El phishing es una técnica mediante la cual los delincuentes se hacen pasar por marcas de confianza, incluida la tuya, para engañar a los usuarios y que estos revelen información confidencial, como contraseñas, datos de pago o credenciales de cuenta.
Dado que los clientes de Duda crean y gestionan sitios web para sus propios clientes, los ataques de phishing en el ecosistema de Duda pueden dirigirse a varios niveles: a ti directamente o a tus clientes mediante la suplantación de identidad de tu empresa. Esta guía ofrece medidas prácticas para proteger tanto tu cuenta de Duda como a tus clientes.
Los sistemas de Duda no se han visto comprometidos. Estas campañas de phishing las llevan a cabo agentes externos que utilizan información empresarial de dominio público para suplantar la identidad de los clientes de Duda. Esta guía se facilita únicamente con fines informativos y no implica que Duda asuma responsabilidad alguna.
-
Duda nunca te pedirá la contraseña de tu cuenta por correo electrónico, teléfono o chat.
-
Duda nunca te pedirá datos de pago a través de enlaces enviados por correo electrónico.
-
Duda nunca se pondrá en contacto contigo ni con tus clientes a través de los formularios de tu página web ni de las herramientas de CRM.
Si recibes un mensaje que cumpla alguna de las características mencionadas anteriormente, no procede de Duda.
-
Comprueba la dirección de correo electrónico del remitente. Fíjate si hay errores ortográficos, caracteres de más o dominios que imiten direcciones legítimas (por ejemplo,
support@dudda.coen lugar de@duda.co). -
Presta atención a los mensajes que transmiten urgencia o contienen amenazas. Los mensajes que te presionan para que «actúes de inmediato» o que te advierten de la suspensión de la cuenta son tácticas habituales.
-
Pasa el cursor por encima antes de hacer clic. Echa un vistazo a dónde te lleva el enlace sin hacer clic; si la URL no apunta a un dominio que reconozcas, no hagas clic en él.
-
Compruébalo por tu cuenta. Si recibes un mensaje que dice proceder de Duda, inicia sesión directamente en tu cuenta de Duda (no a través del correo electrónico) para confirmarlo.
-
Utiliza el inicio de sesión único (SSO), si está disponible, para centralizar la gestión del acceso y aplicar las políticas de seguridad de tu organización.
-
Como mínimo, activa la autenticación de dos factores (2FA) en tu cuenta de Duda y en todos los servicios asociados: correo electrónico, registrador de dominios, alojamiento web y proveedores de pago.
-
Utiliza contraseñas seguras y únicas para cada servicio. Cámbialas inmediatamente si sospechas que pueden haber sido comprometidas.
-
Revisa periódicamente los permisos de los usuarios y retira el acceso a quienes ya no lo necesiten.
Una autenticación de correo electrónico correctamente configurada es una de las formas más eficaces de impedir que los atacantes envíen correos electrónicos que parezcan proceder de tu dominio:
-
SPF (Sender Policy Framework): especifica qué servidores de correo están autorizados a enviar correos electrónicos en nombre de tu dominio.
-
DKIM (DomainKeys Identified Mail): firma criptográficamente los correos electrónicos salientes para que los destinatarios puedan verificar que proceden realmente de tu dominio.
-
DMARC (Domain-based Message Authentication, Reporting & Conformance) — indica a los servidores de correo receptores cómo gestionar los mensajes que no superan las comprobaciones de SPF/DKIM y te permite identificar a los remitentes no autorizados.
Revisa periódicamente tus informes DMARC para detectar cualquier uso no autorizado de tu dominio.
-
Mantén actualizados los sistemas operativos, los navegadores y los complementos.
-
Utiliza un software antivirus o de protección de dispositivos de confianza.
-
Activa el cifrado de disco en todos los dispositivos que se utilicen para gestionar las instalaciones de los clientes.
-
Limita las extensiones del navegador a aquellas que sean de confianza y necesarias; las extensiones maliciosas son un vector habitual para el robo de credenciales.
Dado que los ataques de phishing pueden dirigirse a tus clientes suplantando la identidad de tu empresa, te recomendamos lo siguiente:
-
Explica a tus clientes qué vas a hacer y qué no. Hazles saber que nunca les pedirás contraseñas ni datos de pago por correo electrónico.
-
Anima a los clientes a que verifiquen la información antes de actuar. Si reciben un correo electrónico inesperado que parezca proceder de tu empresa, deben ponerse en contacto contigo directamente a través de un número de teléfono o una dirección de correo electrónico conocidos, y no a través de los enlaces que aparecen en el mensaje sospechoso.
-
Pide a los clientes que te reenvíen los correos electrónicos sospechosos para que puedas evaluarlos, denunciarlos y avisar a otros clientes si es necesario.
-
Cambia inmediatamente todas las contraseñas de las cuentas afectadas.
-
Ponte en contacto con tu registrador de dominios para garantizar el acceso al dominio y activar los bloqueos a nivel de registrador.
-
Realiza un análisis completo en busca de malware y virus en cualquier dispositivo que pueda haber interactuado con el contenido de phishing.
-
Notifique a los clientes afectados y aconséjeles que vigilen sus cuentas y se pongan en contacto con sus entidades financieras.
-
Informa a Duda a través de [correo electrónico o formulario específico para casos de phishing] para que podamos hacer un seguimiento de la campaña y ayudarte.
-
Presenta una denuncia ante las autoridades competentes (por ejemplo, el IC3 del FBI en ic3.gov, la FTC en reportfraud.ftc.gov o su equivalente local).
Esta guía se ofrece únicamente con fines informativos, como recurso para los clientes de Duda. No constituye asesoramiento jurídico, en materia de ciberseguridad ni profesional. Duda no ofrece ninguna garantía ni se responsabiliza de la exhaustividad o eficacia de estas recomendaciones, y no asume ninguna responsabilidad por las acciones de terceros malintencionados ni por las pérdidas derivadas de campañas de phishing, accesos no autorizados u otros incidentes de seguridad.