Por si no lo sabes, el DPS es la entidad del Gobierno que encabeza el Sector de Inclusión Social y Reconciliación, admás de ser la encargada de crear la Renta Ciudadana, un incentivo para las familias más vulnerables del país. Es justamente este argumento el que están usando los estafadores para engañar a sus víctimas a través de correo electrónico. 

La estafa llega como un correo del Departamento de Prosperidad Social en el que se le informa a la persona que fue seleccionada como beneficiaria para recibir “las ayudas asignadas por el gobierno nacional”. Adicionalmente, avisan que los $500.000 pesos con los que ha sido beneficiada, llegarán a la cuenta de Daviplata de la persona. El mensaje también avisa que los “hogares que no estén bancarizados recibirán un mensaje de texto con la confirmación y el código para retirar en cualquier punto #efecty”. 

El correo explica que, para recibir el pago, la persona deberá primero aceptarlo, pero realmente es ahí donde se encuentra el gancho con el que la víctima será robada si lo pica. Al pulsar el enlace en el que la persona debe aceptar el supuesto pago, será remitido a una página donde tendrá que digitar el número de celular que esté vinculado a la cuenta de DaviPlata. 

Te puede interesar: No caiga en estafas por redes sociales y SMS: 4-72 no envía mensajes de texto

“Recuerde que a su número de celular registrado en DaviPlata llegara un mensaje con el codigo de confirmación”, concluye el correo estafa. Cuando la víctima digita su número, los estafadores inmediatamente envían un código con el que podrán ingresar a la cuenta de la persona para robar su dinero. 

La estafa se puede detectar desde el momento en el que no se menciona tu nombre dentro del correo sino que se refiere a ti por tu correo electrónico, algo como: “estimado pepito@gmail.com”. Por otro lado, podemos revisar la ortografía del mensaje y la forma de expresarse; en este caso no incluyen tildes, además de tutear y ustear al tiempo. Por último, tener en cuenta si perteneces o no al grupo A o B del Sisbén, quienes son los que pueden recibir estas ayudas del DPS. 

Algunos ciudadanos reportaron que esta misma estafa se está realizando vía telefónica, pero en ese caso sí  confirman todos sus datos personales, desde cédula de identidad hasta dirección de residencia. Podrás identificar la estafa porque te aseguran que depositarán los $500.000 pesos inmediatamente y solicitarán tu número de Nequi, seguido de un código que llegará a tu celular. Al entregar el código, perderás el dinero que tengas en Nequi. El DPS no utiliza estos medios para informarte que eres beneficiario; puedes dirigirte a su página web para confirmarlo.

Imagen: Yan Krukau

Pero incluso los más prevenidos pueden resultar engañados. Un descuido puede llevar a que hagas clic a un enlace falso. ¿Ya se hizo daño o qué tienes que hacer para evitar un dolor de cabeza? En ENTER.CO te lo contamos.

1 – No te confíes por cerrar el enlace

Muchas personas se confían porque hacen clic en un enlace falso o ingresan a una página no autorizada y la cierran de inmediato.

Dependiendo del tipo de estafa es posible que tus datos estén protegidos. Si el objetivo de la página solamente era el engañarte y hacerse pasar por un sitio oficial solamente si ingresaste información o realizaste un pago tendrás problemas.

Pero en muchas ocasiones las estafas por phishing también engañan de alguna manera a los usuarios para descargar un archivo. Puede ser a través de un botón de ingreso disfrazado como un enlace de descarga o puede ser a través de una descarga automática (solo por darte algunos ejemplos). 

2 – Desconéctate de Internet

Desde el dispositivo en el que ingresaste, desconéctate de Internet. Si es tu celular desactiva los datos o el Wifi y si es tu PC, deshabilita la conexión web. La razón está en que muchas veces al momento de ingresar en estos sitios se descarga un programa que de inmediato se conecta con una red externa para exponer tu información. Así que lo primero es poner el dispositivo en cuestión en ‘cuarentena’.

