Atento si recibes un correo de Mi Carpeta Ciudadana por un ingreso de 552,97 euros: es un timo y esto debes hacer si has caído
El INCIBE y la Guardia Civil ya han lanzado la alarma.
Si has recibido un correo electrónico animándote a iniciar sesión en Mi Carpeta Ciudadana porque se ha generado "un ingreso de 552,97 euros", ignóralo. Los ciberdelincuentes nunca descansan: se trata de una estafa. Lo advierten ya varios estamentos públicos. Desde la Guardia Civil a la propia web de Mi Carpeta Ciudadana, además de organizaciones de consumidores como la OCU o Facua así como el propio Instituto Nacional de Ciberseguridad (INCIBE).
Si por desgracia ya has picado en el anzuelo y en consecuencia has pinchado en el enlace que incluía ese correo electrónico, actúa inmediatamente siguiendo las indicaciones que desde el propio INCIBE trasladan. Conecta lo antes posible con tu entidad bancaria para informar de lo sucedido, guarda todas las capturas y evidencias posibles del correo recibido (puedes hacer uso de servicios de testigos en línea, como eGarante) y presenta una denuncia en la Policía.
El INCIBE también aconseja hacer egosurfing. ¿Qué es? Simplemente comprobar periódicamente si tus datos han aparecido en internet. Casi nadie lo sabe pero Google tiene una herramienta que te avisa cuando encuentra tu dirección o teléfono a la venta en internet y los elimina en un minuto. También puedes hacer uso de la famosa página haveibeenpwnd.com, en la que puedes ver si tu contraseña se ha visto afectada por alguna brecha de datos en el pasado. De ser así, algo obvio: cámbiala.
Por qué has recibido esta estafa suplantando a Mi Carpeta Ciudadana
Aquí influyen dos factores. Tu correo electrónico ya puede haberse visto afectado por alguna brecha de seguridad. Por ejemplo: alguna empresa o página web que tenía tu dirección de email sufrió un ciberataque que permitió a los atacantes extraer información de sus usuarios. En ese caso poco puedes hacer, más que extremar las precauciones ante posibles estafas que se irán sofisticando y que tratarán de engañarte en tu bandeja de entrada.
El otro factor. Han conseguido suplantar a Mi Carpeta Ciudadana, que es una entidad de la Administración pública. Esto es quizá lo más preocupante: la seguridad de los correos electrónicos se ciñe a unos filtros configurables para muchos dominios (por ejemplo, gmail.com) y no siempre están activos. Son los filtros DKIM o SCPF, entre otros.
El propio INCIBE daba cuenta del fenómeno. "Se ha identificado una campaña fraudulenta de correos electrónicos que suplanta la identidad de Mi Carpeta Ciudadana, un servicio digital del Gobierno de España que te permite ver y gestionar toda tu información y trámites administrativos en un solo lugar, sin tener que ir físicamente a oficinas públicas".
"El correo simula una notificación oficial para comunicar al usuario que "se ha generado a su favor un ingreso por importe de 552,97 euros", destaca el organismo, que abunda en otra tercera idea. En realidad, esta estafa es indiscriminada y está llegando a miles de usuarios con el objetivo real de recabar más información. "Este fraude lo que busca realmente es recopilar información personal y bancaria de los usuarios que han recibido dicha notificación".
Cómo detectar estafas y correos phishing como este
En ese sentido, el INCIBE recomienda a los ciudadanos comprobar algunos aspectos claves a la hora de determinar que una notificación de una supuesta entidad pública es o no es legítima. En el caso que ocupa esta información, la estafa en realidad no está muy elaborada. La supuesta notificación de un ingreso de 552,97 euros procede de un dominio concreto: carpetaciudadana@info.com.es. ¿Qué sucede? Que este dominio en realidad no es el oficial.
El dominio oficial de Mi Carpeta Ciudadana es carpetaciudadana.gob.es. La diferencia es notable. El INCIBE destaca además que a la hora de ofrecer al ciudadano acceso al supuesto formulario con la que los estafadores prometen ejecutar ese ingreso, se pide al usuario que entregue información a fin de preparar el documento. Sin embargo, el formulario en realidad está alojado a una página distinta a la de Mi Carpeta Ciudadana, aunque la recrea muy bien. Un clásico ejemplo de phishing.
La conclusión es evidente. Los ciberdelincuentes están sofisticando cada vez más sus intentos de engañar a los ciudadanos, por lo que es imprescindible estar muy alerta siempre que se navegue por internet. La Administración pública jamás te va a pedir un IBAN bancario a la hora de generar un formulario: sí para ciertos certificados, como es el caso de la DGT o incluso en el momento de la declaración de la renta. Es crucial ser conscientes de en qué página estamos introduciendo los datos personales.
