La OSI (Oficina de Seguridad del Internauta) ha advertido sobre los riesgos que puede suponer acceder a algunas “URLs” acortadas. Y es que los ciberdelincuentes las están utilizando para engañar a los usuarios ya que, a primera vista, no nos muestran el sitio web al que nos dirigen.
En los últimos años, acortar los enlaces se ha convertido en una práctica bastante extendida, sobre todo en el ámbito del marketing digital en redes sociales como Twitter, que no permiten superar los 280 caracteres en sus publicaciones. Para ello, lo más habitual suele recurrir a sitios que incluyen esta función, como Bit.ly, Ow.ly o Buffer, aunque algunas plataformas como Facebook, YouTube, Linkedin o la mencionada Twitter ya permiten hacerlo directamente.
Aunque puedan resultar muy prácticos ya sea para introducir más texto o, simplemente, para ofrecer enlaces más atractivos, como en casi todo hay otra cara de la moneda. Ahora más que nunca, estamos siendo testigos del ingenio de las bandas criminales que operan en el ciberespacio. Sus campañas de ingeniería social son un claro ejemplo de ello, ya que tratan de imitar el comportamiento de algunas compañías para conseguir sus fines.
URLs con un destino desconocido
Por ello, el caso de las “URLs” acortadas no podía ser una excepción. De hecho, se trata de una oportunidad que no podían desaprovechar, ya que les permiten ocultar los enlaces reales a los que pretenden llevar a sus víctimas, algo que podría acabar en tragedia para los más incautos.
“A pesar de que estos enlaces son muy útiles, a menudo son utilizados por los ciberdelincuentes. ¿Por qué? Como hemos mencionado anteriormente, no sabemos el lugar al que vamos a acceder cuando pulsemos sobre un enlace acortado, ya que para saber el destino de esa URL no basta con pasar el cursor por encima del enlace. De hecho, si pasamos el cursor por encima del enlace solo veremos el enlace acortado, pero no su destino real”, explican desde la OSI.
Según la organización, los potenciales peligros de acceder a estos enlaces “creados” por los ciberdelincuentes son varios. En primer lugar, podrían dirigir a los usuarios a un sitio web que contenga algún tipo de malware y, en consecuencia, descargarlo en sus equipos con todo lo que eso conlleva.
Otra posibilidad es que dichos enlaces formen parte de una campaña de phishing o smishing (su variante vía SMS) en la que tratan de usurpar a alguna entidad para hacerse con los datos personales o las credenciales de sus víctimas, algo realmente peliagudo su hablamos de información bancaria.
Por último, hacen referencia al spam, que, si bien, puede parecer el menos amenazante de los tres, también podría acabar siendo un foco de malware o, al menos un dolor de cabeza para aquellos que lo sufran. Y es que estos pueden verse abrumados por una lluvia de anuncios no deseados o, incluso, caer en la trampa y acabar suscritos a algún servicio premium fraudulento.
Las recomendaciones de la OSI
Para evitar caer en este tipo de estafas, la OSI nos ofrece algunos consejos. Lo más importante es actuar siempre sentido común. Aunque estos enlaces puedan generarse directamente desde redes sociales, nunca hay que bajar la guardia. Los ciberdelincuentes también están presentes en estas plataformas y no precisamente para hacer amigos. Como hemos comentado, al pasar el cursor por encima de estas “URLs” no podemos conocer cuál es su destino real.
No obstante, descubrir adónde nos llevan estos enlaces no es imposible. La organización recomienda instalar dos complementos para averiguarlo: Unshorten.link si utilizas Google Chrome y Link Unshorten si Firefox es tu navegador habitual. Estos muestran cuál es la dirección real de dichas “URLs” y, además, incluso pueden identificar si se trata de un posible caso de phishing.
El siguiente consejo va en esa misma línea. La OSI anima a los usuarios a instalar un analizador de enlaces para hacer lo mismo. Concretamente, les insta a probar VirusTotal y URLVoid, dos herramientas totalmente gratuitas, que, además de mostrarnos las páginas de destino real de las URLs acortadas, las analiza en busca de malware.
Finalmente, desaconsejan introducir cualquier dato privado, especialmente contraseñas o información bancaria, en cualquier sitio web al que nos haya dirigido uno de estos enlaces. Para asegurarse de que nos encontramos en el lugar correcto, lo mejor es siempre acceder a la URL completa y comprobar si cumple con los protocolos de seguridad HTTPS.
