¿Alguna vez ha visto una página de inicio de sesión falsa como parte de una estafa de phishing? Por lo general, están esperando en el otro extremo de un enlace que lleva a las personas a una página de inicio de sesión muy creíble para un servicio popular. Por ejemplo, puede ver a alguien hablar sobre un video en Facebook con un enlace. Hace clic en él para ver el video, pero en lugar de conducir a Facebook, lo lleva a un Facebook falso que le pide sus datos de inicio de sesión para ver el video. La idea es que las personas piensen que se han desconectado de Facebook y vuelvan a iniciar sesión, solo para entregar sus datos de inicio de sesión al estafador.
Por supuesto, las personas se están dando cuenta de este tipo de estafa, por lo que cada vez es más difícil para los estafadores obtener detalles de inicio de sesión de enlaces falsos. Sin embargo, hay un nuevo método diabólico de phishing en Internet: tabnapping.
Atrapado durmiendo la siesta
En estos días, los estafadores se están alejando de los ataques directos con la esperanza de engañar al usuario. Ahora se están enfocando en atacarte cuando estás “en piloto automático” cuando no estás prestando el 100% de atención. Ha habido muchos ataques desagradables en el pasado, pero el tabnapping es uno de los más nefastos.
Así es como funciona el tabnapping. Alguien configura un sitio web que parece completamente normal. Dentro del código de los sitios web, colocan un verificador para ver si la pestaña se ha vuelto «inactiva». Las pestañas inactivas son pestañas que no estás mirando actualmente. Si tiene pestañas en su navegador en este momento, las pestañas inactivas son todas las pestañas en las que no está leyendo este artículo.
Un usuario visita este sitio web de apariencia inocente y asume que no tiene nada de malo. Luego cambiarán a otra pestaña; tal vez alguien les envió un mensaje en Facebook, por ejemplo. Esto significa que la página web «inocente» se ha vuelto inactiva, lo que luego activa el código del estafador.
Esto es lo que hace el código; en primer lugar, se asegura de que haya estado inactivo durante un tiempo suficiente, para asegurarse de que lo haya olvidado. Una vez transcurrido el tiempo de espera, primero cambia el contenido del sitio web a una página de inicio de sesión falsa, por ejemplo, Gmail. Luego cambia el «favicon» del sitio, que es el pequeño icono de imagen que ves en las pestañas. El favicon de MakeTechEasier es el logotipo azul «MTE». También cambia el nombre de la página de su nombre original a algo así como «Gmail: correo electrónico de Google».
Lo que esto hace es crear una página que es casi idéntica a la página de inicio de sesión de Gmail. Si observa detenidamente la pestaña, podrá detectar que algo anda mal de inmediato. Por supuesto, debido a que estás envuelto en tu vida diaria, no lo notas. Luego recuerda que debe enviar ese correo electrónico a su amigo, por lo que va a la pestaña «Gmail» que está inactiva. Ah, pero Gmail ha cerrado la sesión y requiere información de inicio de sesión nuevamente. ¡Qué lío! Volvamos a ingresar los datos de inicio de sesión. Esto completa el ataque tabnapping.
Si desea ver una demostración en vivo de tabnapping en su propio navegador, abra esta página sobre tabnapping en una nueva pestaña. Permita que la página web se cargue por completo. Vuelve a este artículo y mira la pestaña de tabnapping durante cinco segundos. Después de cinco segundos, «mágicamente» se convertirá en una pestaña falsa de Gmail.
Si bien es solo una demostración, y no hay una página de inicio de sesión de Gmail falsa para engañarlo, puede imaginar lo convincente que sería si hubiera una página de inicio de sesión de Gmail con detalles perfectos en esa pestaña. Esto muestra hasta dónde pueden llegar los estafadores para obtener sus datos.
Mantenerse al tanto del phishing
Todo esto suena muy aterrador, y con razón. ¡La idea de que cualquiera de sus pestañas pueda transformarse en un ataque de phishing convincente es muy preocupante! Afortunadamente, aunque los estafadores pueden cambiar el contenido y la información de las pestañas para que luzcan idénticos a los de un servicio oficial, hay algo que nunca han podido copiar a la perfección: la URL de la página.
Por supuesto, los estafadores han hecho todo lo posible con direcciones URL que parecen casi reales. Sin embargo, la copia palabra por palabra de una URL es imposible de hacer y es la forma principal de distinguir una buena página de inicio de sesión de una mala. Si se le presenta una página de inicio de sesión por cualquier motivo, verifique la URL. Si parece sospechoso, como una URL intrincada o si le falta un certificado «https», ¡no lo use! Ciérrelo, abra una nueva pestaña y navegue hasta el trato real manualmente desde allí. Aquí hay un ejemplo de una pestaña de Facebook auténtica y sus características definitorias:
Aterrador, pero no indetectable
Tabnapping es uno de los métodos más nefastos de estafar a los usuarios, aprovechando las pestañas no utilizadas y nuestro hábito de no revisar las páginas que ya hemos usado para estafas. Al tener cuidado al iniciar sesión, puede evitar el tabnapping y mantener su información segura.
¿Ha sido, o casi ha sido, víctima de tabnapping? ¿Qué opinas sobre este truco altamente nefasto? ¿Crees que te engañaría con éxito si lo encontraras? Háganos saber en los comentarios.