3 – Análisis y en algunos casos… reinicio de fábrica

Después de aislar el equipo lo siguiente es realizar un análisis en búsqueda de malware. El objetivo aquí es eliminar cualquier posible amenaza que haya sido instalada. Sin embargo, muchas veces estos programas son persistentes o se han ocultado de manera efectiva. Para esto sugerimos hacer una inversión en un antirus que sea compatible con tu sistema operativo/dispositivo.

Si tienes el tiempo y cuentas con suficientes respaldos para tu información, entonces la mejor alternativa es hacer un restablecimiento de fábrica. Puede parecer exagerado pero es la manera más efectiva de garantizar que el dispositivo no tiene algún malware escondido que no pudo ser detectado por los antivirus que utilizaste.

4 – Cambio de contraseñas

Esta viene a ser una de las partes más molestas: debes cambiar todas las contraseñas críticas.

Contraseñas críticas son aquellas que pertenecen a servicios financieros o métodos de pago, así como las plataformas que estén vinculados a procesos de verificación/autenticación. Por ejemplo, es prudente cambiar la contraseña de tu banco o de la app que uses para servicios pagos. De la misma forma, debes cambiar la contraseña de tu cuenta principal de Google (que es la que muchos utilizan como correo de seguridad o de verificación). 

Imágenes: Foto de Ed Hardie en Unsplash 

Así que en ENTER.CO hemos decidido crear una pequeña guía con cinco claves para identificar y evitar un mensaje de estada de la DIAN.

1: Desconfíe de información que no coincida con la realidad

Uno de los principales ganchos que utilizan los ladrones es esconder reclamaciones o cobros que no existen. El objetivo es que la persona en cuestión entre en pánico y, buscando evitar una sanción, decida saldar una cuenta que no reconoce o entregue información clave. Si tiene dudas de un cobro, siempre comuníquese con los canales oficiales de la DIAN.

2: la DIAN nunca pide información o resolución a través de enlaces

Los correos aclaratorios de la DIAN (por cobros o devoluciones) solo le indican a los contribuyentes o empresas, pero nunca piden información u ofrecen una resolución a través del correo o llamada. De hecho, en estos casos siempre aclarar que no es necesario dar respuesta a sus correos, sino que la entidad realizará las validaciones correspondientes.

Te puede interesar: ¡Ojo! La DIAN abre más de 3.000 ofertas de empleo, incluido en programación

3: Busque el código de verificación

Todos los correos de la DIAN y cualquier comunicado oficial vienen con un código QR que usted puede escanear, así como un número de seguridad para verificar. Sin embargo, y como los ladrones van tres pasos adelante, si tiene dudas puede ingresar el código que aparece en el correo en este enlace (que es la página oficial) para así evitar dar clic a cualquier enlace.

4: Busque errores de ortografía o fallas de gramática

Para todo el esfuerzo que ponen los ladrones, a veces solo es necesario hacer una revisión de gramática. Muchos de estos correos de estafa se pueden reconocer porque tienen errores de ortografía o redacción. También tienen un tono que corresponde a los comunicados oficiales o cuentan con un tono de emergencia/urgencia para que la persona actúe de manera rápida.

5: no confíe en los dominios.gov.co

La recomendación usualmente es: revisar el dominio. Por desgracia, en el caso de las estafas de la DIAN se están enviando correos desde dominios muy similares como por ejemplo @honda-tolima.gov.co. El dominio oficial de la mayoría de comunicaciones de la DIAN provienen de la dirección @dian.gov.co así que cualquier dominio diferente es sospechoso, sin importar que tenga la terminación de gobierno.

Imágenes: captura ENTER.CO

¿Cómo funcionan las estafas a través de Instagram?

El modus operandi de estas estafas es bastante sencillo. Las personas son etiquetadas en una publicación por una cuenta que asegura ser una marca/influenciador. Se les pide luego seguir la historia y recibir el premio.

