La parte www.angelforce.eu se trata como un nombre de usuario, no como el destino. Un servicio legítimo casi no tiene motivos para enviarle un enlace con @ delante del host.
Acortadores y códigos QR
Los enlaces cortos y los códigos QR ocultan el destino hasta después de hacer clic o escanear. Esa es su finalidad, y también el motivo por el que los usan los atacantes. El NCSC aconseja desconfiar de los códigos QR que llegan por correo. Expanda un enlace corto con un comprobador de enlaces antes de abrirlo, o vaya directamente al servicio.
Redirecciones abiertas
Algunos sitios legítimos tienen una función de redirección que envía a los visitantes a cualquier dirección indicada en un parámetro. La hoja de referencia (cheat sheet) de OWASP sobre redirecciones no validadas muestra un patrón como este:
https://example.com/example.php?url=https://malicious.example.comEl enlace empieza por un dominio real y de confianza, y precisamente de eso se trata. Busque parámetros como url=, next=, redirect= o return= que contengan una segunda dirección completa. Es probable que acabe en esa segunda dirección.
Rutas y subdominios engañosos
Poner nombres de marcas en la ruta o en los subdominios no le cuesta nada a un atacante:
https://secure-login.example/angelforce.eu/microsoft365/signin
https://angelforce.eu.secure-login.example/Ambos enlaces pertenecen a secure-login.example. Las rutas largas con nombres de marcas, palabras como «secure», «verify» o «account» y muchos caracteres aleatorios no demuestran que se trate de phishing, pero son un motivo para mirar con más atención.
Dominios de primer nivel desconocidos
Algunos dominios de primer nivel parecen otra cosa. .zip es un dominio de primer nivel delegado desde 2014, así que invoice.zip puede ser un sitio web y no un archivo. Un enlace que termina en un nombre de archivo puede no ser un archivo en absoluto.
Hábitos prácticos
- Pase el cursor por encima o mantenga pulsado antes de hacer clic, y lea el destino real, no el texto del enlace.
- Vaya usted mismo a los sitios importantes. Use marcadores o escriba la dirección de su banco, del portal de nóminas y del inicio de sesión de Microsoft 365 o Google.
- Compruébelo con el remitente por un canal conocido. El NCSC aconseja contactar directamente con la organización usando los datos de su sitio web oficial, no los del mensaje.
- Use un gestor de contraseñas. Solo rellena las contraseñas en el sitio donde las guardó, así que no le ofrecerá su contraseña en un dominio parecido. Las llaves de acceso (passkeys) van más allá, porque cada una está vinculada al sitio real.
- Desconfíe de la presión. El NCSC cita la autoridad, la urgencia, la emoción, la escasez y la actualidad como ganchos habituales de los mensajes fraudulentos.
- Notifíquelo. Un mensaje sospechoso que notifica ayuda a proteger a sus compañeros, aunque usted no haya hecho clic.
Por dónde empezar
Pegue un enlace sospechoso en nuestro analizador de enlaces para ver adónde lleva realmente sin abrirlo. Si lo que no le cuadra es el propio correo, nuestro analizador de cabeceras de correo muestra qué servidores lo gestionaron y si se superaron SPF, DKIM y DMARC.
Si quiere que su equipo aprenda a leer los enlaces de esta forma, nuestro servicio de consultoría y formación puede ayudarle.
