Una encuesta sobre phishing realizada por ESET, presentó a los participantes cuatro imágenes de phishing junto con mensajes reales y poco más del 60% no pudo identificarlas a todas correctamente.
El cuestionario gratuito, llamado ESET Phishing Derby, fue organizado por el equipo de ESET en los Estados Unidos y está diseñado para evaluar cuán competentes somos para distinguir mensajes falsos de los reales. El sistema de puntuación se basa en la velocidad y en diferenciar correctamente los mensajes, y el casi 40% de los participantes que identificó correctamente las muestras incluye algunos que identificaron tres correctamente y en un tiempo súper rápido. Entonces, en realidad, es probable que el número de usuarios que identificó los cuatro correctamente sea menor.
El cuestionario no fue diseñado para generar estadísticas, fue diseñado para crear conciencia y ayudar a educar a los participantes sobre cómo identificar correos electrónicos falsos. Curiosamente, los resultados muestran una marcada diferencia en la forma en que los participantes más jóvenes, de entre 18 y 24 años, identificaron las muestras correctamente: 47%, en comparación con solo el 28% de los mayores de 65 años. Las personas de entre 25 y 44 años alcanzaron el 45% y las personas de 45 a 64 años estaban en el 36%. En caso de que se pregunte sobre la validez de estos datos, el número total de participantes fue de 4.292 y los datos recopilados son un subproducto en lugar de un estudio académico. Un resultado similar se presentó cuando ESET Canadá realizó la misma encuesta a fines de 2020, con el 68% de los participantes que no logró identificar las cuatro muestras correctamente. Es caso que sea de interés se pueden realizar las pruebas aquí o aquí, ambas están en inglés.
Se identificó un correo electrónico que supuestamente era de American Express. El mensaje era una notificación que indicaba que un intento de transacción sospechosa había sido bloqueado y solicitaba que se revisaran las transacciones recientes. A primera vista, el correo electrónico parecía legítimo; estaba bien escrito y tenía buenos gráficos. Sin embargo, algunas señales permiten determinar que el correo era falso. Para empezar, el hecho de que quién recibió el correo no contaba con una tarjeta American Express Business Platinum. Sin embargo, de tener una cuenta, es comprensible el por qué este mensaje logró el engaño y se dio el siguiente paso: abrir el mensaje y posiblemente hacer clic en el enlace que incluye.
El correo electrónico está diseñado para crear una reacción emocional, “oh no, hay fraude en mi cuenta, necesito arreglarlo inmediatamente, haré clic”. Además, otro indicador de que este correo es falso es que el mensaje no es personalizado ya que comienza diciendo ‘Estimado usuario de la tarjeta’ y luego de la ‘Cuenta que comienza con 37******’. American Express sabe quiénes son sus clientes y no se refiere a ellos genéricamente en las comunicaciones, sino que incluyen el nombre. Por otra parte, las compañías de tarjetas de crédito normalmente usan los dígitos finales que son más específicos de cada número de cuenta y no los números con los que comienza la cuenta. Las tarjetas emitidas por American Express comienzan con un número ´3´ y luego un ‘4’ o ‘7’, por lo que el número utilizado en el correo electrónico es genérico y válido para muchos titulares de tarjetas. Lo que muestra el amplio enfoque que emplean los ciberdelincuentes para atrapar a una víctima.