Las estrategias de los estafadores en Internet evolucionan constantemente, buscando nuevas vías para acceder a información sensible de los usuarios. Si bien es habitual encontrar intentos de fraude que suplantan a grandes empresas de logística o comercio electrónico mediante el envío de correos electrónicos, una reciente campaña de suplantación de identidad (phishing) ha dirigido su atención específicamente a los usuarios de Facebook.
Esta estrategia se diferencia de los ataques tradicionales que dirigen a sitios web fraudulentos, utilizando un enfoque menos común que puede ser más difícil de identificar para usuarios menos familiarizados con este tipo de tácticas.
Cómo funciona la estafa de ‘phishing’ de Facebook por correo electrónico
La estafa se inicia con la recepción de un correo electrónico no solicitado, una táctica ya vista en campañas previas dirigidas a usuarios de Instagram, Amazon e innumerables plataformas. El asunto de este mensaje resulta alarmante, usando frases como «¡Hemos recibido una solicitud para restablecer su contraseña de la cuenta de Facebook!». Esta línea de asunto del correo electrónico puede incluir un uso inusual de mayúsculas, primera pista de que estamos ante una estafa.
¡SUSCRIBETE A NUESTRO NEWSLETTER!
Cada semana mandamos un único e-mail con el resumen de las noticias a +4.000 suscriptores.
En el cuerpo del correo se informa que se ha iniciado sesión en su cuenta de Facebook desde un nuevo dispositivo, por ejemplo: «Un usuario acaba de iniciar sesión en su cuenta de Facebook desde un nuevo dispositivo iPhone 14 PRO Max. Le enviamos este correo electrónico para verificar que es realmente usted».
Esta campaña de phishing se distingue por sus enlaces. A diferencia de otras estafas que redirigen a sitios web falsos, en esta todos los elementos interactivos (botones como ‘Denunciar al usuario’, ‘Sí, soy yo’, ‘Cancelar suscripción’, e incluso la dirección de correo electrónico final) realizan la misma acción: abren el programa de correo electrónico predeterminado (Gmail, Outlook, etc.).
Al pulsar sobre cualquiera de estos botones, su programa de correo electrónico predeterminado se abrirá automáticamente, generando un mensaje con una línea de asunto que coincide con el texto o botón que has seleccionado.
Las direcciones de correo electrónico a las que se enviarán estos mensajes son las mismas que se han observado en campañas de phishing previas. Estas direcciones suelen intentar suplantar a dominios legítimos mediante una técnica conocida como typosquatting, lo que les permite parecer, a primera vista, vinculadas a empresas reconocidas.
Las extensiones de dominio poco habituales como .uk.com, .com.de, .eu.com, .com.se y .us.com no son dominios de nivel superior de código de país oficiales, sino extensiones de segundo nivel operadas por entidades privadas. Aunque son dominios legítimos, su apertura y accesibilidad global facilitan que puedan ser mal utilizadas por estafadores para conferirles una apariencia de mayor legitimidad o especificidad de país, o para realizar el mencionado typosquatting de dominios válidos.
A primera vista, puede parecer que al acceder a un enlace de correo electrónico no se ha proporcionado información personal, lo que llevaría a pensar que la acción es relativamente inofensiva. La implicación crucial es que al enviar este correo, se valida nuestra dirección de correo electrónico, confirmando a los estafadores que la cuenta está activa y pasamos a ser un objetivo.
Esta validación puede llevar a que nuestro correo sea objeto de futuros ataques con mayor frecuencia, e incluso a que los estafadores intenten construir una relación de confianza a lo largo del tiempo para explotarla posteriormente. Cabe destacar que el uso de enlaces ‘mailto:’ puede tener una mayor probabilidad de evadir los filtros de correo electrónico en comparación con los enlaces maliciosos tradicionales que dirigen a sitios web falsos.
Otros artículos sobre estafas
Estas son las 11 estafas por WhatsApp más comunes con las que debes estar alerta en 2025
¿Es seguro Temu? Todo lo que necesitas saber antes de comprar
“Hola, soy de Infojobs; tu currículum ha sido aprobado”: mucho cuidado si recibes esta llamada
Cómo protegerse de las estafas por SMS
