Mcmenú con extra de 'phishing': un timo difícil de resolver

Abres el email. Tienes un correo nuevo. Remitente: McDonald's. Asunto: "Bono de 50 euros por participar en nuestra encuesta de satisfacción del cliente". Tentador. Dinero fácil a cambio de unas simples valoraciones. Sólo tienes que poner al final tus datos bancarios para que te hagan el ingreso y ya está. ¡Enhorabuena. Te has convertido en víctima del último caso de fraude conocido en internet! Lo ha denunciado hoy la asociación FACUA-Consumidores en Acción. El delito se conoce como 'phishing' y como ves 'picar' es muy sencillo. Pero... ¿qué hacer si caes en sus garras? ¿Y para evitarlo?

ampliar foto

Un payaso un poco sospechoso...

Empecemos desde el principio. Por si no lo sabes el 'phishing' es un tipo de ataque que consiste en imitar mensajes —no siempre demasiado bien— de correo electrónico de empresas conocidas o entidades financieras a fin de inducir a la gente a que revele números de cuenta, contraseñas, PINs de tarjetas de débito y crédito y otros datos confidenciales. A partir de ahí la tarjeta podrá usarse para pagar cualquier compra por internet. Las excusas para el envío de estos correos son muchas y de lo más variadas: desde motivos de seguridad y mantenimiento de la entidad hasta encuestas como en el caso de la cadena de comida rápida que ahora advierte en su web que ha sido utilizada para llevar a cabo este fraude y pide disculpas.

El aviso llega demasiado tarde, cuando ya hay víctimas. Es lo más habitual. Por eso es importante saber qué se debe hacer en un caso como éste. Rubén Sánchez, portavoz de FACUA, asegura que lo primero es "cancelar las tarjetas de crédito o débito" para evitar que sigan siendo usadas. "Sería el mismo procedimiento que si te la roban la cartera", asegura. Lo siguiente: "denunciar. Poner en conocimiento de las autoridades competentes que has sufrido una estafa".

¿Dónde hacerlo? La abogada de la Asociación de Internautas, Ofelia Tejerina, nos recuerda que el 'phishing' se considera desde 2007 como un delito de fraude incluido dentro del Código Penal, por eso hay que "acudir a comisaría". También se puede hacer vía mail. Para ello, la Brigada de Investigación Tecnológica (BIT) del Cuerpo Nacional de Policía ha puesto en funcionamiento la dirección de correo electrónico fraudeinternet@policia.es.

Una vez hecha la denuncia, "el siguiente paso es presentarla en el defensor del cliente de nuestro banco y la respuesta hay que enviarla al servicio de atención de reclamaciones al Banco de España". La otra alternativa es hacerlo a través del Instituto Nacional de Tecnologías de la Comunicación (INTECO) que dispone de un correo para poder dar conocimiento de estas estafas. Lo que hace es ponerse en contacto con las entidades implicadas para facilitar la detección temprana del 'phishing' de forma que cada agente tome las medidas que estime oportunas. Se pone en contacto con todas, excepto con la Policía. INTECO avierte que "las denuncias a las Fuerzas y Cuerpos de Seguridad del Estado (FSCE) han de presentarlas directamente los afectados a través de las diferentes vías habilitadas para ello".

No todas las de ganar

Uno, dos y tres pasos no garantizan que ganemos esta batalla ni que recuperemos el dinero gastado por los estafadores. Y es que por mucho que se oiga eso de que 'el cliente (o consumidor) siempre tiene la razón', los bancos no son responsables de las estafas de las que puedan ser víctimas sus usuarios. Además, Ofelia Tejerina insiste en que "la ley siempre juega a favor del consumidor pero éste no es un asunto de consumo, es una estafa penal".

¿Tomar la encuesta?

Sánchez añade que la dificultad para resolver el 'caso McDonald's' en favor del cliente es que éste "lo ha facilitado todo: el número de cuenta, el DNI y la contraseña bancaria". Algo así como si das las llaves de casa a un desconocido por la calle y luego resulta ser un ladrón. Por eso "sólo está garantizada la recuperación del dinero que gasten una vez que hayas puesto la denuncia". Aún así, Sánchez insiste en que hay que denunciar ya que "éste es el camino para que se investigue el fraude". Además, también es la forma de advertir al resto de consumidores de su existencia.

El abogado Pablo Fernández Burgueño explica en su blog que no debemos dar el dinero por perdido sin antes realizar una serie de pasos. Es importante comprobar "todos los seguros que hayas contratado por si se especifica algo relacionado con el fraude (y ya de paso mira si dice algo del hurto o el robo, por si acaso)". Además insiste en que es interesante contarle la historia al director de nuestra entidad bancaria para estudiar con él las opciones. Y añade: "NO toques nada de tu cuenta bancaria. No metas ni saques dinero. No hagas nada excepto bloquearla de forma absoluta y pedir que anulen todas tus claves".

Estar alerta

Precaución. Ésa es una de las claves a tener en cuenta para evitar ser víctima de este tipo de ataques. Protegerse de estos fraudes es tan sencillo como tener en cuenta que las entidades bancarias nunca solicitan contraseñas, números de tarjeta de crédito o cualquier información personal vía correo electrónico. Porque ellos ya lo tienen. Ni tampoco por teléfono o por SMS, cada vez más utilizados en este tipo de estafas. Así Rubén Sánchez asegura que si se recibe un correo solicitando estos datos "hay un alto porcentaje de probabilidades de convertirse en víctima de un fraude. Por eso en ningún caso debemos facilitar nuestros datos".

La otra clave es estar alerta. Los correos electrónicos normalmente se delatan por sí solos. Usemos el de McDonald's como referencia. En este tipo de fraudes es muy frecuente el uso de encabezamientos como 'Estimado cliente de McDonald's' mientras que las empresas y sobre todo los bancos se refieren normalmente a sus usuarios con nombres y apellidos. Además, es muy habitual encontrar erratas o construcciones no demasiado utilizadas en castellano como 'Haga clic aquí para tomar su encuesta'. Y es que normalmente estos fraudes se hacen desde otros países. En este caso la web usada está dentro del dominio kimimiki.com, registrado en 2006 desde Tokyo (Japón). Por no hablar de la página a la que nos remite y su nada ortodoxo payaso.

En cualquier caso, si se tiene alguna duda lo más conveniente es ponerse en contacto con la entidad que supuestamente nos ha enviado el mensaje. También se recomienda revisar con frecuencia nuestras cuentas para ver que no hay nada raro. Y si hay alguna sospecha... "siempre denunciar", insiste Ofelia Tejerina.