Dentro del perfil falso se le indica a la persona que ingrese a una URL que está enmascarada como el sitio de la marca que ofrece el premio. Una vez allí se le pide responder algunas preguntas para poder reclamar una tarjeta de regalo. Después de esto a la víctima se le invita a participar en una ‘actividad’ que se suele enmascarar como un juego de azar (por ejemplo, seleccionar una caja misteriosa que puede contener un premio o elegir una puerta misteriosa). Para dar más veracidad a la estafa el primer intento puede ser el equivocado, mientras que el segundo es el correcto.

Luego, para reclamar el premio a la persona se le exige no solo ingresar datos personales, sino además el consignar una cantidad de dinero para poder realizar este pago. La estafa incluye también una plataforma falsa de pago en la que la víctima le da a los delincuentes todos los datos de su tarjeta de crédito.

¿Cómo identificar una estafa por Instagram?

Lo primero es desconfiar de cualquier concurso en el que no hayas participado. Ninguna marca está etiquetando personas al azar y regalando tarjetas o productos (así no funcionan las actividades de redes sociales). La modalidad usualmente consiste en etiquetar múltiples personas al mismo tiempo, así que también presta atención a cualquiera de este tipo de publicaciones.

Lo siguiente es desconfiar de cualquier publicación que te indique ingresar a una URL o ir a una página web. Los ladrones no pueden hacer mucho daño desde Instagram, así que necesitan guiarte por fuera de la red social a los sitios web falsos.

Te puede interesar: Cinco claves para identificar y evitar un mensaje de estafa de Bancolombia

De la misma manera desconfía de cualquier requisito de datos personales. Si el ‘premio’ requiere que compartas información sensible como tu cédula, nombre completo o dirección debes tener 100% de confianza de que es legítimo e incluso validar para qué necesitan tus datos.

Las estafas por Internet entienden cómo funcionamos, así que desconfía de cualquier actividad que te presione o afané al asegurar que hay ‘tiempo limitado’ o que debes responder ‘lo antes posible’. Ante la presión prestamos menos atención a lo que nos piden o las señales de alerta.

Por último, sugerimos no confiar ni siquiera en perfiles oficiales. Han sido muchos los casos de cuentas corporativas que han sido secuestradas de manera temporal para enviar mensajes o etiquetar publicaciones de estafa. Los ladrones ni siquiera cambian el perfil, para garantizar que los más incautos caerán y que los administradores de las redes sociales no notarán la suplantación de identidad o removerán las publicaciones engañosas hasta que algunas víctimas hayan caído.

Imágenes: captura de pantalla ENTER.CO

Y es que los ladrones son pillos y ahora precisamente disfrazan sus trampas dentro de estos mismos mensajes de advertencia que recibe el usuario. Y, obviamente, cuando uno ve en un celular una alerta indicando que cierta cantidad de dinero ha sido debitado la primera reacción es entrar en estado de alerta y no prestar atención a las señales de alerta.

Así que en ENTER.CO hemos decidido hacer este artículo con cinco claves que deberías comenzar a implementar desde ya cada vez que recibas un mensaje de Bancolombia o cualquier entidad que utilices y de esa manera identifiques un mensaje falso de uno verdadero.

1: Si tiene un enlace, es probable que sea falso

Esta es la primera cosa que lo debe alertar de un mensaje de tipo Phishing: los mensajes de alerta de Bancolombia y otras entidades jamás le piden que verifique los movimientos en su cuenta a través de un enlace, sino que lo dirigen a una línea de atención.

Jamás ingrese a un enlace. Tampoco se confíe de direcciones, porque los ladrones pueden esconder la URL o disfrazar para que sea lo más parecida a las reales.

2: Bancolombia no tutea

Aquí una clave tonta, pero eficaz: las compañías de tipo bancario jamás tutean dentro de los mensajes automáticos para sus clientes que no son de promoción.

Revisa tus mensajes (reales) y encontrarás que manejan un lenguaje de ‘usted’ tipo ‘Bancolombia le informa’. El tuteo, por otro lado, es una estrategia bien conocida de ingeniería social para que las personas bajen la guardia ante mensajes o información.

