Los ciberdelincuentes están permanentemente al acecho, con hackeos a empresas relevantes como los sufridos por Basic-Fit o Booking, que han reconocido recientemente accesos no autorizados a datos personales y bancarios de sus clientes.
Para analizar esta situación y ofrecer claves para protegerse, la sección de ciberseguridad del programa La Tarde, presentada por Pilar García Muñiz, ha contado con la intervención del experto en tecnología José Ángel Cuadrado, director de 'Lo que viene'.
Cuadrado ha señalado que, más que preocuparse, hay que ocuparse, poniendo el foco en identificar los patrones que se repiten en las estafas.
El más común es el de la urgencia. "Haz esto, porque si no lo haces vas a tener una consecuencia concreta", explica el experto. Un ejemplo son los SMS fraudulentos de la DGT que alertan de una multa inminente para presionar a la víctima, incluso si esta no tiene carnet de conducir. Sin embargo, advierte de que "esos despistes de los estafadores se están depurando gracias a la inteligencia artificial".
Los estafadores manejan cada vez más datos de los ciudadanos, lo que les permite lanzar campañas de hacking más personalizadas y efectivas. Cuadrado introduce un concepto clave: el 'spear phishing', una evolución del phishing tradicional. A diferencia del envío masivo de correos, "aquí el estafador estudia antes a cada una de las víctimas gracias a la IA", afirma. Puede conocer su lugar de trabajo, sus compras recientes o sus reservas pendientes para crear un engaño a medida.
Un experto consultado por Cuadrado lo detalla en un audio: "El spear phishing ahora mismo es posible gracias a la inteligencia artificial, porque analiza cada detalle en tiempo real y saca una imitación exacta para que caigas en esa trampa, y ya no hace falta ser hacker para para hacerlo, porque literalmente lo hace la IA por ti". Como ejemplo, Cuadrado menciona la recepción de un correo falso del jefe pidiendo pagar una factura urgente en la que simplemente se ha cambiado el número de IBAN para desviar el dinero.
Para detectar el 'spear phishing', Cuadrado recomienda fijarse en tres detalles: personalización (usan datos reales), urgencia ("hazlo ahora", "si no pagas, pierdes la reserva") y una petición sensible (dinero, contraseñas, DNI). Ante la duda, la recomendación es clara: pararse unos segundos a reflexionar y, si suena raro, desconfiar.
Otra estafa recurrente es la de las aplicaciones falsas, como ha ocurrido con una versión fraudulenta de WhatsApp que se distribuyó en tiendas no oficiales. Estas 'apps' pueden contener 'spyware' o virus espía. Una vez instalado, los delincuentes tienen acceso a "tus mensajes, a los chats, registros de llamadas, archivos, y y claro, incluso pueden activar o usar permisos como el micrófono o la cámara del móvil", alerta Cuadrado. La principal recomendación es no instalar aplicaciones de tiendas no oficiales como la App Store o Google Play.
Especialmente cruel es la llamada del falso hospital, un timo del que ha alertado el propio Hospital Gregorio Marañón de Madrid. Los estafadores contactan a la víctima, a menudo personas mayores, asegurando que un familiar cercano ha sufrido un accidente y necesita dinero urgente para una operación. Juegan con el factor sorpresa y el miedo para que la persona realice un ingreso. La forma de actuar es colgar y llamar directamente al familiar o al hospital para comprobar la información.
En plena campaña de la Renta, los timadores también usan a Hacienda como gancho. Envían SMS o correos sobre un supuesto reembolso pendiente para que el usuario pinche en un enlace. Este dirige a una web falsa que imita a la de la Agencia Tributaria para robar datos personales y bancarios. La recomendación es acceder siempre a través de la página oficial y recordar que la Agencia Tributaria ya dispone de los datos bancarios del contribuyente.
Finalmente, Cuadrado subraya que la culpa no siempre es del usuario. Si se produce un movimiento de dinero no autorizado, se puede recuperar.
El abogado Luis Rubí, del bufete ardiCiber, explica que el banco "debe reaccionar en segundos, bloquear el acceso, paralizar operaciones, rastrear el dinero, congelar los fondos y avisar al cliente de inmediato". Si la entidad no demuestra que su sistema era seguro o que el cliente actuó con negligencia grave, debe devolver el dinero. "Si el banco no actúa o no aprueba nada, la ley protege al cliente", sentencia Rubí, quien recuerda que el plazo para reclamar es de 5 años."