3: ¿No hay cuatro dígitos? Es engaño

Muchos de estos mensajes falsos son enviados en masa a base de datos y no tienen como objetivo una sola persona (la idea es intentar atrapar incautos en vez de apuntar a una sola persona). Por esa razón el mensaje no incluye, por ejemplo, detalles de la cuenta o tarjeta desde la que se realizó el movimiento. Por otro lado, los mensajes auténticos de estas entidades suelen contener los últimos cuatro dígitos para corroborar el medio desde el que se realizó la transacción.

Te puede interesar: Cómo enviar dinero desde Bancolombia a Nequi

4: Activa las alertas en dos medios y verifique el correo

Una sugerencia, en caso de que no lo tengas activo ya, es que tengas las alertas para que lleguen a tu correo electrónico y a tu celular. Lo que esto permite es que si hay algún mensaje que parezca ser real, puedas además verificar si la misma alerta apareció en el correo. Si no es así, es probable que se trate de una estafa.   

En cualquier caso, después de verificar lo mejor es comunicarse directa. 

5: números confiables y la app, antes que nada

Sabemos que la app de Bancolombia es famosa por caerse más que niño aprendiendo a montar bicicleta. Pero en caso de que recibas un mensaje de este tipo jamás des clic en el enlace o incluso llames al número que aparece. Lo primero que debes hacer es verificar la información a través de los medios oficiales como es la aplicación.

En caso de que se trate de una información que no puedes validar (como, por ejemplo, la aprobación de un crédito o el cambio de la clave dinámica) la sugerencia es acudir directamente a las líneas oficiales del banco y solicitar esta información.

¡Mucho ojo! Durante el envío de estos mensajes a veces al mismo tiempo se habilitan páginas falsas y, a través de ciertos mecanismos, estos sitios pueden terminar teniendo mayor relevancia en el buscador que el sitio oficial. Como siempre, revisa el enlace y desconfía si la página tiene la etiqueta de anuncio en el buscador, que es cómo suelen posicionar estos sitios.

En resumen: cómo detectar un mensaje falso de Bancolombia

Vamos a tomar el ejemplo de este mensaje para que puedas detectar los elementos mencionados en cada punto y así estés más acostumbrado a esos mensajes falsos.

Imágenes: captura de pantalla

A través de redes sociales, colCERT (el grupo de respuesta de amenazas cibernéticas en Colombia), informó que actualmente se está llevando a cabo una campaña de estafa en la que se envía un correo a personas con el asunto ‘por incumplir Pico y Cédula usted ha recibido una multa de…’

¡Alerta! campaña a través de correo electrónico con asunto “Por incumplir la medida de Pico y Cédula usted ha recibido una multa…” contiene #malware y está siendo utilizado para robar datos personales y financieros “recomendamos eliminarlo de inmediato” @mindefensa @CaiVirtual pic.twitter.com/9MCmVnfF4K

— colCERT (@colCERT) April 20, 2021

El correo que viene acompañado de imágenes del Ministerio de transporte contiene, al parecer, un enlace que dirige al Runt para descargar un documento de tipo PDF, pero que descarga un malware en el computador que tiene como objetivo el robar datos financieros y personales.

Te puede interesar: ¡No instales! WhatsApp Pink: la nueva estafa de la app de mensajería

Como siempre, lo importante es recordar que al momento de recibir este tipo de correos se verifiquen varias cosas. Por ejemplo, es importante revisar cuál es la dirección desde la que proviene la información. También se debe desconfiar de cualquier tipo de enlace directo  para descarga y, en caso de querer validar la información, siempre es mejor constatar directamente a través de los canales oficiales de las entidades que los estafadores están suplantando.

En caso de que tengas este correo en tu bandeja, la recomendación es eliminarlo. En el caso de que hayas descargado el archivo, sugerimos comunicarte a través de canales oficiales con tus entidades bancarías.

No es la primera vez que elementos como el Pico y Cédula son utilizados para engañar a ciudadanos. colCERT también ha alertado en otras oportunidades sobre campañas similares que utilizan eventos de coyuntura (por ejemplo correos que aseguran que ha sido agendado para la vacunación) o incluso marcas nacionales (que apelan a promociones especiales) a través de grupos de WhatsApp.

Imágenes: Pixabay